Viele Nutzer senden USDT und andere Vermögenswerte regelmäßig an dieselben Adressen und kopieren die Empfängerdaten aus Bequemlichkeit aus dem Verlauf früherer Transaktionen. Genau auf dieser Gewohnheit beruht der Angriff Address Poisoning, also die „Vergiftung“ einer Adresse: Ein Betrüger erzeugt eine Adresse, die der echten Empfängeradresse optisch ähnelt, und bringt sie durch eine Null- oder Mikrotransaktion in den Verlauf des Opfers.
Wallets und Blockchain-Explorer kürzen lange Adressen häufig und zeigen nur die ersten und letzten Zeichen. Sind diese ähnlich, kann die Manipulation unbemerkt bleiben. Der Nutzer kopiert die Adresse aus der falschen Zeile, signiert eine echte Transaktion – und die Mittel gehen unwiderruflich an die Wallet des Angreifers.
Wie Address Poisoning funktioniert und warum ähnliche Adressen im Verlauf erscheinen
Krypto-Wallet-Adressen sind lang, weshalb Nutzer selten jedes Zeichen vergleichen. Angreifer beobachten öffentliche Transaktionen populärer Token und identifizieren Adressen, die regelmäßig miteinander interagieren. Anschließend erzeugen sie automatisiert eine eigene Adresse mit denselben wenigen Zeichen am Anfang und Ende.
Danach sendet der Betrüger von der vorbereiteten Adresse eine Null- oder sehr kleine Transaktion. In manchen Fällen erscheint im Token-Verlauf ein Eintrag, der einer früheren Transaktion des Nutzers optisch ähnelt. Ziel ist nicht, die Blockchain zu infizieren oder Kontrolle über die Wallet zu erlangen. Die gefälschte Adresse soll lediglich im Verlauf sichtbar werden, bis der Inhaber sie für eine spätere Zahlung kopiert.
Ein typisches Schema sieht so aus:
- Ein Unternehmen oder Nutzer überweist USDT an einen regelmäßigen Geschäftspartner.
- Der Angreifer sieht die öffentliche Transaktion und erzeugt eine ähnliche Adresse.
- An die Adresse des Opfers wird eine Null- oder Mikrotransaktion gesendet, wodurch ein neuer Eintrag im Verlauf erscheint.
- Bei der nächsten Zahlung kopiert das Opfer die gekürzte Adresse aus der falschen Zeile.
- Die Wallet führt genau die vom Nutzer bestätigte Operation aus, weshalb das Netzwerk sie nicht als fehlerhaft erkennt.
Address Poisoning ist von Clipboard Hacking zu unterscheiden. Im ersten Fall kopiert der Nutzer selbst eine ähnliche Adresse aus einem vergifteten Verlauf. Im zweiten Fall ersetzt Schadsoftware auf dem Gerät automatisch die Adresse in der Zwischenablage. Das sichtbare Ergebnis ist dasselbe – die Zahlung geht an die falsche Adresse –, aber Art der Kompromittierung und weitere Prüfung unterscheiden sich. Offizielle Erläuterungen: Address poisoning scams und Clipboard hacking in der MetaMask-Hilfe.
Beratung erhalten
Kurze Einschätzung — unverbindlich
So schützen Sie sich beim Kryptotransfer vor Adressmanipulation
Verwenden Sie den Transaktionsverlauf niemals als Adressbuch. Dass eine Adresse in einem früheren Eintrag vorhanden ist, beweist nicht, dass sie zum gewünschten Geschäftspartner gehört. Beziehen Sie Empfängerdaten aus einer abgestimmten Quelle oder verwenden Sie eine geprüfte Kontaktliste und eine Allowlist auf der Plattform.
- Vergleichen Sie die vollständige Adresse. Nur die ersten und letzten vier Zeichen zu prüfen reicht nicht aus – genau diese versuchen Betrüger nachzubilden. Vergleichen Sie auch den mittleren Teil der Adresse oder nutzen Sie eine Funktion für exakten Abgleich.
- Bestätigen Sie die Empfängerdaten über einen anderen Kanal. Kontaktieren Sie den Empfänger bei größeren Beträgen über eine zuvor bekannte Telefonnummer, Unternehmens-E-Mail oder einen anderen unabhängigen Kanal. Vertrauen Sie nicht ausschließlich einer Chatnachricht, wenn das Konto kompromittiert worden sein könnte.
- Verwenden Sie Adressbuch und Allowlist. Speichern Sie geprüfte Adressen mit eindeutigen Bezeichnungen; aktivieren Sie auf Börsen nach Möglichkeit eine Liste zugelassener Adressen und eine Verzögerung beim Hinzufügen neuer Empfängerdaten.
- Prüfen Sie die Adresse auf dem Gerätedisplay. Vergleichen Sie die Daten vor der Signatur in der App und auf dem Display einer Hardware-Wallet. Das hilft auch, einen Austausch in der Zwischenablage zu erkennen.
