Ich dachte immer, wenn man in eine Community kommt, in der viele Leute sind, die Namen sehr offiziell klingen und das Profilbild „seriös“ wirkt, dann ist man automatisch in einer sicheren Zone. Bis zu dem Mal mit dem „Admin-Privatchat“: Da habe ich verstanden, dass Orte mit vielen Menschen genau die besten Angelplätze für Betrüger sind.
Eine Zeit lang beobachtete ich ein neues Projekt und wollte in dessen offiziellen Community-Chat. In einer Social-Media-App habe ich danach gesucht und mehrere Gruppen mit demselben Namen gefunden. Eine davon hatte über 10.000 Mitglieder, und die Gruppenankündigung war so ordentlich formuliert, dass ich dachte: „So viele Leute—das ist bestimmt offiziell.“ Also bin ich eingetreten. Kaum ein paar Minuten später schrieb mich jemand mit Admin-Tag privat an: „Glückwunsch, du wurdest für die Projekt- Airdrop-Teilnahme ausgelost. Bitte klicke den Link, um die Wallet-Verifizierung abzuschließen; bei Fristversäumnis verfällt alles.“ Dazu gab es einen „offiziellen“ Link.
Fast hätte ich darauf geklickt. Aber dann erinnerte ich mich daran, dass mir „Je offizieller es aussieht, desto vorsichtiger muss man sein“ schon oft einen Strich durch die Rechnung gemacht hat. Also ging ich erst zurück zur offiziellen Website des Projekts und suchte im Abschnitt mit den offiziellen Ankündigungen nach dem Eingang zur offiziellen Gruppe—und stellte fest: Die „Zehntausend-Mann-Gruppe“, der ich beigetreten war, war gar nicht vom Projekt selbst erstellt, sondern eine täuschend ähnlich aussehende Phishing-Gruppe.
In der Gruppe waren die „Admins“, „Kundenservice“ und „alte Nutzer“ allesamt kleine Betrüger-Accounts. Sie spielten ihre Rollen abgestimmt, um genau Leute wie mich an der Angel zu haben—Menschen, die wegen „so vieler Teilnehmer“ hineingehen. Der Link zur angeblichen „Airdrop-Verifizierung“ war genau der Einstieg, um Wallet-Berechtigungen zu stehlen.
Ich bin sofort aus der Gruppe ausgetreten, habe den „Admin“ blockiert und war froh, dass ich noch einmal gegengeprüft hatte. Diese Sache hat mir endgültig die Gewohnheit „Menschen statt Wege erkennen“ abgewöhnt: Erstens—jede offizielle Community eines Projekts betritt man nur über die Eingänge, die direkt von der offiziellen Website und offiziellen Ankündigungen bereitgestellt werden; niemals wählt man in der Suchleiste „nach Gefühl“ eine Gruppe aus. Zweitens—Admins in offiziellen Gruppen werden dich niemals privat anschreiben, dir einen Link schicken und dich auffordern, „die Wallet zu verifizieren“ oder „den Airdrop abzuholen“. Alles, was als „offizieller Vorteil“ per Privatnachricht kommt, ist Betrug. Drittens—bevor man der Gruppe beitritt, zuerst Ankündigungen und die angepinnte Beiträge ansehen: Gibt es dort offizielle Sicherheitswarnungen? Lass dich nicht nur von „Menschenmengen und Hype“ in die Irre führen.
Im Web3 bedeutet „lebhaft“ nicht „vertrauenswürdig“, und die Größe ersetzt keine Verifizierung.
Der Ort, an dem sich Betrüger am liebsten verstecken, sind genau die Gruppen, die „wie offiziell“ wirken. Diese „Zehntausend-Fischer“-Gruppe war für mich eine Lektion bis heute: Halte dich an offizielle Eingänge, vertraue nur den Adressen aus den Ankündigungen—selbst wenn es noch so lebhaft wirkt, hat das nichts mit dir zu tun.
#Binance-Sicherheits-Donnerstag
Eine Zeit lang beobachtete ich ein neues Projekt und wollte in dessen offiziellen Community-Chat. In einer Social-Media-App habe ich danach gesucht und mehrere Gruppen mit demselben Namen gefunden. Eine davon hatte über 10.000 Mitglieder, und die Gruppenankündigung war so ordentlich formuliert, dass ich dachte: „So viele Leute—das ist bestimmt offiziell.“ Also bin ich eingetreten. Kaum ein paar Minuten später schrieb mich jemand mit Admin-Tag privat an: „Glückwunsch, du wurdest für die Projekt- Airdrop-Teilnahme ausgelost. Bitte klicke den Link, um die Wallet-Verifizierung abzuschließen; bei Fristversäumnis verfällt alles.“ Dazu gab es einen „offiziellen“ Link.
Fast hätte ich darauf geklickt. Aber dann erinnerte ich mich daran, dass mir „Je offizieller es aussieht, desto vorsichtiger muss man sein“ schon oft einen Strich durch die Rechnung gemacht hat. Also ging ich erst zurück zur offiziellen Website des Projekts und suchte im Abschnitt mit den offiziellen Ankündigungen nach dem Eingang zur offiziellen Gruppe—und stellte fest: Die „Zehntausend-Mann-Gruppe“, der ich beigetreten war, war gar nicht vom Projekt selbst erstellt, sondern eine täuschend ähnlich aussehende Phishing-Gruppe.
In der Gruppe waren die „Admins“, „Kundenservice“ und „alte Nutzer“ allesamt kleine Betrüger-Accounts. Sie spielten ihre Rollen abgestimmt, um genau Leute wie mich an der Angel zu haben—Menschen, die wegen „so vieler Teilnehmer“ hineingehen. Der Link zur angeblichen „Airdrop-Verifizierung“ war genau der Einstieg, um Wallet-Berechtigungen zu stehlen.
Ich bin sofort aus der Gruppe ausgetreten, habe den „Admin“ blockiert und war froh, dass ich noch einmal gegengeprüft hatte. Diese Sache hat mir endgültig die Gewohnheit „Menschen statt Wege erkennen“ abgewöhnt: Erstens—jede offizielle Community eines Projekts betritt man nur über die Eingänge, die direkt von der offiziellen Website und offiziellen Ankündigungen bereitgestellt werden; niemals wählt man in der Suchleiste „nach Gefühl“ eine Gruppe aus. Zweitens—Admins in offiziellen Gruppen werden dich niemals privat anschreiben, dir einen Link schicken und dich auffordern, „die Wallet zu verifizieren“ oder „den Airdrop abzuholen“. Alles, was als „offizieller Vorteil“ per Privatnachricht kommt, ist Betrug. Drittens—bevor man der Gruppe beitritt, zuerst Ankündigungen und die angepinnte Beiträge ansehen: Gibt es dort offizielle Sicherheitswarnungen? Lass dich nicht nur von „Menschenmengen und Hype“ in die Irre führen.
Im Web3 bedeutet „lebhaft“ nicht „vertrauenswürdig“, und die Größe ersetzt keine Verifizierung.
Der Ort, an dem sich Betrüger am liebsten verstecken, sind genau die Gruppen, die „wie offiziell“ wirken. Diese „Zehntausend-Fischer“-Gruppe war für mich eine Lektion bis heute: Halte dich an offizielle Eingänge, vertraue nur den Adressen aus den Ankündigungen—selbst wenn es noch so lebhaft wirkt, hat das nichts mit dir zu tun.
#Binance-Sicherheits-Donnerstag
