Ein Blick hinter die Kulissen: Wie Krypto-Betrüger vorgehen
Bing und DuckDuckGo umleiten

Die beiden Angriffsvektoren

Unsere Untersuchung ergab, dass zwei völlig unterschiedliche, parallel ablaufende Vorgänge die gleichzeitig laufen, um Phishing-Seiten an die Spitze der Bing- und DuckDuckGo-Suchergebnisse zu bringen.

Vektor A: Der Yahoo-SERP-Injection-Angriff

Das ist wohl das technisch am elegantesten Ein Black-Hat-SEO-Angriff, den wir im Jahr 2026 dokumentiert haben. Er nutzt eine grundlegende Schwachstelle in der Art und Weise aus, wie Bing die Link-Autorität bewertet – insbesondere die Unfähigkeit, zwischen echten redaktionellen Links und dynamisch generierten Suchergebnisseiten von vertrauenswürdigen Domains zu unterscheiden.

Der von Yahoo übernommene Authority Score (AS 24) wird über mobile Suchseiten an Phishing-Domains weitergegeben – Bing akzeptiert dieses Signal als legitim

Der Mechanismus – Schritt für Schritt

Schritt 1 – Generieren der URL des vertrauenswürdigen Anbieters. Angreifer erstellen URLs auf den mobilen Such-Endpunkten von Yahoo über mehrere internationale Subdomains hinweg: no.search.yahoo.com (Norwegen), fr.search.yahoo.com (Frankreich), mx.search.yahoo.com (Mexiko), pl.search.yahoo.com (Polen), gr.search.yahoo.com (Griechenland), qc.search.yahoo.com (Quebec), chfr.search.yahoo.com (Schweizer Französisch), co.search.yahoo.com (Kolumbien). Diese Seiten weisen den von Yahoo übernommenen Authority-Score von 23–24 auf.

Schritt 2 – Einbetten des Phishing-Ankers. Jede URL enthält eine völlig zufällige, harmlose Suchanfrage – „pele+fifa“, „Jean-Paul+Sartre“, „Radio+Stars“, „jucheck.exe“ –, doch der Ankertext lautet: curvefi.co Curve Finance. Die zufällig angeordneten Abfragen stellen sicher, dass Spamfilter keine Muster erkennen können.

Schritt 3 – Erzwungene Crawling- und Indizierungsprozesse. Angreifer veranlassen Bingbot dazu, diese URLs zu crawlen, indem sie Massen-Ping-Dienste, das Einfügen von Kommentaren in Foren und Blogs sowie automatisierte Tools zum Auslösen von Crawls nutzen.

Unbearbeitete SEMrush-Daten — curvefi.co

Die brutale Ironie: Die Website bietet Null organische Suchbegriffe, Null Traffic in der SEMrush-Datenbank – dennoch erscheint die Seite aufgrund der von Yahoo übernommenen Autorität in den Bing-/DDG-Ergebnissen für „Curve Finance“.

Vektor B: Das koordinierte PBN-Netzwerk

An dieser Stelle wird die Untersuchung erst richtig beunruhigend. Fünf verschiedene Phishing-Seiten — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at und keplr.me — haben alle eines gemeinsam: identische Gruppe von Backlink-Quellen. Das ist kein Zufall. Das ist eine einzige organisierte kriminelle Vereinigung die Durchführung mehrerer Phishing-Kampagnen über eine einzige Infrastruktur.

Ein Betreiber, 9 PBN-Spender, 5 Phishing-Ziele – die Wahrscheinlichkeit, dass dies ein Zufall ist, liegt bei etwa 0,00001 %

Der entscheidende Beweis – Gemeinsame Infrastruktur

Phishing-Domain-Profile

Die KI-gestützte Artikel-Fabrik

Die Variante „aster-dex.at“ verwendet ein hybrider Ansatz, wobei Yahoo-Injection mit KI-generierten Blog-Inhalten kombiniert wurde, die auf kompromittierten oder eigens dafür eingerichteten Websites in Vietnam, Italien, Indonesien und der Schweiz platziert wurden.

