Address Poisoning: Die Copy-Paste-Falle, die Wallets leert

Address Poisoning (Adressvergiftung) ist ein Betrug, bei dem ein Angreifer eine täuschend ähnliche Wallet-Adresse in deinem Transaktionsverlauf platziert, meist indem er dir eine winzige oder gefälschte Überweisung schickt, in der Hoffnung, dass du später diese Adresse statt der echten kopierst und Geld an ihn sendest. Dabei wird deine Wallet nicht gehackt; ausgenutzt wird die Gewohnheit, Adressen aus der letzten Aktivität zu kopieren und nur die ersten und letzten Zeichen zu prüfen.

Der Angriff ist in Netzwerken verbreitet, in denen Stablecoins wie USDT und USDC häufig bewegt werden, denn große, wiederkehrende Überweisungen zwischen denselben Adressen sind auf einer öffentlichen Blockchain leicht zu erkennen. Die Verluste können hoch sein, weil Opfer oft größere Summen an Adressen senden, denen sie vertrauen. Die gute Nachricht: Ein paar einfache Gewohnheiten stoppen den Angriff fast vollständig.

So funktioniert ein Address-Poisoning-Angriff

Der Angriff folgt meist demselben Muster:

1. 1Beobachten. Der Angreifer überwacht die Blockchain nach Wallets, die regelmäßig Geld senden, zum Beispiel von einer privaten Wallet an eine Einzahlungsadresse einer Börse.
2. 2Doppelgänger erzeugen. Mit Software zur Adressgenerierung erstellt der Angreifer eine Adresse, deren erste und letzte Zeichen mit deinem üblichen Empfänger übereinstimmen. Wallet-Adressen sind lang, und viele Wallets kürzen sie auf etwas wie 0x1a2b...9f8e, sodass für den Trick nur diese sichtbaren Zeichen zählen.
3. 3Den Verlauf vergiften. Der Angreifer sendet eine Transaktion, durch die die ähnliche Adresse in deiner Aktivität erscheint. Das kann eine Token-Überweisung ohne Wert sein, ein winziger Betrag eines echten Tokens oder die Überweisung eines gefälschten Tokens, der den Namen eines echten Stablecoins kopiert.
4. 4Warten. Wenn du das nächste Mal Geld sendest, öffnest du den Verlauf, siehst scheinbar deine übliche Adresse, kopierst sie und sendest. Das Geld landet beim Angreifer.

Weil der gefälschte Eintrag in deinem eigenen Verlauf erscheint, oft direkt neben deinen echten Überweisungen, wirkt er vertrauenswürdig. Mehr dazu erfährst du in Pig-Butchering-Betrug.

Warum der Trick so gut funktioniert

Mehrere alltägliche Gewohnheiten machen Menschen angreifbar:

• Gekürzte Adressen. Wallets und Block-Explorer zeigen oft nur Anfang und Ende einer Adresse.
• Kopieren aus dem Verlauf. Es ist bequem, „die Adresse vom letzten Mal“ zu kopieren, statt sie aus der ursprünglichen Quelle zu holen.
• Gefälschte Tokens mit echten Namen. Eine Überweisung mit einem Token namens „USDT“ wirkt normal, auch wenn der Vertrag gefälscht ist.
• Routine. Wer jede Woche dieselbe Überweisung macht, prüft irgendwann nicht mehr sorgfältig.

Gekürzt sind beide identisch. Erst der vollständige Vergleich zeigt den Unterschied. Unser Artikel Clipboard-Malware vertieft diesen Punkt.

So schützt du dich

Diese Gewohnheiten machen Address Poisoning nahezu wirkungslos:

1. 1Kopiere niemals Adressen aus dem Transaktionsverlauf. Betrachte den Verlauf als Protokoll, nicht als Adressbuch.
2. 2Nutze ein gespeichertes Adressbuch oder eine Whitelist. Speichere verifizierte Adressen einmal, beschrifte sie eindeutig und sende nur an gespeicherte Einträge. Viele Börsen bieten auch eine Whitelist für Auszahlungsadressen an.
3. 3Hole Adressen aus der Quelle. Für eine Börseneinzahlung kopierst du die Adresse jedes Mal neu von der Einzahlungsseite der Börse und prüfst dabei das Netzwerk.
4. 4Prüfe die vollständige Adresse. Vergleiche mehr als die ersten und letzten Zeichen, idealerweise auch mehrere Abschnitte in der Mitte.
5. 5Sende eine Testtransaktion. Bei größeren Überweisungen sendest du zuerst einen kleinen Betrag und prüfst, ob er ankommt, wie in unserem Ratgeber zum Senden von Krypto ohne Verlust beschrieben.
6. 6Blende Spam-Tokens aus. Nutze die Spam- oder Ausblendfunktion deiner Wallet für unbekannte Tokens, damit sie deine Ansicht nicht überladen.
7. 7Bestätige auf dem Display deiner Hardware-Wallet. Wenn du eine nutzt, lies die Zieladresse auf dem Gerät, bevor du bestätigst.

So erkennst du einen Poisoning-Versuch

Achte in deiner Aktivität auf diese Anzeichen:

• Eingehende Überweisungen ohne Wert oder mit winzigen Beträgen von Adressen, die du nicht kennst.
• Tokens mit bekannten Namen, die du nie gekauft hast, besonders Stablecoin-Doppelgänger.
• Eine Adresse im Verlauf, die einem deiner regelmäßigen Kontakte ähnelt, aber kurz nach einer Transaktion mit diesem auftaucht.

In einem Block-Explorer verweisen gefälschte Tokens oft auf inoffizielle Verträge. Ob ein Token echt ist, kannst du prüfen, indem du seinen Vertrag mit der offiziellen Adresse vergleichst, wie in unserem Ratgeber zum Überprüfen der Vertragsadresse eines Tokens erklärt.

Was tun, wenn du Geld an eine vergiftete Adresse gesendet hast

Blockchain-Überweisungen lassen sich nicht rückgängig machen, aber einige Schritte lohnen sich trotzdem:

• Notiere den Transaktions-Hash, die Adressen und die Uhrzeit.
• Wenn das Geld über eine Börse oder einen Stablecoin-Emittenten lief, kontaktiere diese sofort; manche Emittenten können Tokens in bestimmten Fällen einfrieren.
• Melde den Vorfall der Polizei und der Meldestelle für Betrug in deinem Land, und melde uns die Betrugsadresse, damit wir andere warnen können.
• Ignoriere alle, die dich kontaktieren und gegen eine Gebühr eine garantierte Rückholung anbieten. Solche „Recovery-Dienste“ sind häufig ein zweiter Betrug.

Mehr dazu erfährst du in Copy-Trading-Betrug.

Ausführlicher behandeln wir das in Malware in gefälschten Programmiertests für Krypto-Jobs.

Weiterlesen: Phishing mit gefälschtem WalletConnect und Wallet-Pop-ups.

Fazit

Address Poisoning bricht nicht die Sicherheit deiner Wallet; es wendet eine bequeme Gewohnheit gegen dich. Hör auf, Adressen aus dem Verlauf zu kopieren, nutze ein beschriftetes Adressbuch oder eine Whitelist, vergleiche die vollständige Adresse und sende vor großen Überweisungen eine Testtransaktion. Diese wenigen Sekunden Prüfung machen den Unterschied zwischen einer Routinezahlung und einem unumkehrbaren Verlust. Weitere Schutzmaßnahmen findest du in unseren Sicherheitsratgebern.