Was sollte man tun, nachdem das Wallet gestohlen wurde?
Zuerst klären, um welche Art Diebstahl es sich handelt. Oft schreiben Leute mir privat, dass ihnen das Wallet gestohlen wurde.
Zuerst mein Fazit:
In den allermeisten Fällen sollte die betroffene Adresse nicht mehr weiterverwendet werden. Stattdessen ein neues Konto eröffnen. Investiere die Zeit eher in die Ursachenanalyse als in das Grübeln über die alte Adresse – das bringt deutlich mehr.
Aber bevor du neu eröffnest, dürfen ein paar Schritte in der richtigen Reihenfolge nicht durcheinandergeraten.
1⃣ Schritt eins: Zuerst unterscheiden, ob es passiv oder aktiv war.
„Passiv“ heißt: Du hast selbst nichts falsch gemacht.
Zum Beispiel lagen die Gelder in einem bestimmten DeFi-Pool, und das Projekt wurde gehackt; oder in früheren Jahren gab es eine Schwachstelle in einem Fingerprint-Browser, wodurch Infos abflossen und Hacker dann zugriffen.
In solchen Fällen lohnt sich zuerst eine kurze Recherche in den Nachrichten: Schau, ob an dem Tag ein bestimmtes Projekt oder Team betroffen war – und ob du zufällig daran beteiligt warst. So lässt sich es meist schnell zuordnen.
Diese Art Auswirkung ist eigentlich nicht so groß.
Wenn der gehackte Pool dem Projekt gehörte, ist dein eigenes Wallet sicher und du kannst weiterarbeiten.
Zumindest gibt es einen klaren Verursacher („schuld hat jemand“), du weißt, wo das Problem herkommt, und musst nicht ständig Angst haben, dass es dir nochmal passiert.
„Aktiv“ ist hingegen das Problem.
Wenn private keys oder Seed Phrases offengelegt wurden oder du auf einen Phishing-Link geklickt bzw. einen mit Schadcode versehenen Vertrag autorisiert hast.
Wenn man die Ursache nicht klärt, wird man auch mit einer neuen Adresse wieder bestohlen.
Aktiv lässt sich noch in zwei Arten unterteilen:
Eine ist, dass die Seed Phrase schon sehr früh, in einem unauffälligen Moment, entwendet wurde – das ist am schwersten zu erkennen;
die andere: Du hast gerade erst eine Website angeklickt oder eine Autorisierung unterschrieben, und innerhalb etwa einer Stunde passiert es. In deinem Kopf weißt du das meistens selbst, zum Beispiel wenn du auf einen gefälschten Account auf Twitter geklickt hast.
2⃣ Prüfe, ob der gestohlene Vermögenswert ein natives Token oder ein nicht-natives Token ist.
Das ist für mich der wichtigste Entscheidungspunkt.
Reines Autorisierungs-Phishing kann normalerweise nur nicht-native Tokens abziehen, also ERC20 und NFT.
Wenn aber festgestellt wird, dass auch native Tokens weg sind, bedeutet das: Der Hacker hat die vollständige Kontrolle über dieses Wallet – die private key oder die Seed Phrase ist also bereits kompromittiert.
Ab diesem Punkt ist das Wallet endgültig „kaputt“ und es gibt keinen wirklichen Rettungsversuch.
3⃣ Beweise sichern (Forensik).
Klär zwei Dinge: Wie wurde ich angegriffen, und wohin ist das Geld geflossen.
Für die Verfolgung der Geldflüsse nutze ich meist eine Visualisierungs-Webseite für die On-Chain-Analyse: https://t.co/dPY17Om9ui
Sie unterstützt ETH, BSC, Polygon usw., sodass du die ganze Kette prüfen kannst.
Wenn du die Adresse einfügst, bekommst du eine Baumstruktur: Du siehst, woher die Gelder für diese Adresse kamen, ob sie über einen Cross-Chain-Prozess gekommen sind oder z. B. aus Uniswap, und wohin sie danach weiter transferiert wurden.
Du kannst jede Ebene weiter anklicken und so immer tiefer verfolgen.
Ich habe diese Seite ursprünglich eigentlich beim „Fischen nach Gratis-Mitteln“ benutzt: um zu sehen, ob es On-Chain-Beziehungen zwischen meinen Adressen gibt und ob ich möglicherweise als „Sybil/Maskerade“ bewertet werde.
Zum Prüfen gestohlener Gelder funktioniert sie genauso gut.
4⃣ Nach der Ursachenanalyse: Gemütlich bleiben.
Manchmal findet man am Ende heraus, dass es ein Problem außerhalb der Chain war.
Ich hatte früher einen Freund, der ein kleines Studio aufbaute: Er hat On-Chain extrem lange nach allen möglichen Richtungen durchsucht – es wurde nichts gefunden.
