Crypto-Wallet-Drainer-Betrug: Was Sie tatsächlich genehmigen, wenn Sie „verifizieren"

Ein Wallet-Drainer ist ein bösartiger Vertrag – ein Stück Code –, der eine Kryptowährungs-Wallet leert, sobald ein ahnungsloser Benutzer ihm die Erlaubnis dazu gibt. Der Betrug funktioniert, weil die meisten Opfer nicht erkennen, dass sie überhaupt eine Erlaubnis erteilt haben. Die Website beschreibt die Aktion als „Ihre Wallet verifizieren", „Ihren Airdrop beanspruchen" oder „sicher einloggen". In Wirklichkeit haben sie eine unbegrenzte Übertragung ihrer Token an eine vom Angreifer kontrollierte Adresse genehmigt.

Um zu verstehen, warum das funktioniert, muss man den Unterschied zwischen drei Dingen verstehen, die von außen identisch aussehen.

So funktioniert die Betrugsmasche

Drei Aktionen – völlig unterschiedliche Konsequenzen

Ihre Wallet verbinden bedeutet, einer Website Ihre öffentliche Adresse zu zeigen. Das ist gleichwertig mit der Angabe Ihrer E-Mail-Adresse. Sie können sehen, was Sie besitzen, aber sie können es nicht anfassen. Das Verbinden Ihrer Wallet mit einer Website kann allein keine Gelder bewegen. Diese Aktion ist sicher.

Eine Nachricht signieren ist typischerweise ein Identitätsnachweis – es bestätigt, dass Sie die Wallet kontrollieren. Die meisten Sign-Anfragen sind harmlos: Sie sind off-chain, kosten keine Gebühren und genehmigen nichts. Ihre Wallet-Software zeigt ein Pop-up mit einem zu signierenden Text. Das sieht gleich aus, ob die Anfrage wirklich harmlos ist oder ob sie einen Standard namens EIP-2612 (auch Permit-Signatur genannt) verwendet, der wie eine Nachricht aussieht, aber tatsächlich als Token-Genehmigung funktioniert. Opfer können diese nicht optisch unterscheiden.

Eine Transaktion genehmigen gibt einer anderen Adresse das Recht, Ihre Token in Ihrem Namen zu bewegen – bis zu einem von Ihnen angegebenen Betrag. Wenn Sie eine dezentrale Börse nutzen, genehmigen Sie diese, Ihre Token für diesen Trade zu handhaben. Wenn ein Betrugsvertrag diese Genehmigung erhält, kann er jederzeit alle Ihre Token abfließen lassen, ohne dass Sie weitere Maßnahmen ergreifen müssen.

Der Drainer-Mechanismus

Schritt 1 – Köder. Sie sehen einen Link zu einem Airdrop, einem NFT-Mint, einem Wallet-Verifizierungsportal oder einem exklusiven Token-Anspruch. Die Website sieht professionell aus.

Schritt 2 – Verbinden. Sie verbinden Ihre Wallet. Noch ist nichts Schlimmes passiert.

Schritt 3 – Die Falle. Die Website fordert Sie auf, zu verifizieren, zu beanspruchen oder zu aktivieren. Ihre Wallet-Software zeigt einen Bestätigungsbildschirm. Die Website sagt, das sei nur eine Sicherheitsprüfung – keine Gelder werden bewegt, es gibt keine Gas-Gebühr. Sie genehmigen.

Schritt 4 – Drain. Sie haben gerade eine unbegrenzte Token-Übertragung an einen Drainer-Vertrag genehmigt. Innerhalb von Sekunden – oft automatisiert – fegt der Vertrag Ihre Wallet durch und nimmt jedes Token, für das er genehmigt wurde. In einigen Fällen zielt er auch auf NFTs ab, indem er eine separate setApprovalForAll-Genehmigung verwendet.