Von KI generierte Artikel auf gehackten Websites – identische Titel, unterschiedliche Domains, die alle auf dasselbe Phishing-Ziel verweisen

Die Blog-Artikel haben alle nahezu identische Titel: „Warum Token-Swaps und Liquiditätspools selbst erfahrene DEX-Händler immer noch vor Probleme stellen“, „Warum automatisierte Market Maker Händler immer noch überraschen“. Das sind Von KI generierte Artikel auf Websites mit den AS-Nummern 21–36 platziert, die alle auf aster-dex.at verweisen.

Eindringen von Kommentar-Spam

keplr.me verfolgt einen völlig anderen Ansatz – reinen Kommentar-Spam auf themenfremden Websites mit hoher Autorität. Falsche Benutzernamen wie „ZackaryThymn“, „Fritzkah“ und „Jamesboach“ schleusen Anker für Krypto-Wallets in Websites zur Philosophieausbildung ein (filozofija.edu.rs, AS 45), Plattformen zur Mitarbeiterbindung (bavave.com, AS 63) sowie Kunstfestivals (lea-festival.com, AS 50).

Seriöse Websites, die unwissentlich Phishing-Links hosten – versteckt in normal aussehenden Nutzerkommentaren

Der absolute Tiefpunkt: Automatisierter Tool-Spam

bscscan.cfd nutzt die primitivste Methode überhaupt: gekaufte Backlink-Pakete in großer Stückzahl von Websites, die buchstäblich so heißen wie rankongoogle.agency und linksjump.click. Alle Quellen weisen AS = 0 auf. Die TLD „.cfd“ gilt als bekannter Spam-Indikator. Dennoch funktioniert dies bei Bing zumindest teilweise – die Anzahl minderwertiger Links kann die Platzierungen auf brandneuen Domains ohne negative Vorgeschichte beeinflussen.

„1000 Backlinks für 9,99 $“ – die billigsten SEO-Betrugs-Tools funktionieren bei Bing teilweise immer noch

Warum gerade Bing und DuckDuckGo besonders anfällig sind

Googles mehrstufiger Spam-Schutz im Vergleich zu Bings noch nicht ausgereifter Erkennung – eine Lücke, die Betrüger ausnutzen

Strategie zur Keyword-Ausrichtung

Die Keyword-Profile zeigen chirurgische Präzision bei der Zielauswahl. Die Betreiber zielen nicht nur auf primäre Markenbegriffe ab, sondern auch auf Typosquats („Rabbi-Geldbörse“, „Rubby-Geldbörse“, „dexscrenner“) und sogar Suchanfragen auf Chinesisch („Aster-Börse“ Platz 25).

Mehrsprachige Ausrichtung: Englisch, Französisch, Chinesisch, Vietnamesisch – die Aktivitäten erstrecken sich über mehrere Kontinente

Historischer Kontext: Das Problem mit Trust Wallet und DuckDuckGo

Auch nachdem Trust Wallet DDG als Standardbrowser abgelöst hat, besteht die zugrunde liegende Sicherheitslücke weiterhin. Jeder Nutzer, der wählt aus Datenschutzgründen bewusst DuckDuckGo aus — eine Bevölkerungsgruppe, die sich stark mit der Gruppe der Krypto-Nutzer überschneidet — ist auch heute noch genau diesen Angriffen ausgesetzt. Die in diesem Bericht dokumentierten Betrugsmaschen nutzen seit langem Varianten dieser Technik für mehrere Jahre, wobei sie sich anpasst, während Suchmaschinen einzelne Vektoren nach und nach beheben.

