Schützen Sie Ihre Krypto-Vermögenswerte: Ein Leitfaden zum Schutz vor Phishing und Betrug

Die dezentrale Welt der Kryptowährungen eröffnet immense Möglichkeiten, bringt jedoch auch neue Risiken mit sich. Phishing, Betrugsversuche, bösartige Smart Contracts und andere Arten von Betrug stellen eine ständige Bedrohung für Ihre digitalen Vermögenswerte dar. Um auf der sicheren Seite zu bleiben, ist es unerlässlich, sich zu informieren und proaktive Sicherheitsmaßnahmen zu ergreifen.

Die größten Risiken für Krypto-Vermögenswerte

1. Phishing und gefälschte Websites

Betrüger erstellen exakte Nachbildungen beliebter Krypto-Börsen, Wallets oder DeFi-Plattformen, um Sie dazu zu verleiten, Ihre privaten Schlüssel, Seed-Phrasen oder Anmeldedaten preiszugeben. Überprüfen Sie stets die URL der Website und nutzen Sie Lesezeichen anstelle von Links aus E-Mails oder Nachrichten.

2. Geldverschwender

Dabei handelt es sich um bösartige Skripte, die bei der Verbindung mit Ihrer Wallet oder beim Signieren einer Transaktion diese leerräumen können, indem sie Ihr gesamtes Guthaben auf die Wallet des Angreifers übertragen. Oft tarnen sie sich als legitime dApps, NFT-Projekte oder Airdrops.

3. Betrug und Social Engineering

Dazu gehören Versprechungen von leicht verdientem Geld, gefälschte Gewinnspiele, „Pump-and-Dump“-Betrugsmaschen sowie Betrugsversuche im Rahmen des technischen Supports, bei denen Sie nach Zugriff auf Ihre Wallet oder nach persönlichen Daten gefragt werden.

Praktische Maßnahmen zum Schutz Ihrer Krypto-Vermögenswerte

1. Berechtigungen regelmäßig widerrufen (Revoke.cash)

Jedes Mal, wenn Sie mit einem Smart Contract interagieren (z. B. wenn Sie Token für eine dezentrale Börse oder einen NFT-Marktplatz freigeben), erteilen Sie diesem die Berechtigung, auf eine bestimmte Menge Ihrer Token zuzugreifen. Sollte sich der Vertrag als bösartig erweisen oder kompromittiert werden, können diese Berechtigungen ausgenutzt werden, um Ihr Wallet zu leeren.

• Was ist zu tun: Nutzen Sie Dienste wie Revoke.cash. Mit diesem Tool können Sie alle Berechtigungen einsehen und widerrufen, die Sie Smart Contracts erteilt haben. Überprüfen Sie diese regelmäßig und widerrufen Sie unnötige oder verdächtige Berechtigungen. Dies ist von entscheidender Bedeutung, um Risiken zu minimieren.

2. Rechtzeitige Aktualisierung von Systemen und Anwendungen

Veraltete Software ist ein Einfallstor für Angreifer. Updates enthalten oft Sicherheitspatches, die bekannte Sicherheitslücken schließen.

• Was ist zu tun:
  • Betriebssystem: Stellen Sie sicher, dass Ihr Betriebssystem (Windows, macOS, Linux) stets auf dem neuesten Stand ist.
  • Browser: Verwenden Sie aktuelle Versionen der Browser (Chrome, Firefox, Brave usw.), da diese häufig integrierte Sicherheitsfunktionen zum Schutz vor Phishing enthalten.
  • Krypto-Wallets und Erweiterungen: Aktualisieren Sie Ihre Software-Wallets (z. B. MetaMask) und alle zugehörigen Erweiterungen regelmäßig.

3. Diversifizierung des Portfolios: Setzen Sie nicht alles auf eine Karte

Wenn Sie alle Ihre Krypto-Vermögenswerte in einer einzigen Wallet aufbewahren, steigt das Risiko, im Falle eines Hackerangriffs oder eines Phishing-Angriffs alles zu verlieren.

• Was ist zu tun:
  • Hot Wallets: Verwenden Sie sie nur für kleine Beträge, die für alltägliche Transaktionen oder Interaktionen mit dApps bestimmt sind.
  • Cold Wallets / Hardware-Wallets: Verwenden Sie für die langfristige Aufbewahrung größerer Beträge Hardware-Wallets (Ledger, Trezor). Diese bieten maximale Sicherheit, da Ihre privaten Schlüssel offline aufbewahrt werden.
  • Vermögensabgrenzung: Verteilen Sie Ihre Vermögenswerte auf mehrere Wallets und Börsen, um den potenziellen Schaden durch einen einzelnen erfolgreichen Angriff zu minimieren.

4. Überprüfen Sie stets Adressen und signierte Transaktionen

Betrüger können mithilfe von Malware die Adresse des Empfängers in der Zwischenablage ändern oder Transaktionsdaten fälschen.

