Die Geschichte eines Krypto-Betrügers: Wie 1,93 Milliarden Dollar innerhalb von sechs Monaten verschwanden

Was ein Abfluss eigentlich ist

A Krypto-Drainer ist ein speziell für Web3 entwickeltes Phishing-Tool. Es versucht nicht, Ihr Passwort auszuspähen oder einen privaten Schlüssel zu entlocken. Stattdessen bringt es Sie dazu, eine Transaktion unterzeichnen — in der Regel ein approve(), setApprovalForAll()oder eine Off-Chain-Lösung Permit Nachricht – die dem Angreifer die Erlaubnis erteilt, nach Belieben über Ihr Vermögen zu verfügen. Die Wallet bleibt „Ihre“. Das Guthaben jedoch nicht.

Das Modell ist brutal effizient, weil es rechtmäßig Blockchain-Grundelemente. Ihr privater Schlüssel wird niemals kompromittiert. Auf Ihrem Rechner befindet sich keine Malware. Es gibt nur eine einzige Signatur bei einer einzigen Transaktion, die On-Chain-Analysten sehen können und deren Wirkung von keiner Instanz rückgängig gemacht werden kann.

Laut Chainalysis… ein „Drainer“ ist „ein Phishing-Tool für das Web3-Ökosystem“, das sich als legitime dApp ausgibt. Group-IB, Check Point Researchund ScamSniffer haben Tausende von Kampagnen katalogisiert, die genau auf diesem Mechanismus basieren.

Die 6-stufige Kill Chain

Jeder Drainer-Angriff – Inferno, Pink, Angel, MS, CLINKSINK, Rugging und die Dutzenden namenlosen Abzweigungen – verläuft in denselben sechs Phasen. Die Kunst besteht darin, all diese Phasen in die wenigen Sekunden zwischen dem Verbindungsaufbau zum Wallet und der bestätigten Transaktion zu packen.

1. Köder

Gefälschte Airdrops, gesponserte Google/X-Anzeigen, gehackte verifizierte Konten (die Konten bei der SEC und bei Mandiant (beides wurden bereits als „Drainer-Megaphone“ genutzt), Discord-Verifizierungs-Bots, gefälschte NFT-Prägungen, „exklusive“ Beta-Einladungen und Betrugsmaschen rund um IP-Lizenzen. Ganz gleich, wie die Masche aussieht – das Ziel ist es, dich auf eine Domain zu locken, die der Angreifer kontrolliert.

2. Verbinden

Du klickst auf „Wallet verbinden“. MetaMask, Rabby, WalletConnect, Phantom – alles in Ordnung, alles wie erwartet. Das Drainer-JavaScript hat nun Lesezugriff auf dein Wallet-Objekt über window.ethereum (oder etwas Gleichwertiges) und beginnt zu schießen eth_call Anfragen im Hintergrund.

3. Aufklärung

Der Drainer listet Ihre Bestände auf: native Guthaben, ERC-20-Token, NFT-Sammlungen und DeFi-Positionen über mehrere Blockchains hinweg. Er greift auf Preis-Orakel im Stil von CoinGecko zurück, um alle Werte in US-Dollar umzurechnen. Premium-Pakete wie Inferno-Drainer ihre Konfiguration speichern on-chain (BNB Chain), sodass sie aktualisiert werden kann, ohne dass die JS-Nutzlast neu bereitgestellt werden muss.

4. Unterschreiben

Die dApp fordert dich auf, „Eigentumsrechte zu bestätigen“, „den Airdrop zu beanspruchen“, „die Abholung zu genehmigen“ oder „zum Betreten zu unterschreiben“. Die Benutzeroberfläche der Wallet zeigt eine scheinbar harmlose Meldung an. In Wirklichkeit sind die Calldata jedoch sorgfältig ausgewählt, um den Schaden zu maximieren – siehe den nächsten Abschnitt.

5. Abgießen

Sobald Sie unterschrieben haben, ruft der Angreifer an transferFrom() aus einer separaten Wallet (operative Trennung – die „Adresse“, die die Genehmigung erhalten hat, ist niemals der „Empfänger“, der die Beute hält). Premium-Kits bündeln native ETH, ERC-20-Token, ERC-721/1155-NFTs und Permit2-Transfers in einem einzigen multicall. Netto-Verzögerung von der Unterzeichnung bis zur Überweisung: Sekunden.

6. Waschen

Die Gelder fließen über SushiSwap / Uniswap (seriöse DEXs werden von den meisten Sicherheitsprogrammen bewusst auf die Whitelist gesetzt), dann über Brücken zu anderen Blockchains, anschließend über Tornado-Cash-Forks und schließlich zu Monero. Die Der Vorfall bei Trezor im Wert von 284 Millionen Dollar war innerhalb weniger Stunden in XMR umgewandelt.

Ein Exemplar, signiert Permit2 Eine einzige Nachricht reicht aus, um den gesamten Stapel zu autorisieren. Keine zweite Bestätigung. Keine Wiederherstellung.