Der Grund, warum sich Opfer sicher fühlen: Der Bestätigungsbildschirm zeigt oft keinen ETH-Betrag, keine sichtbare Gebühr, keine offensichtliche Warnung „Sie senden Geld". Es sieht wie ein Login-Schritt aus.

Beispiele für Betrugsnachrichten

Beispiel 1 – Gefälschter Airdrop

Arbitrum Airdrop Runde 2 ist live – berechtigte Wallets können bis zu 1.200 ARB beanspruchen. Verbinden Sie Ihre Wallet, um die Berechtigung zu verifizieren und zu beanspruchen, bevor das Fenster in 4 Stunden schließt: [Link]

Beispiel 2 – Gefälschter NFT-Mint

LETZTE CHANCE – der AlphaPass-Mint ist jetzt für Wartelistenmitglieder geöffnet. Verbinden Sie Ihre Wallet mit dem offiziellen Mint-Portal und bestätigen Sie Ihren Whitelist-Platz. Gas ist gedeckt. [Link]

Beispiel 3 – Gefälschte Wallet-Verifizierung

Ihre Wallet wurde für eine routinemäßige Sicherheitsprüfung markiert. Bitte verbinden und signieren Sie die Verifizierungsnachricht, um vollen Zugang zu Ihren verknüpften Konten wiederherzustellen. Das ist keine Transaktion – keine Gelder werden beeinflußt. [Link]

Häufige Warnsignale

Die Website erschien über einen Social-Media-Post, eine Discord-Nachricht, einen Telegram-Link oder ein Airdrop-Aggregator – nicht durch eine verifizierte offizielle Ankündigung des Projekts.
Der Mint, Anspruch oder die Veranstaltung wird als dringend beschrieben: noch Stunden übrig, begrenzte Verfügbarkeit, letzte Chance.
Die Website-URL stimmt nicht mit der verifizierten Vertragsadresse oder Domain des Projekts überein – auch nicht um ein einziges Zeichen.
Ihr Wallet-Bestätigungsbildschirm zeigt einen unbegrenzten Genehmigungsbetrag oder eine Vertragsadresse, die Sie nicht kennen.
Die Website sagt, das sei nur eine Verifizierung, während Ihre Wallet eine Transaktionsbestätigung anfordert – diese beiden Dinge können nicht gleichzeitig wahr sein.
Eine Signaturanforderung zeigt keine einfache lesbare Nachricht – sie enthält Hex-Daten oder codierte Parameter.

So prüfen Sie die Echtheit

Bevor Sie Ihre Wallet mit einer Website verbinden, verifizieren Sie die URL. Fügen Sie sie in 2check.click ein. Betrügerische Mint- und Airdrop-Websites werden auf kürzlich registrierten Domains erstellt – oft in derselben Woche wie die Kampagne. Eine Domain, die einige Tage alt ist und das Branding eines bekannten Projekts trägt, ist gefälscht.

Finden Sie Ankündigungen nur über verifizierte Kanäle. Für jeden Airdrop oder Mint finden Sie die offizielle Ankündigung über das verifizierte Social-Media-Konto des Projekts, seinen offiziellen Discord-Server oder ihre Website, auf die Sie über ein vertrauenswürdiges Lesezeichen zugreifen. Verwenden Sie keine Links, die in DMs, öffentlichen Kommentarbereichen oder Airdrop-Aggregator-Sites geteilt werden.

Lesen Sie Ihren Wallet-Bestätigungsbildschirm sorgfältig. Bevor Sie irgendetwas genehmigen, schauen Sie sich an, was Ihre Wallet tatsächlich fragt. Wenn eine Vertragsadresse erscheint, die Sie nicht kennen, ein unbegrenzter Betrag oder die Wörter setApprovalForAll, stoppen Sie. Das sind keine Verifizierungsschritte – das sind Genehmigungserteilungen. Eine echte Website zeigt Ihnen einen spezifischen, begrenzten Betrag für einen spezifischen Zweck.