• Was ist zu tun:
  • Noch einmal überprüfen: Überprüfen Sie vor einer Überweisung stets sorgfältig die Empfängeradresse, insbesondere die ersten und letzten Zeichen.
  • Signaturanfragen lesen: Lesen Sie alle Signaturanfragen für Transaktionen in Ihrer Wallet sorgfältig durch. Vergewissern Sie sich, dass Sie genau verstehen, was Sie genehmigen. Verdächtige Anfragen (z. B. die Option „Set Approval For All“ für einen unbekannten Vertrag) könnten Betrugsversuche sein.

5. Verwenden Sie die Zwei-Faktor-Authentifizierung (2FA)

2FA bietet zusätzliche Sicherheit für Ihre Konten bei Börsen und anderen Diensten.

• Was ist zu tun: Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) wann immer möglich und verwenden Sie dabei Authentifizierungs-Apps (Google Authenticator, Authy) anstelle von SMS, da die SMS-basierte 2FA anfälliger für das Abfangen von Nachrichten ist.

6. Vorsicht vor unerwarteten Angeboten und Nachrichten

Wenn ein Angebot zu gut erscheint, um wahr zu sein, ist es das wahrscheinlich auch.

• Was ist zu tun: Ignorieren Sie Nachrichten von Unbekannten, die Ihnen „kostenlose“ Kryptowährungen oder einfache Gewinne versprechen. Überprüfen Sie die Informationen über die offiziellen Kanäle des Projekts.

7. Hardware-Wallets und Air-Gapped-Signierung

Hot Wallets (Browser/Mobilgeräte) stellen die größte Angriffsfläche im Kryptobereich dar. Verschieben Sie langfristige Bestände in eine Hardware-Wallet — Ledger, Trezor, Keystone oder BitBox — bei denen die privaten Schlüssel das Gerät niemals verlassen. Bei Transaktionen mit hohem Wert sollten Sie Folgendes in Betracht ziehen: mit Luftspalt Signierung über QR-Code (Keystone, Coldcard, AirGap Vault), sodass selbst ein kompromittierter Computer keine Schlüssel abgreifen kann.

• Hardware-Wallets kaufen ausschließlich direkt vom Hersteller Kanäle – Manipulationen in der Lieferkette sind ein echter Angriff.
• Richten Sie das Gerät in einer sauberen Umgebung ein; überprüfen Sie vor dem ersten Gebrauch die Firmware-Signaturen.
• Notieren Sie die Seed-Phrase auf Stahl Sicherungskopien (Cryptotag, Billfodl) – Papier verbrennt und verblasst.
• Geben Sie den Seed niemals ein, fotografieren Sie ihn nicht und speichern Sie ihn nicht digital – weder in iCloud, Google Drive, Passwort-Managern noch in Notiz-Apps.

8. Genehmigen Sie Zulagen mit Bedacht

Wallet-Leerräuber brauchen Ihren Seed nicht – sie benötigen lediglich eine einzige signierte Genehmigung, die es ihnen ermöglicht, Ihre Token zu übertragen. Lesen Sie jedes Mal, wenn Sie eine Transaktion signieren, die Angaben sorgfältig durch:

• Überprüfen Sie die Funktion: approve, setApprovalForAll, permit, increaseAllowance, und signOrder Rechte zur Verschiebung von Token gewähren – keine Übertragungen.
• Überprüfen Sie den Spender: Die Adresse, die Sie genehmigen, sollte ein bekannter Protokollvertrag sein – niemals ein EOA (externes Konto) oder ein nicht verifizierter Vertrag.
• Überprüfen Sie den Betrag: falls nach „unbegrenzt“ gefragt wird (2^256-1), ziehen es vor, eine genaue Obergrenze festzulegen.
• Überprüfen Sie die Kette: Eine Phishing-Seite könnte Ihre Wallet auf eine unerwartete Blockchain umleiten, um Ihre Filter zu umgehen.
• Verwendung Blockaid, ScamSniffer, oder Geldbörsen-Schutz Erweiterungen, um böswillige Genehmigungen vor der Unterzeichnung zu kennzeichnen.

9. Domain- und Lesezeichen-Pflege

Die erfolgreichsten Phishing-Angriffe zielen genau auf den Moment ab, in dem Sie eine URL eingeben oder auf einen Link klicken. Abwehrmaßnahmen:

• Lesezeichen Jede Wallet, jede Börse und jede Bridge, die Sie nutzen – geben Sie bei sensiblen Websites niemals Domains manuell ein.
• Vermeiden Sie gesponserte/Werbe-Ergebnisse bei Google – gesponserte Suchbegriffe zu Krypto-Wallets, Börsen und Bridges sind der häufigste Phishing-Vektor. Wir dokumentieren dies in Registrare, die weltweite Betrugsmaschen ermöglichen.
• Seien Sie misstrauisch gegenüber URLs mit zusätzlichen Zeichen: uniswap-app.org, metamask-extension.com, app-pancakeswap.io — Offizielle Domains sind einfach.
• Domains über „Certificate Transparency“ verifizieren (crt.sh) — Ein frisch ausgestelltes Zertifikat für ein Produkt, das einem Markenprodukt zum Verwechseln ähnlich sieht, ist ein riesiges Warnsignal.

