In der Web3-Welt, egal ob du ein normaler Spieler, ein wohlhabender Investor oder ein Projektinhaber bist, ist eines der unausweichlichen Risiken Betrug.
Laut dem von Chainalysis veröffentlichten (The Chainalysis 2025 Crypto Crime Report) belief sich das weltweite Volumen der On-Chain-Kriminalität im Jahr 2024 auf 24 Milliarden US-Dollar, darunter:
Die mit Betrug verbundenen Transaktionsvolumina erreichen 9,9 Milliarden US-Dollar, wobei "Pig Butchering", Phishing-Websites und gefälschte Investitionsprojekte besonders häufig auftreten;
Der Betrag des gestohlenen Kapitals übersteigt 2,2 Milliarden US-Dollar, wobei mehr als 60 % auf den Verlust privater Schlüssel und Social-Engineering-Phishing zurückzuführen sind;
Ransomware, Marktmanipulation und andere kriminelle Aktivitäten sind ebenfalls keine Seltenheit.
Aber wenn du diese Fälle betrachtest, wirst du eine warnende Gemeinsamkeit feststellen – egal wie sehr sich die Technik entwickelt, der letztliche Schwachpunkt ist die "Menschlichkeit" selbst.
Ganz genau, die "Standardwaffe" der On-Chain-Kriminalität ist das, was Portal Labs zu besprechen hat: Social-Engineering-Angriffe.
Was ist ein Social-Engineering-Angriff?
Die Realität zeigt uns jedoch, dass nicht die Technik, sondern die Menschlichkeit am leichtesten zu durchdringen ist.
Das ist das Kernstück von Social-Engineering-Angriffen.
Social-Engineering-Angriffe hängen nicht von Schwachstellen auf der Codeebene ab, sondern basieren auf Verkleidung, Verführung und Manipulation, um dich dazu zu bringen, freiwillig sensible Informationen preiszugeben oder gefährliche Aktionen auszuführen.
Im Vergleich zu technisch aufwendigen Angriffen sind Social-Engineering-Angriffe kostengünstig und haben eine hohe Erfolgsquote. Egal ob Betrug, Diebstahl von Geldern oder Erpressung – der erste Schritt in den meisten Fällen besteht darin, dass du selbst auf "Bestätigen" klickst.
Zusammenfassend lässt sich sagen, dass alle Social-Engineering-Taktiken letztlich auf die folgenden drei Hauptstrategien hinauslaufen:
Verkleide dich als Autorität. Falsche Kundenbetreuer, offizielle Personen oder Partner, die mit "anscheinend glaubwürdigen" Identitäten deine Wachsamkeit senken.
Erzeuge ein Gefühl der Dringlichkeit. Kontoanomalien, Token-Airdrops, exklusive Investitionsmöglichkeiten... Lass dich in die Denkweise versetzen "Wenn ich jetzt nicht handle, verliere ich".
Baue einen Vertrauenskreis auf. Ziehe dich in eine falsche Gruppe, gebe dich als Freund oder KOL aus, betreibe Gruppenhirnwäsche und führe dich Schritt für Schritt in die Falle.
Es ist erwähnenswert, dass sich Social-Engineering-Angriffe systematisiert und professionalisiert entwickeln.
Chainalysis weist ebenfalls darauf hin, dass Betrügerbanden in den letzten drei Jahren zunehmend AI-Gesichtstausch, Big-Data-Profiling und automatisierte Werbetechnologien eingesetzt haben, um Sprache und Abläufe für verschiedene Benutzergruppen zu entwerfen.
In Zukunft könnte es möglicherweise nicht ausreichen, sich allein auf die persönliche Wachsamkeit zu verlassen, um alle Risiken zu vermeiden. Systematische Sicherheitslösungen, Cross-Chain-Risikokontrolle und die Isolation von Kernberechtigungen werden zur "Standardkonfiguration" für wohlhabende Spieler und Projektinhaber.
