Woran du erkennst, ob deine Krypto-Wallet gehackt wurde: 10 Warnsignale

Eine bestätigte Übertragung, die du nicht autorisiert hast, ist das deutlichste Warnsignal dafür, dass etwas nicht stimmt. Doch eine Wallet kann bereits unsicher sein, bevor Geld verschwindet. Eine gestohlene Wiederherstellungsphrase, eine versteckte Ausgabeberechtigung oder eine Änderung der Wallet-Kontrolle können einem Angreifer Zugriff verschaffen, obwohl dein Guthaben noch normal aussieht.

Einige der folgenden Warnsignale deuten auf einen tatsächlichen Diebstahl hin. Andere zeigen, dass deine Wallet oder dein Gerät möglicherweise gefährdet ist. Dieser Unterschied ist wichtig, denn die richtige Gegenmaßnahme hängt davon ab, wie der Angreifer Zugriff erlangt hat.

Wenn gerade Guthaben abfließt, zahle nichts mehr in die Wallet ein und springe zu den Gegenmaßnahmen gegen Ende des Artikels.

Was bedeutet es eigentlich, wenn eine Krypto-Wallet gehackt wurde?

Deine Kryptowährungen sind auf einer Blockchain erfasst. Mit deiner Wallet kontrollierst du sie mithilfe privater Schlüssel oder anderer Autorisierungsregeln. Eine Wiederherstellungsphrase, auch Seed-Phrase genannt, kann die Schlüssel für viele Wallet-Konten wiederherstellen.

Der Begriff „gehackt“ wird für verschiedene Probleme verwendet:

• Gestohlene Schlüssel: Jemand besitzt deinen privaten Schlüssel oder deine Wiederherstellungsphrase und kann von einem anderen Gerät aus Transaktionen autorisieren.
• Missbrauchte Berechtigungen: Du hast einen Smart Contract freigegeben oder eine Anfrage signiert, die jemandem erlaubt, bestimmte Vermögenswerte zu übertragen. Deine Schlüssel können trotzdem geheim geblieben sein.
• Kompromittiertes Gerät oder kompromittierte App: Schadsoftware, eine gefälschte Wallet oder eine bösartige Browser-Erweiterung stiehlt Informationen oder verändert eine bevorstehende Übertragung.
• Kompromittiertes Börsenkonto: Jemand verschafft sich Zugriff auf das Konto, über das ein Unternehmen deine Kryptowährungen verwahrt.

Eine Hardware-Wallet schützt private Schlüssel, kann aber eine gefährliche Berechtigung nicht sicher machen. Wenn du eine falsche Aktion autorisierst, kann die Hardware-Wallet sie ordnungsgemäß signieren.

1. Echte Kryptowährungen verlassen deine Wallet ohne deine Zustimmung

Du entdeckst eine abgeschlossene Übertragung, einen NFT-Verkauf oder eine Auszahlung, die du nicht erklären kannst. Das kann passieren, während dein Handy ausgeschaltet ist oder du nicht am Computer sitzt.

Schließe zunächst Vorgänge aus, die du früher selbst eingerichtet hast, etwa eine automatische Zahlung, eine Auszahlung von einer Kryptobörse oder eine Aktion in einer Trading-App. Prüfe anschließend die tatsächliche Transaktion auf der Blockchain.

Vergewissere dich, dass ein echter Vermögenswert übertragen wurde und dein Guthaben gesunken ist. Ein ungewöhnlicher Eintrag im Aktivitätsverlauf deiner Wallet reicht allein nicht aus. Betrüger können irreführende Token-Einträge erzeugen, die scheinbar Übertragungen von deiner Adresse zeigen.

Sobald du eine nicht autorisierte Übertragung echter Vermögenswerte bestätigt hast, handle sofort. Du musst nicht warten, bis die gesamte Wallet leer ist.

2. Neue Einzahlungen verschwinden fast sofort

Du sendest ETH oder eine andere native Netzwerk-Coin an deine Wallet, um Transaktionsgebühren zu bezahlen. Innerhalb weniger Sekunden landet sie auf einer unbekannten Adresse. Bei der nächsten Einzahlung passiert dasselbe.

Das ist ein typisches Muster eines Sweeper-Bots: eines Programms, das eine kompromittierte Wallet überwacht und verfügbares Guthaben automatisch abzieht. Wenn du selbst eingerichtete Automatisierungen ausgeschlossen hast, sind solche wiederholten Abflüsse ein starkes Warnsignal für unbefugten Zugriff.