So schützen Sie sich

• NIEMALS Verbinden Sie Ihre Wallet über ein Suchergebnis
• Lesezeichen direkt auf seriöse Websites
• Verwenden Sie DDG’s !bang Tastenkombination: !g curve finance zwingt die Google-Suche
• Installieren Sie die Erweiterung zur Phishing-Erkennung von MetaMask
• Überprüfen Sie jede beliebige Domain unter PhishDestroy vor dem Anschließen

Empfehlungen an Microsoft/Bing

1. Erkennung dynamischer Seiten: Suchergebnisseiten klassifizieren (Yahoo, Baidu, Google) und den Link-Wert aus ausgehenden Links entfernen
2. Koordinierte PBN-Erkennung: Wenn 9 Domains auf 5 verschiedene Websites mit identischen Mustern verweisen, als Manipulation kennzeichnen
3. Ebene „Markenimitation“: TLD-Substitutionsangriffe erkennen (dexscreener.at ≈ dexscreener.com)
4. .AT-Domain-Überwachung: Verstärkte Überprüfung neu registrierter .at-Domains in Krypto-SERPs
5. DuckDuckGo im Schnelldurchlauf: Eine spezielle API zur Spam-Entfernung erstellen, auf die DDG direkt zugreifen kann

Die Beweise sind öffentlich zugänglich. Die Domains sind dokumentiert. Die Opfer sind echt. Die Lösung liegt in den Händen von Microsoft.

Ein Betreiber. 26 Phishing-Köder in Bing. Kosten: 2 Dollar pro Domain.

Ein Betreiber, 26 Domains, ein Registrar

Wir haben RDAP-Abfragen für alle 26 Phishing-Domains durchgeführt. Bei jeder einzelnen wurde derselbe Registrar angezeigt: NiceNIC International Group Co., Limited. Nicht die meisten. Nicht die Mehrheit. Alle 23 von 23 wurden erfolgreich abgefragt — derselbe Registrar, mit 3 Rate-Limit-Fehlern vor der Verifizierung (die Infrastrukturmuster stimmen überein).

23 von 23 überprüft. Derselbe Registrar. Derselbe Kunde. Keine Maßnahmen wegen Missbrauchs.

RDAP-Registrierungsdaten – Nachweis der Sammelregistrierung

Das 2-Dollar-Playbook – Schritt für Schritt

Vergessen Sie ausgefeilte SEO-Maßnahmen. Vergessen Sie monatelanges Linkbuilding. Hier ist die vollständige, bewährte Vorgehensweise, mit der Sie auf Platz 1 bei Bing landen.

Vier Schritte, 2 Dollar – und schon krönt Bing eine Phishing-Seite zur Nummer 1

Schritt 1: Typosquat-Register

Schritt 2: Das Titel-Tag klonen (0 $, 5 Minuten)

Der Betreiber kopiert genau das <title> Tag und Meta-Beschreibung von der Website des eigentlichen Projekts. Das ist der mit Abstand wichtigste Schritt. Die Seite selbst ist ein „Wallet-Drainer“ oder ein „Seed-Phrase-Harvester“ – aber <title> ist das, was Bing in den Suchergebnissen anzeigt.

Schritt 3: Bei dem Cloaked-PBN einreichen (0 $, 1 Minute)

Der Betreiber besucht einen der 15 PBN-Standorte (bye.fyi, atomizelink.icu, usw.), gibt die Domain in das Feld „Geben Sie Ihre URL ein“ ein und klickt auf „Kürzen“. Mit einem einzigen Klick wird gleichzeitig eine Seite auf allen 15 Websites erstellt – diese nutzen eine gemeinsame Datenbank.

Schritt 4: Warten (2–8 Wochen, 0 $)

Aufschlüsselung der Gesamtkosten

Ein Blick in die Cloaking-Engine

Wir haben den tatsächlichen HTML-Quellcode aus dem PBN-Netzwerk abgerufen und analysiert. Auf jeder Seite jeder Domain kommt dieselbe Cloaking-Engine zum Einsatz.

