Wallet-Sicherheit einfach erklärt
Address Poisoning: Wie gefälschte Wallet-Adressen in Ihren Transaktionsverlauf gelangen
Betrüger brauchen weder Ihre Seed Phrase noch Ihren Private Key. Eine ähnlich aussehende Adresse im Verlauf kann schon reichen, wenn Sie sie später kopieren, ohne die vollständige Adresse zu prüfen.
Kurze Antwort
Was ist Address Poisoning?
Beim Address Poisoning landet eine gefälschte, ähnlich aussehende Adresse im Verlauf Ihres Wallets oder Explorers. Der Eintrag allein kompromittiert Ihr Wallet nicht. Gefährlich wird es erst, wenn Sie die falsche Adresse kopieren und eine neue Überweisung freigeben.
Eine unbekannte Nullwert- oder Dust-Transaktion bedeutet nicht, dass Ihr Wallet kompromittiert wurde. Interagieren Sie nicht damit und verwenden Sie die Adresse nicht für künftige Überweisungen.
Inhaltsverzeichnis
3. Mai 2024 · Ethereum
68 Millionen US-Dollar gingen an die falsche Adresse – und kamen zurück
Laut Chainalysis war die erste kleine Überweisung an die richtige Adresse vermutlich ein Test. Wenige Minuten später wurden etwa 1.155 WBTC an eine andere Adresse gesendet, die – in gekürzter Form – fast identisch aussah. Diese zweite Adresse gehörte jedoch dem Betrüger.
Das Opfer hatte die Zahlung an die falsche Adresse freigegeben. Ethereum führte diese Anweisung korrekt aus. Nachdem das Opfer öffentliche Nachrichten auf der Blockchain gesendet hatte, gab der Betrüger die 68 Millionen US-Dollar am 9. Mai zurück. Das war eine seltene Ausnahme und bedeutet nicht, dass sich solche Zahlungen rückgängig machen lassen.
Der Betrag wurde in ETH statt in WBTC zurückgegeben. Laut Chainalysis blieben dem Betrüger durch die zwischenzeitliche Wertsteigerung trotzdem rund 3 Millionen US-Dollar.
Eine Testüberweisung hilft nur, wenn Sie danach dieselbe geprüfte Empfängeradresse verwenden. Kopieren Sie stattdessen eine neue, ähnlich aussehende Adresse aus dem Verlauf, kann die größere Zahlung trotzdem beim Betrüger landen.
Ablauf des Angriffs
So funktioniert Address Poisoning – Schritt für Schritt
Der Angriff zielt auf den Moment der Empfängerauswahl ab. Die Wallet-Kryptografie muss dafür nicht überwunden werden.
- 01
Eine normale Zahlung erscheint auf der Blockchain
Das Opfer sendet Krypto an einen legitimen Empfänger. Die Blockchain speichert beide Adressen öffentlich.
- 02
Der Angreifer analysiert frühere Transaktionen
Ein Betrüger beobachtet öffentliche Aktivitäten und erkennt eine Adresse, die das Opfer erneut nutzen könnte.
- 03
Eine ähnlich aussehende Adresse wird erstellt
Die gefälschte Adresse stimmt bei einigen sichtbaren Zeichen mit der echten Empfängeradresse überein, gehört aber dem Betrüger.
- 04
Ein irreführender Eintrag erscheint im Verlauf
Eine Nullwert-, Dust- oder Token-Transaktion lässt die ähnliche Adresse im Wallet oder Explorer erscheinen.
- 05
Die falsche Adresse wird kopiert
Später wählt das Opfer den vertraut wirkenden Eintrag, statt zur geprüften Quelle zurückzukehren.
- 06
Eine gültige Transaktion geht an den Betrüger
Das Opfer bestätigt die Überweisung. Die Blockchain sendet den Betrag genau an die freigegebene Adresse.
Die optische Falle
Anfang und Ende können übereinstimmen, obwohl die Adresse unterschiedlich ist
Wallets kürzen lange Adressen oft ab. Das spart Platz, kann aber genau den Teil verbergen, den Betrüger verändert haben.
0x91A4b7C2e6F1930DABCD8a45B6cE19fA003172F80x91A4f3D8c4E7192BCAFE6a90C1dE48B700A972F8Was ein gekürzter Verlauf anzeigen kann
0x91A4…72F8
0x91A4…72F8Warum erscheint es im Wallet?
Auch unerwünschte Einträge erscheinen im öffentlichen Verlauf
Auf öffentlichen Blockchains kann jeder Adressen einsehen und zulässige Transaktionen oder Token senden. Ihr Wallet zeigt diese Aktivitäten an, auch wenn Sie sie nie genehmigt haben.
Nullwert-Überweisung
Auch ein Token-Ereignis ohne Wert kann in manchen Wallets oder Blockexplorern einen sichtbaren Verlaufseintrag erzeugen.