Der Bot kann auf dem Computer des Angreifers laufen. Das Schließen deiner Wallet-App oder ein Neustart deines Handys stoppt ihn nicht. Manche Bots lassen kleine Guthaben unberührt, bis eine größere Einzahlung eingeht. Dass Geld liegen bleibt, beweist also nicht, dass die Wallet sicher ist.

Zahle nicht weiter Geld für Gasgebühren ein und sende auch keine Testeinzahlung. Damit könntest du lediglich den Angreifer finanzieren.

3. Du findest unbekannte Token- oder NFT-Berechtigungen

Viele Krypto-Apps verlangen die Berechtigung, Token auszugeben. Solche Freigaben können noch lange aktiv bleiben, nachdem du die App nicht mehr nutzt.

Warnsignale sind unter anderem ein kürzlich hinzugefügter, unbekannter Spender, eine nach dem Besuch einer verdächtigen Website gewährte Berechtigung oder ein Ausgabelimit, das weit über den benötigten Betrag hinausgeht. Eine NFT-Berechtigung kann es einem Betreiber erlauben, sämtliche NFTs einer bestimmten Sammlung aus deinem Besitz zu übertragen.

Unbegrenzte Freigaben sind auch bei seriösen Apps üblich und beweisen daher keinen Hack. Entscheidend ist, wer Zugriff hat, was diese Person übertragen kann und ob du die Berechtigung bewusst erteilt hast.

Prüfe das Netzwerk, den echten Token-Contract, den berechtigten Spender und den Betrag. Wenn du die Verbindung einer Website zu deiner Wallet trennst, widerrufst du damit keine bereits auf der Blockchain gespeicherte Freigabe.

4. Eine angebliche Anmeldeanfrage gewährt Ausgaberechte

Du besuchst eine Website, um dich anzumelden, eine Belohnung einzufordern oder deine Wallet zu verifizieren. Die Seite fordert eine Signatur ohne Transaktionsgebühr an. In der Anfrage stehen ein Token-Betrag, ein Spender oder ein NFT-Verkaufsauftrag, den du gar nicht freigeben wolltest.

Manche Signaturen können Ausgaben autorisieren, ohne dass du eine gesonderte Freigabetransaktion durchführen musst. Beispiele sind Permit und Permit2 sowie Signaturen für Marktplatzaufträge. Seriöse Apps nutzen diese Funktionen, aber Betrüger können sie als harmlose Anmeldeschritte tarnen.

Dass keine Gasgebühr anfällt, sagt nichts über die Sicherheit der Signatur aus.

Hinzu kommt: Eine signierte, aber noch ungenutzte Berechtigung kann außerhalb der Blockchain bleiben, bis jemand sie einreicht. Dein üblicher Transaktionsverlauf und manchmal sogar dein Berechtigungsprüfer können unauffällig aussehen, obwohl die Berechtigung weiterhin nutzbar ist.

Wenn du eine verdächtige Anfrage signiert hast, interagiere nicht weiter mit der Website und ermittle, was die Signatur erlaubt. Wie du sie aufhebst, hängt von der Art der Berechtigung ab. Ein gewöhnlicher Widerruf von Freigaben macht nicht jede ungenutzte Signatur ungültig.

5. Die Wallet hat einen neuen Eigentümer oder eine unbekannte Kontrollberechtigung

Manche Wallets haben mehrere Eigentümer, Wiederherstellungskontakte, temporäre Signaturschlüssel oder Softwaremodule, die Aktionen ausführen können. Sie werden oft Smart Wallets oder Smart Accounts genannt.

Ein Eigentümer, den du nie hinzugefügt hast, eine geringere Anzahl erforderlicher Signaturen, eine unbekannte Wiederherstellungsmethode oder ein neues Modul erfordern sofortige Aufmerksamkeit. Je nach Befugnissen kann eine solche Änderung jemandem ermöglichen, Geld ohne dein übliches Freigabeverfahren zu bewegen.

Auf Ethereum und kompatiblen Netzwerken ermöglicht außerdem eine Funktion namens EIP-7702, dass eine gewöhnliche Wallet Code autorisiert, über ihre Adresse zu handeln. Eine bösartige Autorisierung kann dauerhaften Zugriff ermöglichen, ohne deine Wiederherstellungsphrase offenzulegen.

Eine Einzelheit ist leicht zu übersehen: Bei dieser Funktion kann eine akzeptierte Delegation bestehen bleiben, auch wenn die Ausführung der Transaktion scheitert. Die Kennzeichnung „fehlgeschlagen“ bedeutet also nicht immer, dass die Kontrolleinstellungen der Wallet unverändert geblieben sind.

