Angeheftete Anzeige gibt sich als Trezor Suite aus – wer seine Seed-Phrase eingibt, wird binnen Minuten ausgeraubt
Ende Oktober suchte jemand bei Google nach Trezor Suite. Über dem echten Suchergebnis stand eine Anzeige. Der Klick führte zu einer Seite mit einer täuschend echt nachgebauten Wallet-Software – manchmal unter einer eigenen Domain, manchmal versteckt auf einer Google-Sites-Seite. Die Seite forderte Nutzer auf, ihre Seed-Phrase einzugeben, angeblich um die Wallet wiederherzustellen. Wer sie eingab, stellte innerhalb weniger Minuten fest, dass das Guthaben verschwunden war.
Auf Chainabuse gibt es zu dieser Masche bislang nur fünf Meldungen aus mehreren Ländern. Eine meldende Person sagte, sie habe in Tschechien Anzeige erstattet. Der Verlust umfasste Bitcoin, Ether und Stablecoins. Das Blockchain-Analysetool Coinator verfolgte nur die Bitcoin-Seite und ermittelte ein deutlich größeres Ausmaß als die Meldungen vermuten ließen.
Das Geld floss nicht direkt in die Wallets der Betrüger, sondern zunächst an zwei feste Empfangsadressen. Die erste Adresse erhielt 39 Transaktionen mit insgesamt 3,32 Bitcoin zwischen dem 27. und 31. Oktober. In der größten Einzelmeldung ging es um mehr als 0,2 Bitcoin. Für die zweite Adresse gab es keine Meldungen, dennoch erhielt sie 56 Transaktionen mit insgesamt 8,17 Bitcoin – mehr als doppelt so viel wie die erste. Zusammen kamen die beiden Adressen auf rund 95 Transaktionen und insgesamt 11,49 Bitcoin.
Am 31. Oktober um 15:57 Uhr UTC wurde die zweite Adresse mit einer einzigen Transaktion mit 56 Inputs vollständig geleert. Zwölf Minuten später wurde auch die erste Adresse mit einer Transaktion mit 33 Inputs geleert. Beide Beträge gingen an dieselbe Zwischenadresse. Diese erhielt insgesamt 21,62 Bitcoin. Der zusätzliche Betrag stammte aus früheren Eingängen. Coinator zufolge hatte die Gruppe zuvor bereits ähnliche Zahlungen erhalten. Ab 17:12 Uhr UTC desselben Tages begann die Zwischenadresse, das Geld in mehreren Tranchen weiterzuleiten: zuerst 2,0 Bitcoin, dann 2,86 Bitcoin und zuletzt 1,54 Bitcoin. Alle drei Transaktionen hatten exakt dieselbe Gebühr von 564 Satoshi. Auch Version, Sperrzeit und Replace-by-Fee-Kennzeichnung waren identisch – ein deutlicher Hinweis darauf, dass sie aus derselben Wallet stammten.
Von den drei weitergeleiteten Beträgen lagen 2,0 Bitcoin und 2,86 Bitcoin am 3. November noch unberührt auf ihren ursprünglichen Adressen. Die 1,54 Bitcoin wurden noch am selben Abend in drei Schritten weitergeleitet: zunächst 0,01 Bitcoin als Test, dann 0,5 Bitcoin und zuletzt 1,03 Bitcoin. Jeder Schritt führte über eine Zwischenadresse; am Ende landete alles in der Hot Wallet desselben Verwahrdienstes. Seit Februar 2025 hat diese Hot Wallet bereits rund 139.000 Transaktionen abgewickelt und etwa 37.000 Bitcoin bewegt. Ihr sind 162.000 Einzahlungsadressen zugeordnet, von denen fast jede nur einmal verwendet wird. Dieselbe Hot Wallet erhielt im August auch Geld aus einem gefälschten Kraken-Kundendienstbetrug und war Ende Oktober der Endpunkt bei einem Fall aus Argentinien. Drei verschiedene Betrugsmaschen, ein gemeinsames Ziel für die Zahlungen.
