Gefälschte WalletConnect- und Wallet-Pop-ups: So funktioniert das Phishing und so schützt du dich

WalletConnect-Phishing ist ein Betrug, bei dem eine gefälschte Website ein nachgemachtes „Wallet verbinden“-Fenster oder Wallet-Pop-up anzeigt, um dich dazu zu bringen, deine Wiederherstellungsphrase einzutippen oder eine bösartige Transaktion zu signieren. Das echte WalletConnect-Protokoll fragt nie nach deiner Wiederherstellungsphrase; es leitet nur Verbindungsanfragen und Transaktionen an deine Wallet-App weiter, wo du sie bestätigst.

Diese Betrugsmaschen funktionieren, weil das Verbinden einer Wallet zur Routine geworden ist. Man klickt sich Dutzende Male durch denselben Ablauf, sodass eine überzeugende Imitation leicht durchrutscht. Zu wissen, wie der echte Ablauf aussieht, ist der beste Schutz.

Wie der echte Ablauf zum Verbinden einer Wallet funktioniert

Wer den legitimen Ablauf versteht, erkennt Fälschungen leichter:

1. 1Du besuchst eine dezentrale App und klickst auf „Wallet verbinden“.
2. 2Die App zeigt eine Liste von Optionen, etwa eine Browser-Erweiterung oder WalletConnect.
3. 3Wählst du WalletConnect, zeigt die App einen QR-Code an oder öffnet auf dem Smartphone deine Wallet-App über einen Deep Link.
4. 4Deine Wallet-App zeigt den Namen und die Domain der Seite an und bittet dich, die Verbindung zu bestätigen.
5. 5Wenn du später eine Aktion ausführst, zeigt deine Wallet die Transaktion oder Signaturanfrage an und du bestätigst oder lehnst sie ab.

Zu keinem Zeitpunkt braucht die App deine Wiederherstellungsphrase oder deinen privaten Schlüssel. Alles Sensible bleibt in deiner Wallet. Unser Leitfaden zu Wallet-Berechtigungen und verbundenen Seiten erklärt, was eine Verbindung erlaubt und was nicht. Mehr dazu unter Manipulierte und gefälschte Hardware-Wallets.

Wie der Betrug funktioniert, Schritt für Schritt

Variante 1: Abgreifen der Wiederherstellungsphrase

1. 1Der Köder. Das Opfer sieht eine Nachricht über ein Problem: „deine Wallet ist nicht synchronisiert“, „Claim fehlgeschlagen, validiere deine Wallet“ oder „migriere deine Tokens“. Die Links kommen über Antworten in sozialen Medien, gefälschte Support-Konten, Anzeigen oder E-Mails.
2. 2Die gefälschte Seite. Die Seite wirkt wie eine neutrale Seite für „Wallet-Tools“ oder „Dapp-Rektifizierung“, oft mit WalletConnect-Branding und einem Raster aus Wallet-Logos.
3. 3Der vorgetäuschte Fehler. Ein Klick auf ein Wallet-Logo zeigt ein gefälschtes Ladesymbol und dann eine Fehlermeldung: „Automatische Verbindung fehlgeschlagen. Manuell verbinden.“
4. 4Das Abgreifen. Die „manuelle“ Option fragt nach deinen 12 oder 24 Wiederherstellungswörtern, einem privaten Schlüssel oder einer Keystore-Datei. Was immer du eingibst, geht an den Betrüger, der die Wallet innerhalb von Minuten leer räumt.

Variante 2: Bösartige Signaturen

Hier verbindet sich die Seite ordnungsgemäß mit deiner echten Wallet und bittet dich dann, etwas Schädliches zu signieren: eine unbegrenzte Token-Freigabe, eine Permit-Signatur oder eine Transaktion, die Vermögenswerte überträgt. Das Pop-up ist echt; die Anfrage ist bösartig. Unser Erklärartikel zu Ice Phishing und Permit-Signaturen behandelt das ausführlich.

Variante 3: Gefälschte Wallet-Fenster innerhalb der Seite

Manche Seiten zeichnen eine perfekte Imitation einer beliebten Erweiterungs-Wallet direkt in die Seite, samt Logo und Passwortfeld. Sie fragt womöglich zuerst nach deinem Passwort und dann nach deiner Wiederherstellungsphrase, „um den Zugang wiederherzustellen“. Weiterführend: Phishing über Suchanzeigen.