Dust-Überweisung
Ein sehr kleiner Betrag wird gesendet, damit die ähnliche Adresse zwischen echten Aktivitäten erscheint.
Gefälschte Token-Aktivität
Ein wertloser oder irreführender Token kann Name oder Betrag einer früheren Überweisung nachahmen und so einen vertrauten Eindruck erwecken.
Nachgeahmte Transaktionsdetails
Der Poisoning-Eintrag kann Betrag oder Zeitmuster einer früheren Transaktion nachahmen, um vertraut zu wirken.
Sie können einen bestätigten Blockchain-Eintrag nicht löschen. Manche Wallets blenden verdächtige Einträge aus. Der Eintrag allein gibt dem Angreifer keinen Zugriff auf Ihr Guthaben.
Nein. Antworten Sie nicht, senden Sie kein Dust zurück, klicken Sie keine Token-Links an und kopieren Sie nicht die Absenderadresse. Ignorieren Sie den Eintrag und prüfen Sie künftige Empfänger unabhängig.
Verstehen, was angegriffen wurde
Address Poisoning ist kein Blockchain- oder Private-Key-Hack
Die Transaktion ist gültig, weil der Besitzer sie freigibt. Die Täuschung geschieht vor dem Signieren, wenn der falsche Empfänger für den echten gehalten wird.
| Angriff | Was wird angegriffen | Private Key kompromittiert? |
|---|---|---|
| Address Poisoning | Empfängerauswahl und optische Ähnlichkeit | Nein |
| Zwischenablage-Malware | Zwischenablage oder infiziertes Gerät | Nicht zwingend |
| Phishing | Vertrauen in eine gefälschte Seite, Nachricht oder App | Nicht zwangsläufig – oft ist das das Ziel |
| Seed- oder Private-Key-Diebstahl | Private Key des Wallets | Ja |
Wie verbreitet Address Poisoning ist
Hunderte Millionen Versuche – kein Einzelfall
Eine USENIX Security 2025-Studie untersuchte Address Poisoning auf Ethereum und BNB Smart Chain von Juli 2022 bis Juni 2024. Der Detektor fand folgende Aktivitäten.
Das sind Schätzwerte der Studie. Sie beruhen auf der verwendeten Erkennungsmethode und erfassen nicht jeden Poisoning-Versuch auf jeder Blockchain.
Schutzmaßnahmen nach Priorität
Wie Sie Address Poisoning und Verluste vermeiden
Prüfen Sie zuerst, woher die Empfängeradresse stammt. Weitere Kontrollen helfen, können eine ungeprüfte Adresse aus dem Verlauf aber nicht sicher machen.
- 01
Kopieren Sie keine Empfänger aus dem Transaktionsverlauf
Rufen Sie die Empfängeradresse erneut aus einer vertrauenswürdigen Quelle ab. Der Verlauf zeigt nur, was auf der Blockchain passiert ist – nicht, wem eine Adresse gehört.
- 02
Geprüftes Adressbuch oder Freigabeliste nutzen
Speichern Sie häufige Empfänger erst, nachdem Sie diese über einen separaten, vertrauenswürdigen Kanal geprüft haben. Klare Bezeichnungen erleichtern die Auswahl.
- 03
Vollständige Adresse prüfen
Nutzen Sie nach Möglichkeit ein geprüftes Adressbuch, einen QR-Code oder eine bekannte Quelle. Wenn Sie Adressen manuell vergleichen, achten Sie nicht nur auf Anfang und Ende – prüfen Sie die gesamte Adresse.
- 04
Anzeige auf dem Hardware-Wallet prüfen
Vergleichen Sie die auf der Hardware-Wallet angezeigte Adresse mit der Empfängeradresse aus einer unabhängigen, vertrauenswürdigen Quelle. Das Gerät zeigt nur, was es signiert – nicht, wer tatsächlich der Empfänger ist.
- 05
Testüberweisung vom Empfänger bestätigen lassen
Bei größeren Beträgen zuerst einen kleinen Testbetrag senden und vom echten Empfänger bestätigen lassen, bevor Sie dieselbe geprüfte Adresse erneut verwenden.
- 06
Neue Empfänger immer separat prüfen
Halten Sie inne, wenn Ihr Wallet vor einer neuen oder ähnlichen Adresse warnt. Prüfen Sie diese über einen anderen Kanal, statt die Warnung zu ignorieren.
Die Hardware-Wallet zeigt zuverlässig die Adresse an, die signiert wird. Sie kann aber nicht erkennen, wer das Geld erhalten soll. Vergleichen Sie die angezeigte Adresse vor der Freigabe mit einer unabhängigen, vertrauenswürdigen Quelle.