Hier kann man die Spur leicht falsch verfolgen. Die Testzahlung von 0,01 Bitcoin ging an eine Einzahlungsadresse. Einige Stunden später wurden die Gelder von dieser Adresse zusammen mit denen von acht weiteren Einzahlungsadressen und zwei Inputs der Hot Wallet ausgegeben. 0,29 Bitcoin gingen an eine neue Adresse – es sah so aus, als hätten die Betrüger das Geld zurückgeholt und sogar noch vermehrt. Tatsächlich war es eine Auszahlung des Verwahrdienstes an einen Kunden. Die Einzahlungsadressen und die Hot Wallet gehören dem Dienstleister. Sobald das Geld dort eingeht, ist nicht mehr relevant, wer es ursprünglich eingezahlt hat. Wer den Betrügern bis zur Hot Wallet folgt, verfolgt die falschen Personen. Festhalten sollte man stattdessen die beiden Empfangsadressen der Betrüger.
Für Privatanleger ist die Konsequenz ganz konkret: Wallet-Software sollte man ausschließlich von der offiziellen Website des Herstellers beziehen. Anzeigen ganz oben in den Suchergebnissen sollte man grundsätzlich erst einmal für gefälscht halten. Wenn eine Website nach der Seed-Phrase fragt, kann man sie sofort schließen; fragt jemand am Telefon danach, kann man direkt auflegen. Sobald die Seed-Phrase auf einer gefälschten Seite eingegeben wurde, ist die Wallet praktisch bereits preisgegeben. Man sollte auf einem sauberen Gerät mit einer neuen Seed-Phrase eine neue Wallet erstellen und das verbleibende Geld so schnell wie möglich dorthin übertragen. Auch Meldungen sollte man nicht auslassen: Die fünf bisherigen Meldungen zeigen nur die Spitze des Eisbergs. Jede weitere Meldung erhöht die Chance, dass die Empfangsadressen entdeckt werden.
Mein Fazit in einem Satz: Vor dem Herunterladen einer Wallet die Domain der offiziellen Website überprüfen und angeheftete Anzeigen grundsätzlich überspringen – dieser kurze Umweg hilft mehr, als hinterher den Spuren auf der Blockchain zu folgen.
Wie ladet ihr Wallet-Software normalerweise herunter: Klickt ihr direkt auf ein Suchergebnis oder überprüft ihr zuerst die Domain der offiziellen Website?
—— web3-Lauch Xiao Kai
Dieser Beitrag gibt ausschließlich meine persönliche Meinung wieder und stellt keine Anlageberatung dar. Als Quellen dienen die Blockchain-Analyse von Coinator vom 3. November sowie die Meldungen auf Chainabuse.
#Trezor #防骗 #助记词 #Blockchain-Tracking
Ende Oktober suchte jemand bei Google nach Trezor Suite. Über dem echten Suchergebnis stand eine Anzeige. Der Klick führte zu einer Seite mit einer täuschend echt nachgebauten Wallet-Software – manchmal unter einer eigenen Domain, manchmal versteckt auf einer Google-Sites-Seite. Die Seite forderte Nutzer auf, ihre Seed-Phrase einzugeben, angeblich um die Wallet wiederherzustellen. Wer sie eingab, stellte innerhalb weniger Minuten fest, dass das Guthaben verschwunden war.
Auf Chainabuse gibt es zu dieser Masche bislang nur fünf Meldungen aus mehreren Ländern. Eine meldende Person sagte, sie habe in Tschechien Anzeige erstattet. Der Verlust umfasste Bitcoin, Ether und Stablecoins. Das Blockchain-Analysetool Coinator verfolgte nur die Bitcoin-Seite und ermittelte ein deutlich größeres Ausmaß als die Meldungen vermuten ließen.
Das Geld floss nicht direkt in die Wallets der Betrüger, sondern zunächst an zwei feste Empfangsadressen. Die erste Adresse erhielt 39 Transaktionen mit insgesamt 3,32 Bitcoin zwischen dem 27. und 31. Oktober. In der größten Einzelmeldung ging es um mehr als 0,2 Bitcoin. Für die zweite Adresse gab es keine Meldungen, dennoch erhielt sie 56 Transaktionen mit insgesamt 8,17 Bitcoin – mehr als doppelt so viel wie die erste. Zusammen kamen die beiden Adressen auf rund 95 Transaktionen und insgesamt 11,49 Bitcoin.