10. Vorsicht vor „Adverting“-Betrug und Betrugsmaschen mit „Workplace Viewer“

Krypto-Teams sind zunehmend von Social-Engineering-Angriffen im geschäftlichen Stil betroffen, die als Werbung oder Partnerschaftsangebote getarnt sind. Der Angreifer fordert Sie auf, einen „Media-Kit-Viewer“, einen „Ad-Manager“, einen „Zoom-Client“ oder ein „sicheres NDA-Tool“ zu installieren – dieses „Tool“ ist jedoch ein Stealer. Wir haben einen Fall dokumentiert, in dem diese Vorgehensweise die finanziellen Mittel eines Projekts erschöpft hat: $100K Returned — Adverting Scam Foiled.

• Installieren Sie niemals spezielle Clients, Viewer oder „Updater“, die von nicht verifizierten Dritten bereitgestellt werden.
• Verwenden Sie für Zoom, Telegram und Discord ausschließlich offizielle Downloads der Anbieter – niemals gesponserte Suchergebnisse.
• Wenn ein Workflow einen benutzerdefinierten Client erfordert, sollte dieser standardmäßig als bedrohlich eingestuft werden.

11. Operative Hygiene für Krypto-Teams

• Spezialmaschine Für die Verwaltung der Finanzen – aktuelles Betriebssystem, Hardware-Wallet, nur wenige Erweiterungen, keine E-Mail/keine sozialen Medien.
• Multi-Sig für jede Kasse, die größer ist als der monatliche Abzug (Safe, Squads usw.).
• Auszahlungsadressen auf die Whitelist setzen an Börsen; wo möglich, Zeitbeschränkungen vorsehen.
• Sicherung des Betriebssaatguts bei geografisch verteilten Stahlspeichern mit M-von-N-Aufteilung (Shamirs Secret-Sharing-Verfahren).
• Leitfaden für Vorfälle: Legen Sie im Voraus fest, wer wen anruft, welche Wallets gesperrt werden sollen und wo sich die Audit-Protokolle befinden. Die erste Stunde nach einem Sicherheitsvorfall ist entscheidend.

12. Wenn Sie bereits kompromittiert sind

• Geld überweisen sofort aus jeder Wallet, die mit einer bösartigen Website in Kontakt gekommen ist oder eine verdächtige Transaktion signiert hat. Geschwindigkeit ist wichtiger als ein perfekter Ablauf.
• Alle Token-Genehmigungen widerrufen unter revoke.cash von einem sauberen Gerät.
• Trennen Sie das kompromittierte Gerät von allen Netzwerken; ändern Sie alle auf diesem Rechner verwendeten Zugangsdaten; installieren Sie das Betriebssystem von einem sauberen Datenträger neu.
• Sichern Sie die Beweismittel: Festplattenabbild, Browserverlauf, Transaktions-Hashes – Sie benötigen diese für einen Vorfallbericht und eine mögliche Wiederherstellung.
• Bericht an @PhishDestroy_bot und Kontakt SEAL 911 um im Notfall professionelle Hilfe in Sicherheitsfragen zu erhalten.
• Lesen Sie unseren vollständigen Leitfaden zur Reaktion auf Vorfälle: Wichtige Maßnahmen – Was ist nach einem Hackerangriff zu tun?.

Weitere Ressourcen für mehr Sicherheit

Auf dem Laufenden zu bleiben ist schon die halbe Miete. Empfohlene Quellen:

• Security Alliance – Malware — Eine eingehende Analyse von Malware-Familien, die auf Krypto-Nutzer abzielen.
• PhishDestroy-Löschliste — Über 130.000 aktive Phishing- und Betrugsdomains – zur Integration in Ihr DNS, Ihre Firewall oder Ihren Browser.
• @PhishDestroyAlerts — Echtzeit-Warnmeldungen zu neu entdeckten Betrugsinfrastrukturen.
• Anatomie einer Abschaltung — Wie PhishDestroy die Phishing-Infrastruktur lahmlegt.
• Open-Source-Tools zur Bekämpfung der Cyberkriminalität — Umfassendes OSINT-Toolkit.
• Untersuchung zu über 150 gefälschten Mozilla-Erweiterungen — Wie bösartige Erweiterungen Seeds sammeln.

„Wir bei PhishDestroy möchten Ihnen die Werkzeuge und das Wissen an die Hand geben, die Sie benötigen, um sich in der digitalen Welt zu schützen. Denken Sie daran: Ihre Wachsamkeit ist Ihre erste und beste Verteidigungslinie.“

Der Schutz Ihrer Krypto-Vermögenswerte erfordert ständige Aufmerksamkeit und proaktive Maßnahmen. Wenn Sie diese Empfehlungen befolgen, verringern Sie das Risiko, Opfer von Betrügern zu werden, erheblich und können sich mit größerer Zuversicht in der Welt der dezentralen Finanzen bewegen.