Prüfe diese Berechtigungen mit den offiziellen Tools deiner Wallet. Allein das Entfernen von Token-Freigaben beseitigt weder einen unbekannten Wallet-Eigentümer noch eine Delegation.

6. Deine Wiederherstellungsphrase oder dein privater Schlüssel wurde offengelegt

Du hast deine Phrase auf einer Website eingegeben, sie an jemanden geschickt, der sich als Support ausgegeben hat, oder sie in eine Wallet-App importiert, die sich später als Fälschung herausstellte. Vielleicht stellst du auch fest, dass ein lesbares Backup über ein gehacktes Cloud-Konto oder eine freigegebene Datei zugänglich war.

Betrachte die von diesem Geheimnis kontrollierten Konten als kompromittiert, selbst wenn noch nichts übertragen wurde. Jemand kann die Wallet anderswo wiederherstellen, ohne in deiner App einen Anmeldealarm auszulösen.

Wenn du das Passwort deiner Wallet-App änderst, ändert das nichts an den offengelegten privaten Schlüsseln. Auch ein weiteres Konto mit derselben Wiederherstellungsphrase löst das Problem nicht.

Der Umfang ist entscheidend. Eine offengelegte Wiederherstellungsphrase kann viele Konten gefährden. Ein separat importierter privater Schlüssel, der bekannt geworden ist, betrifft möglicherweise nur das Konto, das er kontrolliert.

7. Deine Wallet-App oder Browser-Erweiterung scheint ersetzt worden zu sein

Du entdeckst eine Erweiterung, die du nie installiert hast, einen gefälschten Wallet-Download oder eine Sicherheitswarnung vor Software, die Wallet-Daten stiehlt. Vielleicht fordert dich deine vertraute Wallet nach einer unerklärlichen Änderung plötzlich zur Wiederherstellung auf.

Eine Wiederherstellungsaufforderung kann harmlose Ursachen haben, etwa eine Neuinstallation oder gelöschte App-Daten. Sie ist ein Grund, die Software vor Eingabe geheimer Daten zu prüfen, aber für sich genommen kein Beweis für Diebstahl.

Überprüfe die App über die offizielle Website des Wallet-Anbieters und kontrolliere die Identität der Erweiterung. Ein bekannter Name und ein Logo lassen sich leicht kopieren.

Wenn du deine Wiederherstellungsphrase bereits in verdächtige Software eingegeben hast, betrachte sie als offengelegt. Durch das Entfernen der App verschwindet keine Kopie, die der Angreifer bereits besitzt.

8. Die Empfängeradresse ändert sich beim Einfügen

Du kopierst die Adresse eines Empfängers, fügst sie in deine Wallet ein und siehst eine andere Adresse. Schadsoftware für die Zwischenablage kann Krypto-Adressen durch Adressen eines Angreifers ersetzen.

Das weist auf ein Problem mit dem Gerät oder der Software hin. Es bedeutet nicht zwangsläufig, dass jemand deinen privaten Schlüssel besitzt, macht das Gerät aber für Übertragungen unsicher.

Angreifer können Ersatzadressen verwenden, die dem Original ähneln. Wer nur die ersten und letzten Zeichen prüft, übersieht den Austausch möglicherweise. Vergleiche die vollständige Zieladresse mit einer vertrauenswürdigen Kopie. Prüfe bei einer Hardware-Wallet vor der Bestätigung die Adresse auf dem Display des Geräts.

Brich die Transaktion ab, wenn die Adressen voneinander abweichen. Wiederholtes Kopieren und Einfügen, bis eine Adresse richtig aussieht, löst das Problem nicht.

9. Unerklärliche Verluste betreffen mehrere Konten oder Netzwerke

Ein einzelner fehlender Token kann auf eine bestimmte Ausgabeberechtigung zurückgehen. Nicht autorisierte Übertragungen über mehrere Konten hinweg, die aus derselben Wiederherstellungsphrase abgeleitet wurden, lassen eine umfassendere Offenlegung der Schlüssel befürchten.

Beispielsweise sollten Verluste auf zwei Netzwerken zusammen mit Aktivitäten auf einem weiteren Konto unter derselben Phrase umfassender untersucht werden. Prüfe alle betroffenen Konten und Netzwerke, statt anzunehmen, dass das Problem auf den zuerst bemerkten Token begrenzt ist.

Dieses Muster hilft, die Ursache einzugrenzen, liefert aber keinen eindeutigen Beweis. Mehrere bösartige Berechtigungen oder eine Wallet-Autorisierung, die auf mehreren Netzwerken gilt, können ebenfalls großflächige Verluste verursachen.