Die Schlussfolgerung war dann, dass er die Seed Phrase in ein kleines Heft geschrieben und in einer Schublade abgelegt hatte. Bei einem Zwischenfall hat jemand heimlich abgeschrieben.
Das kann man On-Chain überhaupt nicht erkennen.
Und wenn er diese Aufzeichnungsgewohnheit nicht ändert, wird er auch mit zehn neuen Accounts wieder bestohlen.
Und selbst wenn man etwas findet, bringt es manchmal auch nichts.
Ich wurde selbst einmal bestohlen: Früher beim Spielen von „Running Shoes“ hat der Projektanbieter mir eine Adresse generiert. Später wurde bestätigt, dass bei dieser Charge die Algorithmen bei der Generierung der Seed Phrases fehlerhaft waren – die Seeds waren schon lange online geleakt.
Darum empfehle ich seitdem: Bei größeren Geldbeträgen lieber Cold Wallet.
Zentralisierte Börsen sind auch nicht absolut sicher. Die Risiken „Hacken“ und „Insolvenz/Schließung“ existieren ebenfalls.
5⃣ Was wir im Alltag persönlich tun können: eigentlich nur zwei Dinge.
Erstens: regelmäßig Autorisierungen bereinigen.
Öffne im OKX Wallet das Berechtigungs-/Autorisierungsmanagement. Es zeigt bösartige Adressen, betrügerische Verträge und Autorisierungen, die lange nicht genutzt wurden. Das kann man über die gesamte Kette hinweg sehen.
Ich selbst habe in meinem Wallet sehr viele Autorisierungen gesammelt. In der Regel hebe ich eine ganze Reihe auf, wenn die Gas-Kosten gerade günstig sind.
Zweitens: Installiere ein Tool, das Phishing-Seiten erkennen kann. OKX Wallet und GoPlus (und ähnliche) funktionieren. Wenn du eine problematische Website öffnest, erscheint vorher eine Warnmeldung.
Das senkt das Risiko, aber es kostet kaum etwas.
Zum Schluss noch ein Satz:
Hacker sind in Wirklichkeit nicht so „genial“, wie viele denken.
Einen sicher verwahrten privaten key direkt zu knacken, ist nicht einfach. Am wichtigsten ist, dass man sich mit Sicherheitsbewusstsein wirklich bemüht.
Zuerst klären, um welche Art Diebstahl es sich handelt. Oft schreiben Leute mir privat, dass ihnen das Wallet gestohlen wurde.
Zuerst mein Fazit:
In den allermeisten Fällen sollte die betroffene Adresse nicht mehr weiterverwendet werden. Stattdessen ein neues Konto eröffnen. Investiere die Zeit eher in die Ursachenanalyse als in das Grübeln über die alte Adresse – das bringt deutlich mehr.
Aber bevor du neu eröffnest, dürfen ein paar Schritte in der richtigen Reihenfolge nicht durcheinandergeraten.
1⃣ Schritt eins: Zuerst unterscheiden, ob es passiv oder aktiv war.
„Passiv“ heißt: Du hast selbst nichts falsch gemacht.
Zum Beispiel lagen die Gelder in einem bestimmten DeFi-Pool, und das Projekt wurde gehackt; oder in früheren Jahren gab es eine Schwachstelle in einem Fingerprint-Browser, wodurch Infos abflossen und Hacker dann zugriffen.
In solchen Fällen lohnt sich zuerst eine kurze Recherche in den Nachrichten: Schau, ob an dem Tag ein bestimmtes Projekt oder Team betroffen war – und ob du zufällig daran beteiligt warst. So lässt sich es meist schnell zuordnen.
Diese Art Auswirkung ist eigentlich nicht so groß.
Wenn der gehackte Pool dem Projekt gehörte, ist dein eigenes Wallet sicher und du kannst weiterarbeiten.
Zumindest gibt es einen klaren Verursacher („schuld hat jemand“), du weißt, wo das Problem herkommt, und musst nicht ständig Angst haben, dass es dir nochmal passiert.
„Aktiv“ ist hingegen das Problem.
Wenn private keys oder Seed Phrases offengelegt wurden oder du auf einen Phishing-Link geklickt bzw. einen mit Schadcode versehenen Vertrag autorisiert hast.
Wenn man die Ursache nicht klärt, wird man auch mit einer neuen Adresse wieder bestohlen.
Aktiv lässt sich noch in zwei Arten unterteilen:
Eine ist, dass die Seed Phrase schon sehr früh, in einem unauffälligen Moment, entwendet wurde – das ist am schwersten zu erkennen;
die andere: Du hast gerade erst eine Website angeklickt oder eine Autorisierung unterschrieben, und innerhalb etwa einer Stunde passiert es. In deinem Kopf weißt du das meistens selbst, zum Beispiel wenn du auf einen gefälschten Account auf Twitter geklickt hast.