Typische Szenarien und echte Fälle
Im Gegensatz zu technischen Angriffen sind Social-Engineering-Angriffe zielgerichtet und richten sich in der Regel gegen bestimmte Personen oder Organisationen. Hacker passen ihre Sprache und Szenarien an die Verhaltensgewohnheiten verschiedener Gruppen in Web3 an und ernten präzise. Zu den häufigsten Taktiken gehören folgende Kategorien:
Für normale Spieler
Die häufigste Taktik ist die "Vortäuschung des offiziellen Kundenservice", der dir aktiv private Nachrichten sendet, fälschlicherweise behauptet, dass das Konto Anomalien aufweist oder die Gelder eingefroren sind, und verlangt, dass du deine Mnemonik überprüfst oder Maßnahmen zur Entsperrung ergreifst, wonach deine Vermögenswerte sofort gestohlen werden.
Kürzlich haben die australischen Behörden gegen eine Betrügergruppe vorgegangen, die sich als die Krypto-Börse Binance ausgab. Diese Betrüger leiteten die Opfer dazu an, eine gefälschte Hotline anzurufen, um ihre Gelder in Wallets zu transferieren, die von Hackern kontrolliert wurden.
Darüber hinaus sind Links zu Phishing-Aktionen wie "kostenlose Airdrops" und "NFT-Reden" keine Seltenheit. Die im Chainalysis-Bericht erwähnten Crypto Drainers gehören häufig zu dieser Art von Fällen, wobei der komischste Vorfall im Januar 2024 stattfand. Zu diesem Zeitpunkt brachen Betrüger in die sozialen Medien der US-Börsenaufsichtsbehörde (SEC) ein und veröffentlichten gefälschte Airdrops, um Benutzer zu verleiten, ihre Wallets zu verbinden und gefälschte Token zu erhalten, was zum Diebstahl ihrer Vermögenswerte führte.
Es gibt auch häufige "falsche Handelsgruppen", die insbesondere auf Telegram und Discord aktiv sind. Angreifer geben oft vor, offizielle Personen zu sein oder stehlen Freundeskonten, um dich in Gruppen einzuladen. Abgesehen von dir sind in der Gruppe fast nur Betrüger oder Bots, die häufig gefälschte Projekte und hochprofitale Gelegenheiten pushen, bis du in die Falle tappst.
Für wohlhabende Investoren
Für wohlhabende Zielgruppen sind die Angriffsmuster oft maßgeschneiderter.
Angreifer geben sich über LinkedIn, Twitter und andere Kanäle als bekannte KOLs, Partner von Familienbüros oder Fondsmanager aus und werfen Köder wie "exklusive Finanzierung" oder "interne Investitionsmöglichkeiten" aus, kombiniert mit gefälschten sozialen Konten und Investitionsdokumenten, um einen geschlossenen "Vertrauenskreis" zu schaffen.
Der Chainalysis-Bericht hebt hervor, dass das "Pig Butchering"-Team im Jahr 2024 gefälschte Familienbüros nutzen konnte, um eine große Anzahl von wohlhabenden Investoren zu betrügen, mit einem Gesamtschaden von mehreren Millionen US-Dollar.
Darüber hinaus sind SIM-Karten-Tauschangriffe ebenfalls häufig: Betrüger überzeugen Telekommunikationsunternehmen, die Telefonnummer zu übertragen, um dein Austauschkonto zurückzusetzen und die Kontrolle über die Gelder zu übernehmen.
Für Web3-Projektinhaber
Projektteams sehen sich häufig Betrügereien bei Kooperationsanfragen, Geschäftsentwicklung und technologischen Integrationen gegenüber.
Zum Beispiel geben sich Hacker als bekannte CEX-Leiter oder ökologische Partner aus, laden zu Online-Meetings ein und senden tatsächlich gefälschte Zoom-Video-Links oder bösartige Vertragsdateien.
Im Jahr 2024 deckte Slow Mist mehrere Fälle von Hackern auf, die gefälschte Video-Meeting-Links erzeugten, die sich direkt gegen die Multi-Signatur-Autorisierung und die Schlüsselverwaltung der Projekte richteten. Die Huione Guarantee-Plattform, die im Chainalysis-Bericht erwähnt wird, bietet Betrügerbanden AI-Gesichtstausch und gefälschte KYC-Dienste an, um ihnen zu helfen, CEO- und CTO-Imagevideos zu fälschen und finanzielle Autorisierungen zu ergaunern.