Dass eine Wallet-Adresse in verschiedenen Ethereum-ähnlichen Netzwerken identisch ist, ist normal und für sich genommen kein Warnsignal. Verdächtig sind unerklärliche Aktivitäten auf diesen Konten.

10. Dein Börsenkonto zeigt unbekannte Zugriffe oder Auszahlungen

Wenn du Kryptowährungen auf einer Börse verwahrst, achte auf unbekannte Sitzungen, geänderte Wiederherstellungsdaten, neue Auszahlungsadressen oder Auszahlungen, die du nicht beantragt hast. Unaufgeforderte Änderungen an der Zwei-Faktor-Authentifizierung sind besonders ernst.

Öffne die offizielle App oder Website selbst, um die Warnung zu prüfen. Eine beängstigende E-Mail kann Phishing sein. Auch ein unbekannter Standort kann durch ein VPN oder Mobilfunknetz entstehen. Prüfe deshalb Gerät, Zeitpunkt und Kontoaktionen im Zusammenhang.

Bei einer Übernahme des Börsenkontos musst du die Kontosicherheit wiederherstellen. Nutze gegebenenfalls die Kontosperre oder Auszahlungssperre des Anbieters, kontaktiere den offiziellen Support und sichere deine E-Mail sowie deine Authentifizierungsmethoden.

Diese Anmeldeprüfungen gelten nicht in gleicher Weise für eine einfache Wallet, die durch eine Wiederherstellungsphrase kontrolliert wird. Wer die Schlüssel besitzt, muss sich möglicherweise nie in deiner App anmelden.

Ungewöhnliche Aktivitäten, die keinen Hack beweisen

Mehrere häufige Ereignisse können beunruhigend wirken:

• Ein niedrigerer Dollar-Gegenwert: Der Kurs kann gefallen sein, obwohl du noch dieselbe Anzahl an Coins besitzt.
• Fehlende Token in der App: Vielleicht hast du das falsche Konto oder Netzwerk ausgewählt, den Token ausgeblendet oder es liegt ein Anzeigefehler vor.
• Ein unbekannter Bitcoin-Output: Bei einer Zahlung kann Restguthaben an eine neue Wechselgeldadresse zurückfließen, die deiner eigenen Wallet gehört.
• Ein unaufgefordert erhaltener Token oder NFT: Spam allein ist kein Beweis dafür, dass deine Schlüssel gestohlen wurden. Blende ihn aus, statt seinen Links zu folgen oder zum Entfernen eine Transaktion zu signieren.
• Winzige Übertragungen oder solche mit dem Wert null und einer vertraut aussehenden Adresse: Das kann Address Poisoning sein. Dabei platzieren Betrüger einen ähnlich aussehenden Empfänger in deinem Verlauf, damit du dessen Adresse später kopierst.

Manche gefälschten Token kopieren den Namen und das Symbol eines echten Tokens. Sie können sogar irreführende Einträge über ausgehende Übertragungen erzeugen. Prüfe den echten Token-Contract und das Guthaben, bevor du einen Eintrag als Beweis für Diebstahl wertest.

Kopiere Empfängeradressen möglichst nicht aus den letzten Aktivitäten. Lass dir die Adresse vom verifizierten Empfänger geben oder nutze ein vertrauenswürdiges Adressbuch.

So prüfst du, was wirklich passiert ist

Nutze einen seriösen Blockchain-Explorer für das richtige Netzwerk. Eine öffentliche Adresse kannst du prüfen, ohne eine Wallet zu verbinden, eine Gebühr zu zahlen oder eine Wiederherstellungsphrase offenzulegen.

Prüfe folgende Einzelheiten:

1. Konto und Netzwerk: Stelle sicher, dass du die Adresse prüfst, auf der sich die fehlenden Vermögenswerte befanden.
2. Transaktionsstatus: Unterscheide ausstehende Vorgänge von abgeschlossenen Übertragungen. Prüfe bei Wallet-Delegationen außerdem, ob sich Berechtigungen trotz fehlgeschlagener Ausführung geändert haben.
3. Tatsächlicher Vermögenswert: Überprüfe den Token-Contract oder die NFT-Sammlung, statt dich auf Namen oder Logo zu verlassen.
4. Guthabenänderung und Zieladresse: Stelle fest, was abgeflossen ist und wohin. Prüfe neben der Haupttransaktionsliste auch Token- und NFT-Übertragungen.
5. Frühere Berechtigungen: Suche nach Freigaben, Signaturen oder Änderungen der Wallet-Kontrolle, die mit dem Verlust zusammenhängen.