Am 31. Oktober um 15:57 Uhr UTC wurde die zweite Adresse mit einer einzigen Transaktion mit 56 Inputs vollständig geleert. Zwölf Minuten später wurde auch die erste Adresse mit einer Transaktion mit 33 Inputs geleert. Beide Beträge gingen an dieselbe Zwischenadresse. Diese erhielt insgesamt 21,62 Bitcoin. Der zusätzliche Betrag stammte aus früheren Eingängen. Coinator zufolge hatte die Gruppe zuvor bereits ähnliche Zahlungen erhalten. Ab 17:12 Uhr UTC desselben Tages begann die Zwischenadresse, das Geld in mehreren Tranchen weiterzuleiten: zuerst 2,0 Bitcoin, dann 2,86 Bitcoin und zuletzt 1,54 Bitcoin. Alle drei Transaktionen hatten exakt dieselbe Gebühr von 564 Satoshi. Auch Version, Sperrzeit und Replace-by-Fee-Kennzeichnung waren identisch – ein deutlicher Hinweis darauf, dass sie aus derselben Wallet stammten.
Von den drei weitergeleiteten Beträgen lagen 2,0 Bitcoin und 2,86 Bitcoin am 3. November noch unberührt auf ihren ursprünglichen Adressen. Die 1,54 Bitcoin wurden noch am selben Abend in drei Schritten weitergeleitet: zunächst 0,01 Bitcoin als Test, dann 0,5 Bitcoin und zuletzt 1,03 Bitcoin. Jeder Schritt führte über eine Zwischenadresse; am Ende landete alles in der Hot Wallet desselben Verwahrdienstes. Seit Februar 2025 hat diese Hot Wallet bereits rund 139.000 Transaktionen abgewickelt und etwa 37.000 Bitcoin bewegt. Ihr sind 162.000 Einzahlungsadressen zugeordnet, von denen fast jede nur einmal verwendet wird. Dieselbe Hot Wallet erhielt im August auch Geld aus einem gefälschten Kraken-Kundendienstbetrug und war Ende Oktober der Endpunkt bei einem Fall aus Argentinien. Drei verschiedene Betrugsmaschen, ein gemeinsames Ziel für die Zahlungen.
Hier kann man die Spur leicht falsch verfolgen. Die Testzahlung von 0,01 Bitcoin ging an eine Einzahlungsadresse. Einige Stunden später wurden die Gelder von dieser Adresse zusammen mit denen von acht weiteren Einzahlungsadressen und zwei Inputs der Hot Wallet ausgegeben. 0,29 Bitcoin gingen an eine neue Adresse – es sah so aus, als hätten die Betrüger das Geld zurückgeholt und sogar noch vermehrt. Tatsächlich war es eine Auszahlung des Verwahrdienstes an einen Kunden. Die Einzahlungsadressen und die Hot Wallet gehören dem Dienstleister. Sobald das Geld dort eingeht, ist nicht mehr relevant, wer es ursprünglich eingezahlt hat. Wer den Betrügern bis zur Hot Wallet folgt, verfolgt die falschen Personen. Festhalten sollte man stattdessen die beiden Empfangsadressen der Betrüger.
Für Privatanleger ist die Konsequenz ganz konkret: Wallet-Software sollte man ausschließlich von der offiziellen Website des Herstellers beziehen. Anzeigen ganz oben in den Suchergebnissen sollte man grundsätzlich erst einmal für gefälscht halten. Wenn eine Website nach der Seed-Phrase fragt, kann man sie sofort schließen; fragt jemand am Telefon danach, kann man direkt auflegen. Sobald die Seed-Phrase auf einer gefälschten Seite eingegeben wurde, ist die Wallet praktisch bereits preisgegeben. Man sollte auf einem sauberen Gerät mit einer neuen Seed-Phrase eine neue Wallet erstellen und das verbleibende Geld so schnell wie möglich dorthin übertragen. Auch Meldungen sollte man nicht auslassen: Die fünf bisherigen Meldungen zeigen nur die Spitze des Eisbergs. Jede weitere Meldung erhöht die Chance, dass die Empfangsadressen entdeckt werden.
Mein Fazit in einem Satz: Vor dem Herunterladen einer Wallet die Domain der offiziellen Website überprüfen und angeheftete Anzeigen grundsätzlich überspringen – dieser kurze Umweg hilft mehr, als hinterher den Spuren auf der Blockchain zu folgen.
Wie ladet ihr Wallet-Software normalerweise herunter: Klickt ihr direkt auf ein Suchergebnis oder überprüft ihr zuerst die Domain der offiziellen Website?
—— web3-Lauch Xiao Kai
Dieser Beitrag gibt ausschließlich meine persönliche Meinung wieder und stellt keine Anlageberatung dar. Als Quellen dienen die Blockchain-Analyse von Coinator vom 3. November sowie die Meldungen auf Chainabuse.
#Trezor #防骗 #助记词 #Blockchain-Tracking