Die vier tödlichen Sprengkörper

Jeder Drainer in der freien Wildbahn nutzt eine Kombination dieser vier Grundelemente. Jedes einzelne ist ein rechtmäßig ERC-Standard oder RPC-Methode. Es gibt keinen „Patch“ – nur das Bewusstsein dafür.

1. approve(spender, type(uint256).max) — Unbegrenzte Ausgaben für ERC-20

Der Klassiker. Du genehmigst einen Token-Vertrag über den höchstmöglichen Betrag (2^256 − 1) an eine Empfängeradresse, über die du keine Kontrolle hast. Der Empfänger – also der Angreifer – ruft dann transferFrom(you, attacker, balance) nach Belieben. Die Genehmigung bleibt auf Dauer bestehen, es sei denn, Sie widerrufen sie ausdrücklich über Revoke.cash oder direkt den Token-Vertrag.

2. setApprovalForAll(operator, true) — die gesamte NFT-Sammlung

Schlimmer als die ERC-20-Zulassung, denn es ist Alles oder nichts pro Sammlung. Eine einzige Signatur – und schon kann der Angreifer über alle NFTs in diesem Vertrag frei verfügen. Auf diese Weise verlor Seth Green im Jahr 2022 vier „Bored Ape“-NFTs, und so kam es, dass ein einzelnes Opfer im Dezember 2022 durch den gefälschten „Forte Pictures“-Lizenzbetrug 14 BAYCs verlor.

3. EIP-2612 / Off-Chain-Signaturen mit Permit2

Dies ist die 2024–2026: Die Waffe der Wahl. Anstelle einer On-Chain-Lösung approve() (was Gas kostet und sich deutlich in Ihrem Geldbeutel bemerkbar macht), sammelt der Angreifer eine Off-Chain-Signatur nach EIP-712 über eth_signTypedData_v4. Keine Transaktion. Keine Gasgebühren von Ihrer Seite. Nur ein Pop-up mit der Aufforderung „Diese Nachricht unterschreiben“. Die Benutzeroberfläche der Wallet für die Signatur von eingegebenen Daten ist bekanntermaßen schwer lesbar, und die von Uniswap Genehmigung 2 wandelt eine Unterschrift in Genehmigungen für mehrere Token gleichzeitig.

Das Die vollständige Fallstudie zu Permit2 von Blockaid für eine detaillierte Anleitung zum tatsächlichen Angriff, einschließlich des SushiSwap-Routing-Tricks, der den Abfluss von ETH in einem scheinbar normalen Swap verbirgt.

4. Social Engineering durch direkte Angabe der Seed-Phrase

Streng genommen kein „Drainer“ im engeren Sinne – aber die ertragreichste Variante im Jahr 2026. Die Januar 2026: Vorfall bei Trezor Es wurde keine Verschlüsselung umgangen. Ein „Support-Mitarbeiter“ rief das Opfer an, führte es durch einen gefälschten „Verifizierungsprozess“ und brachte es dazu, den Wiederherstellungs-Seed vorzulesen. Ergebnis: 1.459 BTC + 2,05 Mio. LTC = 284 Mio. $, 71 % aller Verluste durch Kryptodiebstahl in diesem Monat, die in Monero umgewandelt wurden, bevor die Medien davon berichteten.

Hardware-Wallets verhindern das Auslesen von Schlüsseln aus der Ferne. Sie hindern Sie jedoch nicht daran, Ihren Seed-Satz auf der Website eines Phishers einzugeben. Verwenden Sie eine BIP-39 passphrase.

Die „Drainer-as-a-Service“-Wirtschaft

Keiner der Akteure, die dir tatsächlich das Geld aus der Tasche ziehen, schreibt den Code. Sie mieten „Drainer-as-a-Service“ (DaaS) ist ein vollständig standardisierter B2B-Markt mit eigenem Branding, Preisstufen, Supportkanälen, Versionsveröffentlichungen und einem deutlichen Druck auf die Provisionen der Betreiber.

Teilnahmegebühr für einen Partner: a 5.000–10.000 $ Kaution, manchmal auch als schlüsselfertiges Paket dafür. Der Partner behält 75–95 % der erbeuteten Gelder und lagert alle technischen Belange – JS-Payload, Smart Contract, Hosting, Geldwäsche-Pipeline und sogar den 24/7-Telegram-Support – an den Betreiber aus. SentinelOne und die IMC 2025 – Wissenschaftliche Studie die Lieferkette detailliert nachverfolgen.

Deshalb reichen punktuelle Maßnahmen, bei denen man nur die Symptome bekämpft, nicht aus – und deshalb Registrare, die Missbrauch ignorieren sind der eigentliche Engpass. PhishDestroy hat dies dokumentiert und gemeldet Über 16.000 Domains mit Bezug zu „Inferno“ allein.