Ein hypothetisches Beispiel

Das folgende Szenario ist zusammengesetzt und dient der Veranschaulichung, es ist kein realer Fall. Stell dir Maya vor, die Tokens aus einem früheren Airdrop eines Projekts besitzt. Sie schreibt in den sozialen Medien, dass ihr Claim fehlgeschlagen ist. Innerhalb von Minuten antwortet ein Konto mit dem Logo des Projekts: „Entschuldige die Unannehmlichkeiten! Nutze unser Wallet-Sync-Portal, um ausstehende Claims zu beheben“, samt Link.

Die Seite zeigt ein Fenster im WalletConnect-Stil. Sie wählt ihre Wallet, sieht „Verbindungsfehler, bitte manuell verbinden“, und ein Feld fragt nach ihrer Wiederherstellungsphrase. Sie tippt sie ein. Zehn Minuten später wurden ihre Tokens und der native Coin des Netzwerks abgezogen. Das „Support“-Konto löscht seine Antwort.

Jeder Schritt hatte ein Warnsignal: ungefragte Hilfe, ein nicht offizieller Link und vor allem eine Bitte um ihre Wiederherstellungsphrase. Unser Artikel Krypto-Kredit-Betrug vertieft diesen Punkt.

Checkliste der Warnsignale

• Eine Seite oder ein Fenster fragt nach deiner Wiederherstellungsphrase, deinem privaten Schlüssel oder deiner Keystore-Datei. Allein das bedeutet, dass es Betrug ist.
• Das „Wallet-Fenster“ lässt sich nicht aus dem Browser herausziehen oder verschwindet, wenn du den Tab wechselst.
• Du hast den Link über eine Antwort, eine Direktnachricht, eine Anzeige oder einen „Support-Mitarbeiter“ bekommen.
• Die Domain ist unbekannt, falsch geschrieben oder hat eine ungewöhnliche Endung und wird nicht von der offiziellen Website des Projekts verlinkt.
• Die Seite behauptet ein allgemeines Problem wie „Synchronisierung“, „Validierung“, „Rektifizierung“ oder „Whitelist“, das behoben werden müsse.
• Deine Wallet zeigt eine Anfrage, unbegrenzte Ausgaben zu genehmigen oder eine unlesbare Nachricht zu signieren, die du nicht erwartet hast.
• Es wird Druck gemacht: „deine Vermögenswerte werden in 30 Minuten eingefroren“.

So schützt du dich

1. 1Tippe deine Wiederherstellungsphrase nie auf einer Website ein. Deine Wiederherstellungsphrase gehört ausschließlich in deine Wallet-App, wenn du sie auf deinem eigenen Gerät wiederherstellst.
2. 2Rufe Apps über Lesezeichen auf. Speichere offizielle Links von der Website des Projekts und nutze sie jedes Mal. Siehe wie du prüfst, ob eine Website die offizielle Projektseite ist.
3. 3Lies die Domain in deiner Wallet. Prüfe vor dem Bestätigen einer Verbindung, ob der in der Wallet angezeigte Seitenname mit der offiziellen Domain übereinstimmt.
4. 4Lies jede Signaturanfrage. Wenn du nicht erkennen kannst, was eine Anfrage bewirkt, lehne sie ab.
5. 5Nutze eine separate Wallet für Experimente. Bewahre langfristige Bestände in einer Wallet auf, idealerweise einer Hardware-Wallet, die sich selten mit neuen Seiten verbindet.
6. 6Widerrufe alte Freigaben regelmäßig. Unser Leitfaden Token-Freigaben widerrufen zeigt, wie es geht.

Was tun, wenn es passiert ist

Folge danach unserer Schritt-für-Schritt-Anleitung, was du sofort tun solltest, wenn deine Wallet kompromittiert ist. Speichere die URL der Seite, Transaktions-Hashes und Screenshots und melde die Seite über unser Formular für Betrugsmeldungen, damit andere gewarnt werden können. Sei vorsichtig bei „Wiederherstellungsdiensten“, die dich danach kontaktieren; oft sind sie ein zweiter Betrug.

Fazit

WalletConnect und Wallet-Pop-ups sind sichere Werkzeuge, wenn sie von deiner echten Wallet und einer echten App stammen. Der Betrug steckt in nachgemachten Fenstern, die nach deiner Wiederherstellungsphrase fragen, und in bösartigen Anfragen, die als Routineschritte getarnt sind. Kein seriöser Dienst braucht deine Wiederherstellungswörter. Wenn ein Fenster danach fragt, schließe es.