Wenn jemand deine Vermögenswerte mithilfe einer Token-Freigabe entnimmt, kann das Absenderkonto der Transaktion jemand anderem gehören. Das macht die Übertragung nicht harmlos. Umgekehrt beweist ein Token-Eintrag mit deiner Adresse als Quelle nicht, dass du persönlich eine Transaktion signiert hast.

Wenn die Blockchain-Einträge schwer zu verstehen sind, teile die öffentliche Adresse und den Transaktions-Hash mit dem verifizierten Wallet-Support. Diese Angaben können bei der Untersuchung helfen, ohne deine Schlüssel offenzulegen.

Was du tun solltest, wenn sich die Warnsignale bestätigen

Keine weiteren Einzahlungen oder Signaturen

Zahle vorerst nichts in die betroffene Wallet ein. Lehne neue Signaturanfragen ab, auch Angebote, sie zu „reparieren“, „validieren“ oder „entsperren“. Nutze ein möglicherweise infiziertes Gerät nicht weiter und fahre auf einem anderen vertrauenswürdigen Gerät fort.

Wenn eine Wiederherstellungsphrase oder ein privater Schlüssel offengelegt wurde

Erstelle für eine gewöhnliche Wallet, die vom offengelegten Geheimnis kontrolliert wird, auf einem vertrauenswürdigen Gerät eine neue Wallet mit einer vollständig neuen Wiederherstellungsphrase. Übertrage verbleibende Vermögenswerte, wenn dies sicher möglich ist, und verwende die betroffenen Konten danach nicht mehr. Aktualisiere alle Zahlungsziele, die auf sie verweisen.

Wenn ein Sweeper aktiv ist, zahle kein weiteres Gasguthaben in die alte Wallet ein. Die Rettung verbleibender Vermögenswerte kann eine spezielle Transaktionsabwicklung erfordern, und ein Erfolg ist nicht garantiert.

Wenn eine Freigabe oder signierte Berechtigung das Problem ist

Widerrufe die betreffenden Berechtigungen mit einem verifizierten Tool und vergewissere dich, dass der Widerruf abgeschlossen wurde. Eine Freigabe für einen Token auf einem Netzwerk gilt nicht automatisch auf allen anderen.

Bei einer verdächtigen, noch ungenutzten Signatur befolge das spezifische Verfahren der Wallet oder des Protokolls zur Aufhebung. Es kann notwendig sein, Vermögenswerte zu verschieben, während du klärst, ob die Berechtigung weiterhin nutzbar ist.

Ein Widerruf kann bereits entwendete Vermögenswerte nicht zurückbringen. Er kann auch keine Wallet absichern, deren Schlüssel offengelegt wurden.

Wenn sich die Kontrolleinstellungen der Wallet geändert haben

Nutze das offizielle Wiederherstellungs- oder Berechtigungsverwaltungsverfahren deiner Wallet, um unbefugte Eigentümer, Module, Signaturschlüssel oder Delegationen zu entfernen. Wenn ein Eigentümerschlüssel offengelegt wurde, ersetze den betreffenden Signierer, sofern die Wallet das unterstützt. Hole anbieterspezifische Anweisungen ein, bevor du das Konto wieder als sicher betrachtest.

Wenn auf ein Börsenkonto zugegriffen wurde

Sperre das Konto oder beschränke Auszahlungen über das offizielle Verfahren des Anbieters. Sichere von einem vertrauenswürdigen Gerät aus deine E-Mail, ändere betroffene Passwörter, entferne unbekannte Sitzungen und prüfe Wiederherstellungsdaten und Zwei-Faktor-Authentifizierung.

Beweise sichern und den Verlust melden

Speichere Transaktions-Hashes, öffentliche Adressen, Zeitstempel, verdächtige URLs und relevante Nachrichten, während du das verbliebene Guthaben schützt. Melde den Vorfall dem Wallet- oder Börsenanbieter und den zuständigen Behörden.

Bestätigte Blockchain-Übertragungen können vom Wallet-Support in der Regel nicht rückgängig gemacht werden. Eine Rückgewinnung kann davon abhängen, dass eine Börse Guthaben einfriert, Ermittlungen stattfinden oder Gelder zurückgegeben werden. Sei vorsichtig bei Personen, die eine garantierte Rückholung versprechen, insbesondere wenn sie eine Vorauszahlung oder deine Wiederherstellungsphrase verlangen.