2⃣ Prüfe, ob der gestohlene Vermögenswert ein natives Token oder ein nicht-natives Token ist.
Das ist für mich der wichtigste Entscheidungspunkt.
Reines Autorisierungs-Phishing kann normalerweise nur nicht-native Tokens abziehen, also ERC20 und NFT.
Wenn aber festgestellt wird, dass auch native Tokens weg sind, bedeutet das: Der Hacker hat die vollständige Kontrolle über dieses Wallet – die private key oder die Seed Phrase ist also bereits kompromittiert.
Ab diesem Punkt ist das Wallet endgültig „kaputt“ und es gibt keinen wirklichen Rettungsversuch.
3⃣ Beweise sichern (Forensik).
Klär zwei Dinge: Wie wurde ich angegriffen, und wohin ist das Geld geflossen.
Für die Verfolgung der Geldflüsse nutze ich meist eine Visualisierungs-Webseite für die On-Chain-Analyse: https://t.co/dPY17Om9ui
Sie unterstützt ETH, BSC, Polygon usw., sodass du die ganze Kette prüfen kannst.
Wenn du die Adresse einfügst, bekommst du eine Baumstruktur: Du siehst, woher die Gelder für diese Adresse kamen, ob sie über einen Cross-Chain-Prozess gekommen sind oder z. B. aus Uniswap, und wohin sie danach weiter transferiert wurden.
Du kannst jede Ebene weiter anklicken und so immer tiefer verfolgen.
Ich habe diese Seite ursprünglich eigentlich beim „Fischen nach Gratis-Mitteln“ benutzt: um zu sehen, ob es On-Chain-Beziehungen zwischen meinen Adressen gibt und ob ich möglicherweise als „Sybil/Maskerade“ bewertet werde.
Zum Prüfen gestohlener Gelder funktioniert sie genauso gut.
4⃣ Nach der Ursachenanalyse: Gemütlich bleiben.
Manchmal findet man am Ende heraus, dass es ein Problem außerhalb der Chain war.
Ich hatte früher einen Freund, der ein kleines Studio aufbaute: Er hat On-Chain extrem lange nach allen möglichen Richtungen durchsucht – es wurde nichts gefunden.
Die Schlussfolgerung war dann, dass er die Seed Phrase in ein kleines Heft geschrieben und in einer Schublade abgelegt hatte. Bei einem Zwischenfall hat jemand heimlich abgeschrieben.
Das kann man On-Chain überhaupt nicht erkennen.
Und wenn er diese Aufzeichnungsgewohnheit nicht ändert, wird er auch mit zehn neuen Accounts wieder bestohlen.
Und selbst wenn man etwas findet, bringt es manchmal auch nichts.
Ich wurde selbst einmal bestohlen: Früher beim Spielen von „Running Shoes“ hat der Projektanbieter mir eine Adresse generiert. Später wurde bestätigt, dass bei dieser Charge die Algorithmen bei der Generierung der Seed Phrases fehlerhaft waren – die Seeds waren schon lange online geleakt.
Darum empfehle ich seitdem: Bei größeren Geldbeträgen lieber Cold Wallet.
Zentralisierte Börsen sind auch nicht absolut sicher. Die Risiken „Hacken“ und „Insolvenz/Schließung“ existieren ebenfalls.
5⃣ Was wir im Alltag persönlich tun können: eigentlich nur zwei Dinge.
Erstens: regelmäßig Autorisierungen bereinigen.
Öffne im OKX Wallet das Berechtigungs-/Autorisierungsmanagement. Es zeigt bösartige Adressen, betrügerische Verträge und Autorisierungen, die lange nicht genutzt wurden. Das kann man über die gesamte Kette hinweg sehen.
Ich selbst habe in meinem Wallet sehr viele Autorisierungen gesammelt. In der Regel hebe ich eine ganze Reihe auf, wenn die Gas-Kosten gerade günstig sind.
Zweitens: Installiere ein Tool, das Phishing-Seiten erkennen kann. OKX Wallet und GoPlus (und ähnliche) funktionieren. Wenn du eine problematische Website öffnest, erscheint vorher eine Warnmeldung.
Das senkt das Risiko, aber es kostet kaum etwas.
Zum Schluss noch ein Satz:
Hacker sind in Wirklichkeit nicht so „genial“, wie viele denken.
Einen sicher verwahrten privaten key direkt zu knacken, ist nicht einfach. Am wichtigsten ist, dass man sich mit Sicherheitsbewusstsein wirklich bemüht.