Phishing, gefälschte Apps und bösartige Genehmigungen

Diebe, die die Kryptografie nicht knacken können, haben zwei Möglichkeiten. Sie kommen an deine Seed-Phrase, oder sie bringen dich dazu, etwas zu signieren, das ihnen deine Token aushändigt. Diese Lektion behandelt beide Wege.

Weg eins: deine Seed-Phrase

Phishing-Seiten. Eine Kopie der Seite einer Wallet oder Börse liegt unter einer Webadresse, die sich um einen Buchstaben von der echten unterscheidet. Sie wird über Anzeigen, E-Mails und Direktnachrichten beworben. Sie fordert dich auf, deine Wallet durch Eingabe deiner Seed-Phrase „wiederherzustellen", zu „verifizieren" oder zu „synchronisieren".

Gefälschte Apps. Nachahmungen beliebter Wallets schaffen es in offizielle App-Stores. 2026 fand Kaspersky 26 davon im App Store von Apple. Sie fingen die Wiederherstellungsphrase ab, während Nutzer sie eintippten, und schickten sie an die Angreifer.

Gefälschter Support. Jemand beantwortet deine öffentliche Frage mit einer privaten Nachricht und einem Link zu einem „Support-Formular".

Alle drei enden gleich: Du tippst deine Wörter ein, und die Wallet wird geleert. Die Regel aus Lektion 23 schlägt sie alle. Die Phrase wird nur eingegeben, wenn du dich entscheidest, eine Wallet wiederherzustellen, und zwar in Software, die du von der offiziellen Quelle installiert hast.

Weg zwei: deine Signatur

Dieser Weg braucht keine Seed-Phrase und funktioniert auch gegen Hardware-Wallets.

Um auf Ethereum einen Token mit einer App zu nutzen, signierst du zuerst eine Genehmigung. Sie erlaubt dem Smart Contract der App, diesen Token aus deiner Wallet zu bewegen. Apps verlangen oft einen unbegrenzten Betrag, damit du nur einmal genehmigen musst.

Eine bösartige Seite missbraucht das. Sie gibt sich als neues Projekt, Airdrop oder Seite zum Einfordern aus. Du verbindest deine Wallet und signierst, was wie ein Routineschritt aussieht. Tatsächlich hast du den Contract des Angreifers genehmigt, der dann jeden Token dieser Art abzieht. Die dafür gebauten Werkzeuge heißen Drainer. Chainalysis beschreibt sie als Seiten, die sich „als Web3-Projekte tarnen".

Ein Beispiel stammt vom Januar 2024, nachdem der Social-Media-Account der SEC selbst kompromittiert worden war. Ein Drainer, der sich als SEC ausgab, lud Menschen ein, ihre Wallets zu verbinden und kostenlose Token einzufordern.

Was eine Genehmigung wirklich bedeutet

Sie gilt, bis du sie widerrufst, auch wenn du die App nicht mehr nutzt.
Die Wallet von einer Seite zu trennen, widerruft sie nicht.
Unbegrenzt heißt jeder Token dieser Art, auch solche, die du später hinzufügst.
Wird ein genehmigter Contract gehackt oder erweist er sich als bösartig, kann er die Erlaubnis nutzen.

Abwehr

Langsam beim Signieren. Lies, was deine Wallet anzeigt. Steht dort „approve", „permit" oder „set approval for all" und hast du das nicht erwartet, lehne ab.

Genehmige nur, was du brauchst. Viele Wallets lassen dich eine unbegrenzte Anfrage auf den Betrag dieser Transaktion herabsetzen.

Nutze eine separate Wallet für Experimente. Halte eine Wallet mit kleinem Guthaben, um neue Apps auszuprobieren und Dinge einzufordern. Bewahre Ersparnisse in einer Wallet auf, die sich nie mit Websites verbindet.

Widerrufe alte Genehmigungen. Block-Explorer und spezielle Tools listen die Genehmigungen deiner Adresse auf und lassen dich sie widerrufen. Jeder Widerruf ist eine Transaktion und kostet eine Gebühr. Tu das ein paarmal im Jahr und sofort, nachdem du etwas signiert hast, das du bereust.

Komm sicher an. Nutze Lesezeichen. Klick nicht auf Anzeigen oder Links in Nachrichten.

Ignoriere geschenktes Geld. Überraschungs-Token, Airdrops, für die du dich nicht angemeldet hast, und dringende Fristen zum „Einfordern" sind Köder.

Die zwei Regeln

Tippe deine Seed-Phrase nie ein, um etwas zu reparieren, zu verifizieren oder einzufordern. Signiere nie eine Transaktion, die du nicht erklären kannst.