Wenn Sie bei einer Signatur unsicher sind, lehnen Sie ab. Legitime Dienste benötigen keine unbegrenzten Token-Genehmigungen, um den Wallet-Besitz zu verifizieren. Wenn Sie aufgefordert werden, einen unbegrenzten Betrag oder alle eines Token-Typs zu genehmigen, ist das kein normaler Vorgang. Lehnen Sie ab.

Was passiert, wenn Sie reagieren

Sobald ein Drainer-Vertrag Ihre Genehmigung hat, kann er Ihre Wallet jederzeit leeren – sofort oder Stunden später. Die Transaktion ist unwiderruflich. Token, die von einem genehmigten Vertrag aus Ihrer Wallet übertragen wurden, sind weg. Einige Drainer sind darauf ausgelegt, den Wert zu maximieren: Sie scannen zuerst nach den wertvollsten Assets – seltene NFTs, große Token-Guthaben – und leeren sie in einer berechneten Reihenfolge, bevor Sie irgendetwas bemerken.

Typische Fehler

„Wallet verbinden" mit „Transaktion genehmigen" gleichsetzen. Viele Opfer gehen davon aus, dass sie nach dem Verbinden der Wallet noch nichts Verbindliches getan haben. Der gefährliche Schritt kommt danach – wenn die Website einen Bestätigungs-Pop-up anzeigt, den sie als harmlose Verifizierung beschreibt.
Signaturanfragen ohne Lesen bestätigen. Eine EIP-2612-Permit-Signatur sieht aus wie eine normale Nachrichtensignatur, funktioniert aber als Token-Genehmigung ohne Gas-Gebühr. Enthält der Signaturtext Felder wie „spender", „value" oder „deadline", ist es eine Genehmigung – kein Identitätsnachweis.
Der URL nicht prüfen, weil Design und Projektname stimmen. Drainer-Websites kopieren das Design des echten Projekts vollständig. Ein einzelner ausgetauschter Buchstabe in der Domain reicht. Fügen Sie die URL immer zuerst in 2check.click ein, bevor Sie die Wallet verbinden.
Nach dem Drain einem Recovery-Angebot vertrauen. Unaufgeforderte Hilfsangebote nach einem Wallet-Drain sind selbst ein dokumentierter zweiter Betrug. Blockchain-Transaktionen sind unwiderruflich – kein Dritter kann Token ohne Kooperation des Drainers zurückgewinnen.

Was Sie jetzt tun sollten

Wenn Sie etwas Verdächtiges genehmigt haben: Gehen Sie sofort zu einem Token-Genehmigungsmanager wie revoke.cash und widerrufen Sie alle unbekannten Genehmigungen – das stellt bereits Genommenes nicht wieder her, verhindert aber weiteres Leeren. Bevor Sie Ihre Wallet dort verbinden, bestätigen Sie, dass die Domain genau revoke.cash ist – Phishing-Kopien der Website existieren und verwenden nahezu identische Domainnamen.
Prüfen Sie Ihren Transaktionsverlauf in Ihrer Wallet, um genau zu bestätigen, was wann genehmigt wurde.
Melden Sie die Betrugs-Website über den Phishing-Melde-Kanal Ihres Wallet-Anbieters.
Wenn die Betrugs-Website ein echtes Projekt imitiert hat, melden Sie es dem offiziellen Team dieses Projekts über ihre verifizierten Kanäle.
Erstatten Sie Anzeige beim BKA-Cybercrime-Portal (www.bka.de).
Kryptowährungstransaktionen sind unwiderruflich – eine Rückgewinnung durch offizielle Kanäle ist selten möglich, und jeder Dienst, der anbietet, geleerte Gelder zurückzugewinnen, ist höchstwahrscheinlich ein zweiter Betrug.

Wie 2check.click helfen kann

Wallet-Drainer-Websites basieren auf einer Sache: einer überzeugenden URL, die wie das echte Projekt aussieht. Manchmal ist es ein ausgetauschter Buchstabe, ein hinzugefügter Bindestrich oder eine andere Domain-Erweiterung. Diese Änderungen sind während eines schnellen Claim-Fensters unsichtbar.