Warnsignale, bevor Sie unterschreiben

Der Signaturdialog ist die letzte Verteidigungslinie. Wenn einer dieser Punkte zutrifft, Abbrechen — es gibt keinen legitimen Ablauf, der dies erfordert:

• Sie sind über ein gesponsertes Suchergebnis, eine Direktnachricht oder einen E-Mail-Link hierher gelangt. Bei allen großen Suchmaschinen sind die gesponserten Krypto-Ergebnisse manipuliert worden. Rufen Sie die Seiten immer über ein Lesezeichen auf.
• Die Signatur ist „frei“ / „gasfrei“ / „off-chain“. Das ist eine Off-Chain-Signatur im Permit2-Stil. Lies die Felder mit den typisierten Daten. Wenn spender Wenn es dir unbekannt ist, lass es sein.
• Der Betrag beträgt uint256.max, 0xfff…fffoder „unbegrenzt“. Kaum ein legitimer Arbeitsablauf erfordert eine uneingeschränkte Genehmigung.
• Die Funktion lautet setApprovalForAll auf eine Sammlung, die du nicht kennst. Oder für einen „Anbieter“, der nicht OpenSea / Blur / LooksRare ist.
• Die Website fordert dich auf, direkt nach dem Verbinden die Kette zu wechseln. Derzeit läuft eine Multi-Chain-Extraktionsschleife.
• Der Zielvertrag wurde vor weniger als 7 Tagen bereitgestellt. Drainer der Inferno-Klasse wechseln alle 24 Stunden ihre Zwischenverträge.
• Du fühlst dich unter Zeitdruck. Countdown-Timer, „Angebot endet in 4:32“, „nur noch 12 Plätze frei“ – diese Elemente sind in jeder Drainer-Vorlage enthalten.
• Der „Kundensupport“ hat sich zuerst bei Ihnen gemeldet. Trezor, Ledger, MetaMask, Coinbase, Binance – keiner von ihnen schreibt dir eine Direktnachricht. Niemals.

Wie man sich tatsächlich verteidigt

• Trennung der Wallets. Cold Wallet (Hardware, Großteil des Vermögens) → operative Hot Wallet (1–2 Wochen Aktivität) → Burner Wallet (alles Neue, Saldo nahe Null). Verbinde die Cold Wallet niemals mit einer neuen dApp.
• Hardware wallet + BIP-39 passphrase. Die Passphrase macht den Unterschied zwischen einem „284-Millionen-Dollar-Trezor-Vorfall“ und der Situation, in der „der Angreifer zwar Ihren Seed hat, aber nichts findet“. Merken Sie sie sich. Speichern Sie sie nicht digital.
• Transaktionssimulatoren.Blockaid, Geldbörsen-Schutz, Pocket Universe, Fire – installiere eine davon. Sie zeigen dir die tatsächliche Differenz im Kontostand an, bevor du unterschreibst.
• Alle dApps als Lesezeichen speichern. Gib niemals „Uniswap“ bei Google ein. Klicke niemals auf Krypto-Links in sozialen Medien. Die gesponserten Ergebnisse sind viel häufiger falsch, als du denkst.
• Überprüfen Sie Ihre Genehmigungen wöchentlich.Revoke.cash zeigt alle aktiven Berechtigungen in allen Blockchains an. Widerrufe alles, was du nicht aktiv nutzt.
• Lass jede unbekannte Website zuerst durch einen Proxy laufen. Leere Brieftasche, schau, was sie verlangt, und entscheide dann, ob sie eine echte Brieftasche überhaupt wert ist.
• Deaktivieren Sie die Browser-Erweiterungen im Wallet-Profil. Ein separates Browserprofil (oder Brave-Tor-Fenster) ausschließlich für Web3. Erweiterungen sind ein bekannter Schwachpunkt – siehe Die Analyse der npm-Lieferkette von Mend.io.
• Überprüfen Sie die Reputation der Domain. Füge die URL in PhishDestroy-Domainberichte, urlscan oder unser Telegram-Bot. Wenn wir es bereits gesehen haben, ist es markiert.

„Drainer knacken keine Kryptografie. Sie widerlegen die Annahme, dass Menschen Calldata mit der Geschwindigkeit lesen können, die Wallets von ihnen verlangen. Verlangsamt man den Vorgang um eine Signatur, bricht die gesamte Diebstahlindustrie zusammen.“

Was PhishDestroy gegen Drainer unternimmt

Wir sind ein gemeinnütziges Freiwilligenkollektiv. Wir spüren rund um die Uhr über SEO, bezahlte Anzeigen, Discord, X, Telegram und Honeypots von Domain-Registraren nach Drainer-Infrastrukturen auf und schalten sie dann ab.

• 785.000+ Seit 2019 erfasste Phishing- und Betrugsdomains.
• 89.000+ Meldungen über Missbrauch, die bei Registrierstellen und Hosting-Anbietern eingegangen sind.
• 50+ Antiviren-Anbieter und Plattformen für Bedrohungsinformationen nutzen unseren Feed.
• <0,5 % Falsch-positiv-Rate bei über 100.000 validierten Berichten.
• Kostenlos, öffentlich, unveränderlich Beweisarchiv zu GitHub + HuggingFace.

Hast du einen Drainer entdeckt? Schick die URL an @PhishDestroy_bot. Wir werden die Missbrauchsanzeige einreichen, noch bevor dein Kaffee kalt wird.