- Nutzen Sie das Vier-Augen-Prinzip. In Unternehmen sollten Adresse und Betrag unabhängig durch eine zweite autorisierte Person geprüft werden. Legen Sie für regelmäßige Zahlungen ein Verfahren zur Änderung von Empfängerdaten fest.
- Ignorieren Sie Wallet-Warnungen nicht. Manche Oberflächen kennzeichnen verdächtige Nulltransaktionen oder blenden sie aus. Das ist ein zusätzlicher Schutz, ersetzt aber keine manuelle Prüfung.
Eine Testüberweisung mit kleinem Betrag verringert das Fehlerrisiko, beseitigt Address Poisoning aber nicht von selbst. Fügt ein Angreifer nach dem Test eine ähnliche Adresse zum Verlauf hinzu, kann der Nutzer bei der Hauptzahlung dennoch die falsche Zeile auswählen. Verwenden Sie für die zweite Transaktion erneut die bereits geprüften Empfängerdaten und kopieren Sie nicht einfach die letzte Adresse aus dem Verlauf.
Bei Geschäftszahlungen ist es sinnvoll, die vollständige Adresse zusammen mit Netzwerkname, Prüfdatum und Kontaktperson zu speichern. Änderungen von Empfängerdaten müssen gesondert bestätigt werden. Ein solch einfacher Prozess schützt nicht nur vor Address Poisoning, sondern auch vor kompromittierter Unternehmens-E-Mail oder Messenger-Konten.
Was tun, wenn die Mittel bereits an eine manipulierte Adresse gesendet wurden?
Wenn die Transaktion noch auf Bestätigung wartet, hängt die Möglichkeit einer Ersetzung oder Stornierung von Netzwerk, Wallet-Typ und aktuellem Status ab. Erstellen Sie nicht auf gut Glück zusätzliche Transaktionen. Ist die Operation bereits endgültig von der Blockchain bestätigt, kann sie nicht mit einer gewöhnlichen Schaltfläche zurückgenommen werden: Der Inhaber der Zieladresse kontrolliert nun die Mittel.
Dokumentieren Sie sofort:
- Hash der fehlerhaften Transaktion, Netzwerk, Token, Betrag und Uhrzeit;
- die korrekte Adresse des Geschäftspartners und die manipulierte Adresse des Betrügers;
- die vorherige legitime Transaktion sowie Null- oder Mikrotransaktionen, die den Verlauf vergiftet haben könnten;
- Screenshots von Wallet, Blockchain-Explorer und der Quelle, aus der die Empfängerdaten kopiert wurden;
- Korrespondenz mit dem Empfänger und interne Zahlungsfreigaben;
- Gerätedaten, wenn ein Austausch der Adresse in der Zwischenablage vermutet wird.
Anschließend muss die Bewegung der Mittel verfolgt werden. Gelangen sie zu einer bekannten zentralisierten Plattform, sollte deren Sicherheitsteam schnell mit Hashes, Adressen und offiziellen Unterlagen zum Vorfall kontaktiert werden. Parallel wird abhängig von Betrag und Umständen Anzeige bei den Strafverfolgungsbehörden erstattet. Die Plattform kann eine Anfrage einer zuständigen Behörde verlangen; allein die Identifizierung einer Börsenadresse garantiert weder Einfrieren noch Rückgabe der Vermögenswerte.
Senden Sie keine zusätzlichen „Verifizierungszahlungen“ an die Adresse des Betrügers und vertrauen Sie keinen Unbekannten, die gegen Vorauszahlung eine sofortige Rückholung versprechen. Lag das Problem nicht in Poisoning, sondern in einem falschen Netzwerk oder fehlerhaften Empfängerdaten, siehe Kryptowährung an das falsche Netzwerk oder eine falsche Adresse gesendet. Für Fälle vorsätzlichen Diebstahls siehe Schritt-für-Schritt-Vorgehen nach dem Diebstahl von Kryptowährung.
Kryptowährung an eine ähnliche Adresse überwiesen? Beweise sollten schnell gesichert werden
Das Team von ProDefence führt professionelle Blockchain-Analysen durch: Wir unterscheiden die legitime Adresse von der Adresse des Angreifers, rekonstruieren die Abfolge der Poisoning-Transaktionen, verfolgen die weitere Bewegung der Vermögenswerte und bereiten Unterlagen für Meldungen an Plattformen und zuständige Behörden vor.
Wenden Sie sich so früh wie möglich an ProDefence. In einer ersten Beratung prüfen wir die Ausgangsdaten, bewerten den Weg der Mittel und schlagen einen realistischen Handlungsplan vor. Ein Ergebnis kann nicht garantiert werden, doch eine korrekt dokumentierte Transaktionslage und schnelle Reaktion erhöhen den praktischen Wert späterer Anfragen.
Address Poisoning
Mittel an eine ähnliche Adresse aus dem Verlauf überwiesen?
Senden Sie TXID, Netzwerk und beide Adressen. ProDefence rekonstruiert den Poisoning-Ablauf und bereitet Unterlagen für Anfragen vor – ohne Anforderung der Seed-Phrase.
Keine Versprechen wie „100 % Rückholung“.