Vor dem Signieren
- Empfängeradresse stammt aus einer vertrauenswürdigen Quelle, nicht aus dem Verlauf
- Netzwerk und Vermögenswert stimmen mit den Erwartungen des Empfängers überein
- Die auf der Hardware-Wallet angezeigte Adresse stimmt mit der unabhängig geprüften Empfängeradresse überein
- Die Testüberweisung wurde vom echten Empfänger bestätigt
Was Wallet-Software leisten kann
Wallet-Warnungen helfen, ersetzen aber keine Empfängerprüfung
Wallets können verdächtige Muster erkennen und Nutzer im richtigen Moment warnen. Neue Angreiferadressen und zufällige Ähnlichkeiten machen eine perfekte Erkennung jedoch unmöglich.
MetaMask
MetaMask vergleicht Zieladressen mit bisherigen Empfängern und warnt, wenn Anfang und Ende vertraut wirken, aber der Mittelteil abweicht. Auch bei völlig neuen Empfängern erscheint eine Warnung.
Trezor Suite
Nach Angaben von Trezor prüft Suite verdächtige Token-Transfers, stellt mögliche Poisoning-Einträge unscharf dar und kennzeichnet sie als nicht verifiziert. Die Hardware-Wallet zeigt nur die Adresse an, die signiert wird. Sie müssen diese selbst mit einer unabhängig geprüften Empfängeradresse abgleichen.
Vertrauenswürdige Empfänger deutlicher hervorheben als den Verlauf
- Nullwert- und verdächtige Dust-Einträge ausblenden oder filtern
- Warnen, wenn eine neue Adresse einem bekannten Kontakt ähnelt
- Geprüfte Kontakte und Freigabelisten klar kennzeichnen
- Vollständige Adresse beim Kopieren und Signieren anzeigen
Vorgeschlagene Anzeigeänderung
ERC-8117 soll ungewöhnliche Adressmuster besser lesbar machen
ERC-8117 ist ein Entwurf für ein kompaktes Anzeigeformat von EVM-Adressen mit langen Nullfolgen. Ziel ist es, die Anzahl der Nullen deutlich zu machen und die Erstellung überzeugender Fälschungen zu erschweren.
Es ersetzt keine Empfängerprüfung und ist kein endgültiger Ethereum-Standard. Wallet- und Explorer-Unterstützung wären weiterhin nötig.
Primärquellen und Wallet-Dokumentation
Fall, Ausmaß und aktuelle Schutzmaßnahmen prüfen
Fallstudie, Angriffsmessungen, Wallet-Schutz und Status des Vorschlags wurden mit Chainalysis, USENIX Security, Wallet-Anbieter-Dokumentation, Etherscan und der offiziellen ERC-Seite abgeglichen.
Häufige Fragen
Bedeutet eine Address-Poisoning-Transaktion, dass mein Wallet gehackt wurde?
Nein. Unerwartete Nullwert-, Dust- oder Token-Einträge können ohne Ihre Zustimmung auf einer öffentlichen Blockchain erscheinen. Ihre Seed Phrase oder Ihr Private Key werden dadurch nicht preisgegeben. Die Gefahr besteht darin, die ähnliche Adresse für eine spätere Überweisung zu übernehmen.
Kann ich eine gefälschte Transaktion aus meinem Wallet-Verlauf löschen?
Ein bestätigter Blockchain-Eintrag lässt sich nicht löschen. Ihr Wallet kann verdächtige Einträge ausblenden, aber die sichere Reaktion bleibt: Ignorieren Sie diese und prüfen Sie künftige Empfänger immer über eine vertrauenswürdige Quelle.
Reicht es, die ersten und letzten vier Zeichen der Adresse zu prüfen?
Nein. Ähnliche Adressen sind so gestaltet, dass sie mit den sichtbaren Zeichen in gekürzten Wallet-Ansichten übereinstimmen. Ein abweichender Mittelteil führt zu einer anderen Zieladresse – prüfen Sie daher immer die vollständige Adresse oder nutzen Sie einen zuvor geprüften Kontakt.
Was tun, wenn ich Krypto an eine gefälschte Adresse gesendet habe?
Stoppen Sie weitere Überweisungen, sichern Sie die Transaktionsdaten, kontaktieren Sie das sendende Wallet oder die Börse und melden Sie die Zieladresse bei Anbietern oder Behörden. On-Chain-Transfers sind in der Regel unwiderruflich, eine Rückholung kann niemand garantieren.
Schützt eine kleine Testüberweisung vor Address Poisoning?
Es hilft nur, wenn der Empfänger die Testüberweisung bestätigt und dieselbe geprüfte Adresse erneut verwendet wird. Wird eine neue Adresse aus dem vergifteten Verlauf kopiert, schützt der Test nicht.
Ist Address Poisoning dasselbe wie ein Dusting-Angriff?
Beides kann sich überschneiden, ist aber nicht identisch. Address Poisoning nutzt einen irreführenden Verlaufseintrag, um die künftige Empfängerauswahl zu beeinflussen. Dust kann auch zu Tracking, Spam oder anderen Zwecken gesendet werden, ohne eine ähnliche Adresse zu verwenden.