Was Nutzer sehen im Vergleich zu dem, was Bingbot sieht – das z-index: 1000000 Die Wand verbirgt 3.500 Verbindungen

Seitenarchitektur: 400 KB HTML, über 3.500 Links, 4 Ebenen

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Beweis: Ein Netzwerk, eine Datenbank

orbit-protocol-lending.net taucht auf mehreren PBN-Domains auf mit fortlaufende IDs aus derselben Datenbank:

Eine Datenbank. 15 Frontend-Domains. Auf allen Seiten werden identische Inhalte aus demselben Backend angezeigt.

Gleiche IDs über verschiedene „Marken“ hinweg = ein Backend, ein Betreiber. 15 Domains. Gleiche HTML-Vorlage. Gleiches CSS (style.css). Dasselbe JavaScript (work.js). Dieselben Seiten mit 3.500 Links.

Das zweite PBN – Domain-Checker-Netzwerk

Ein separates, aggressiveres Linknetzwerk liefert Dofollow-Backlinks zu ausgewählten Zielen. Hauptserver: all-aged-domains.com — eine WordPress-6.6.2-Installation, die CSS-, JS- und Vorlagen an 50 bis 80 Satellitendomains bereitstellt.

Warum Bing darauf hereinfällt

Googles gepanzerter Roboter wehrt Phishing-Angriffe schon am Eingang ab. Bings freundlicher Türsteher hält die Tür offen.

Die Schwachstelle beim Titelkampf

app.thnuster.cc hat genau EINEN Backlink – eine zwischengespeicherte Yahoo-SERP-Seite. Bei Bing belegt die Seite Platz 1 für den Suchbegriff „Thruster Finance“. Dies belegt, dass das Ranking von Bing bei Markenanfragen mit geringem Wettbewerb in erster Linie auf folgenden Faktoren beruht:

1. Titel-Tag mit exakter Übereinstimmung zur Suchanfrage
2. Die Domain ist indexiert (jedes Signal – selbst ein einziger Nofollow-Link – reicht aus)
3. Keine negativen Vertrauenssignale (Die Domain ist neu und weist keine Einträge in der Historie auf.)

Google würde umfangreiche Autoritätssignale verlangen und einen Abgleich mit bekannten Markendomains vornehmen. Bing tut dies nicht.

Bing-Ergebnisse auf Platz 1 (überprüft mit SerpAPI, April 2026)

Aktualisierte Schutzliste (Marken aus Teil II)

Empfehlungen (Teil II)

An Microsoft/Bing:

1. Ein Titelkampf allein ist noch kein Maßstab für Autorität. Ein passender Titel sollte eine neue Domain bei Suchanfragen nach Markennamen nicht auf Platz 1 bringen. Es sollten Kriterien wie das Alter der Domain, die Backlink-Autorität oder Signale zur Markenverifizierung herangezogen werden.
2. CSS-basiertes Cloaking erkennen. Seiten, die „z-index“-Overlays verwenden, um Inhalte vor Nutzern zu verbergen, sie aber für Crawler sichtbar zu machen, sollten gekennzeichnet werden.
3. Koordinierte PBN-Netzwerke aufspüren. 15 Domains, die sich ein Backend teilen und auf dieselben Ziele verweisen, stellen keinen organischen Linkaufbau dar.
4. Domains, die bei NiceNIC registriert sind, in Krypto-SERPs kennzeichnen zur eingehenderen Prüfung.
5. Richte einen Schnellweg für DuckDuckGo-Spam ein. DDG übernimmt alle Sicherheitslücken von Bing, verfügt jedoch über keinen eigenen Mechanismus zur Meldung von Spam.

An die NiceNIC International Group Co., Limited:

An Cloudflare:

Alle 26 Domains nutzen Cloudflare-DNS und -Proxy. Die Domains dienen als Plattform für Wallet-Drainer und Seed-Phrase-Harvester hinter der Infrastruktur von Cloudflare.