Darüber hinaus setzen Angreifer häufig unter dem Namen "SDK-Upgrade-Paket" oder "API-Dokumentation" bösartige Code-Links an das Entwicklungsteam, um Downloads zu induzieren.
Für Web3-Arbeitssuchende
Social-Engineering-Angriffe treten auch häufig in "Stellenangeboten" und "Teilzeitjob"-Informationen auf.
Angreifer verkleiden sich als HR-Mitarbeiter von Projekten, Personalleiter führender Plattformen oder fälschen Stellenanzeigen mit gut bezahlten Positionen, um Bewerber zur Einreichung ihrer Lebensläufe zu verleiten. Sobald Vertrauen hergestellt ist, werden die Opfer häufig dazu geleitet, gefälschte Interview-Links zu klicken, bösartige Dateien herunterzuladen oder sie sogar in sogenannte "Aufgabenplattformen" zu bringen, um durch Auftragsarbeiten Gelder zu erschleichen.
Der Chainalysis-Bericht weist darauf hin, dass das "Pig Butchering"-Team im Jahr 2024 gefälschte Stellenanzeigen als neue Geschäftslinie nutzt, um Opfer dazu zu verleiten, weiterhin Geld zu investieren, bis sie nicht mehr abheben können. Darüber hinaus hat Slow Mist mehrere Fälle von Jobbetrug überwacht, bei denen Angreifer bösartige Links über gefälschte Stellenangebote senden, um Wallet-Berechtigungen oder sensible Informationen zu stehlen.
Wie man sich gegen Social-Engineering-Angriffe schützt?
Du kannst Betrügern niemals verbieten, sich dir zu nähern, aber du kannst ihnen die Gelegenheit nehmen.
Die grundlegende Idee ist einfach: Die Sensibilität gegenüber Verlockungen, Einschüchterungen und Vertrauenskreisen erhöhen, kombiniert mit technischen Schutzmaßnahmen.
Vertraue nur offiziellen Kanälen für Informationen. Überprüfe unbedingt über die offiziellen auf der Website veröffentlichten E-Mail-Adressen, Twitter-Accounts und Discord-Gruppen.
Installiere Anti-Phishing-Plugins. Anti-Phishing-Plugins wie Wallet Guard und PhishFort können effektiv markierte Phishing-Websites und bösartige Links blockieren.
Gib niemals deinen privaten Schlüssel preis und sei vorsichtig bei der Autorisierung von Signaturen. Jede seriöse Plattform und jedes Projekt wird niemals nach deinem privaten Schlüssel oder deiner Mnemonik fragen. Stelle vor der Unterzeichnung eines Vertrags sicher, dass die Quelle und die Berechtigungen des Vertrags überprüft wurden.
Projektinhaber und Kernmitglieder sollten die Geschäftsverbindungen streng kontrollieren. Es wird empfohlen, den E-Mail-Schutz gegen Phishing für Kernmitglieder zu aktivieren, Dokumente in einer Sandbox-Umgebung zu empfangen und ungeprüfte SDK/API-Einladungen abzulehnen.
Wallets sollten hierarchisch strukturiert und Vermögenswerte diversifiziert werden. Es wird empfohlen, eine Kombination aus Cold Wallet und Hardware Wallet zu verwenden, wobei alltägliche Wallets, Investitionswallets und Speicherwallets getrennt sind und durch Multi-Signaturen geschützt werden.
Gewöhne dir die Gewohnheit an, "5 Minuten zu stoppen" und deine Reaktion zu verzögern. Bei allen Überweisungen oder dringenden Operationen zwing dich dazu, 5 Minuten zu pausieren, um zu überprüfen, bevor du handelst. Sozialengineering-Betrügereien fürchten deine Ruhe.
Der erste Schritt in die Web3-Investition besteht nicht darin, Renditen zu verfolgen, sondern zuerst zu lernen, wie man das Kapital schützt.
Gib Betrügern keine Chance.