Bevor Sie Ihre Wallet mit einer Website für einen Mint, Airdrop oder eine Verifizierung verbinden – besonders eine, die über einen Link statt über ein Lesezeichen erreicht wurde – fügen Sie die URL in 2check.click ein. Es prüft das Domain-Registrierungsalter (Drainer-Websites sind fast immer neu registriert), Lookalike-Signale gegen bekannte Projekt-Domains und Umleitungsmuster, die legitime Web3-Projekte nicht verwenden. Wie solche Lookalike-Domains technisch aufgebaut sind, erklärt der Ratgeber zur URL-Verschleierung. Die Prüfung dauert zehn Sekunden. Nach einem Drain hilft ein Widerruf nicht dabei, zurückzugewinnen, was genommen wurde.

Häufig gestellte Fragen

Meine Wallet-Software sagte „Signaturanforderung", nicht „Transaktion". Bedeutet das nicht, dass keine Gelder bewegt werden?

Nicht immer. Standard-Sign-Nachrichten sind sicher – aber ein Signaturstandard namens EIP-2612 (Permit) erlaubt es, Token-Genehmigungen durch das zu erteilen, was wie eine Sign-Anforderung erscheint, ohne Gas-Gebühr und ohne offensichtlichen Transaktionsindikator. Wenn der Signaturtext strukturierte Daten mit Feldern wie „spender", „value" und „deadline" enthält, ist es eine Permit-Genehmigung, keine harmlose Nachricht. Im Zweifelsfall ablehnen.

Ich habe nur meine Wallet verbunden. Könnte ich noch gefährdet sein?

Allein verbinden – Ihre öffentliche Adresse teilen – kann keine Gelder bewegen. Einige Betrugs-Websites fordern jedoch unmittelbar nach der Verbindung weitere Interaktionen: ein Pop-up, das behauptet, Sie müssen verifizieren, oder ein Fortfahren-Schritt. Das Risiko kommt von dem, was Sie nach dem Verbinden genehmigen, nicht vom Verbinden selbst.

Die Website hatte den richtigen Projektnamen und stimmte vollständig im Design überein. Wie war sie gefälscht?

Betrugs-Websites kopieren das Design der echten Website vollständig – das dauert Minuten. Der einzig verlässliche Indikator ist der Domainname in der Adressleiste Ihres Browsers. Ein Zeichenunterschied in der URL bedeutet eine völlig andere Website. Fügen Sie sie in 2check.click ein, um das Registrierungsdatum der Domain zu prüfen.

Kann ich die Genehmigung widerrufen, nachdem ich sie erteilt habe?

Ja – wenn Sie noch nicht geleert wurden. Verwenden Sie einen Token-Genehmigungsmanager – revoke.cash ist weit verbreitet –, um alle aktiven Genehmigungen in Ihrer Wallet zu sehen und unbekannte zu widerrufen. Bestätigen Sie, dass die Domain genau revoke.cash ist, bevor Sie Ihre Wallet verbinden. Das Widerrufen einer Genehmigung ist eine kleine Transaktion, die eine kleine Gas-Gebühr erfordert, verhindert aber, dass der genehmigte Vertrag weitere Gelder überträgt. Es stellt nichts zurück, das bereits genommen wurde.

Jemand bietet mir an, zu helfen, das Geleerte zurückzugewinnen. Sollte ich ihm vertrauen?

Nein. Unaufgeforderte Recovery-Angebote, die auf Opfer von Wallet-Drains abzielen, sind selbst ein gut dokumentierter zweiter Betrug. Blockchain-Transaktionen sind unwiderruflich – kein Dritter kann Token aus einem Drainer-Vertrag ohne die Kooperation des Drainers zurückgewinnen. Siehe den Krypto-Recovery-Betrugs-Guide für weitere Informationen darüber, wie dieser zweite Betrug funktioniert.