Krypto-Phishing erkennen: Wallet-Drainer erbeuteten 2025 knapp 84 Millionen Dollar

Krypto-Phishing erkennst du an drei Dingen: Jemand gibt sich als Börse, Wallet-Anbieter oder Behörde aus, er setzt dich unter Zeitdruck, und am Ende will er deine Seed-Phrase, dein Passwort oder eine Signatur in deiner Wallet. Kein seriöser Anbieter verlangt je die Wiederherstellungsphrase, weder per E-Mail noch am Telefon noch auf einer Website. Wer sich diese eine Regel merkt, entgeht dem größten Teil der Angriffe.

Das Thema ist alles andere als klein. Laut dem Jahresbericht des Sicherheitsdienstes Scam Sniffer haben sogenannte Wallet-Drainer im Jahr 2025 rund 83,85 Millionen US-Dollar von 106.106 Opfern erbeutet. Das ist zwar 83 Prozent weniger als 2024 mit knapp 494 Millionen Dollar, doch die Angreifer haben ihre Taktik umgestellt: viele kleine Beträge statt weniger großer Coups. Wer seine Coins selbst verwahrt, etwa auf einer Hardware-Wallet aus unserem Hardware-Wallet-Vergleich, schützt sich gegen Hackerangriffe auf Börsen. Gegen Phishing schützt ihn nur das eigene Misstrauen, denn hier gibt das Opfer den Zugriff selbst frei.

Dieser Ratgeber zeigt die häufigsten Krypto-Betrugsmaschen mit Phishing, die Warnsignale in E-Mails, Anrufen und Updates, und was du tust, wenn du deine Seed-Phrase schon eingegeben hast.

Was ist Krypto-Phishing? Täuschung mit fremder Identität

Phishing ist ein Betrug, bei dem Kriminelle sich als vertrauenswürdiger Absender ausgeben, um an Zugangsdaten oder Geld zu kommen. Der Begriff ist ein Kunstwort aus dem englischen „fishing“, also Angeln: Der Köder sieht echt aus, gemeint ist dein Zugang. Bei Kryptowährungen ist der Schaden meist endgültig, weil eine Transaktion auf der Blockchain nicht zurückgebucht werden kann. Eine Bank kann eine Überweisung unter Umständen zurückholen. Bei Bitcoin, Ether oder Stablecoins gibt es diese Instanz nicht.

Die Betrüger zielen beim Krypto-Phishing auf drei Arten von Zugang:

• Die Seed-Phrase: Die 12 oder 24 Wörter, aus denen sich jede Wallet wiederherstellen lässt. Wer sie kennt, besitzt die Coins.
• Die Signatur: Eine Freigabe in deiner Wallet, mit der du einem Smart Contract erlaubst, Token von deiner Adresse abzuziehen.
• Das Börsenkonto: E-Mail-Adresse, Passwort und Zwei-Faktor-Code, mit denen sich Angreifer bei deiner Börse anmelden und eine Auszahlung auslösen.

Im Bitcoin-Netzwerk oder auf einer anderen Blockchain wird dabei nichts gehackt. Die Blockchain arbeitet korrekt, sie führt nur aus, was mit einer gültigen Signatur beauftragt wurde. Genau das macht Phishing so wirksam: Der Angriff richtet sich gegen den Menschen, nicht gegen die Technik.

Wallet-Drainer und Permit-Signaturen: Wo 2025 das meiste Geld verloren ging

Ein Wallet-Drainer ist ein fertiges Betrugsprogramm, das Kriminelle mieten und auf gefälschten Websites einbauen. Verbindest du deine Wallet mit so einer Seite und bestätigst die angezeigte Anfrage, räumt das Skript alle freigegebenen Token ab. Die Seiten kopieren echte Airdrop-Aktionen, NFT-Projekte oder DeFi-Plattformen bis ins Detail.

Scam Sniffer hat für 2025 genau aufgeschlüsselt, welche Signaturen am teuersten waren. Der größte Einzelfall kostete im September 6,5 Millionen Dollar und lief über eine sogenannte Permit-Signatur. Permit ist eine Funktion bei Token auf Ethereum und kompatiblen Netzen, mit der du eine Ausgabeerlaubnis per bloßer Unterschrift erteilst, ohne dass eine eigene Transaktion auf der Blockchain sichtbar wird. Elf Fälle lagen 2025 über einer Million Dollar, zusammen 22,98 Millionen. Darunter waren drei Permit-Fälle mit 8,72 Millionen Dollar und zwei Fälle über das neue Ethereum-Format EIP-7702, das seit dem Pectra-Upgrade Stapel-Freigaben erlaubt.

Das teuerste Quartal war das dritte mit 31,04 Millionen Dollar, das ruhigste das vierte mit 13,09 Millionen. Pro Opfer gingen im vierten Quartal im Schnitt 580 Dollar verloren. Die Zahlen erfassen nur Drainer-Angriffe über Phishing-Seiten. Gestohlene Seed-Phrasen aus gefälschten Support-Chats oder Anrufen tauchen darin nicht auf, der tatsächliche Schaden liegt also höher.

Für die Praxis heißt das: Eine Anfrage, die „Permit“, „Approve“, „setApprovalForAll“ oder eine unbegrenzte Menge an Token nennt, ist auf einer unbekannten Seite ein Warnsignal. Bestätige nichts, was du nicht Wort für Wort verstehst. Wie Signatur-Phishing bei DeFi-Wallets abläuft, erklären wir ausführlich in unserem Ratgeber zur DeFi-Wallet vom 13. November.

Phishing-Mails von Börse und Wallet-Anbieter: Die Warnsignale nach BSI

Phishing-Mails sind der Klassiker. Die Verbraucherzentrale NRW hat laut dem Bundeslagebild Cybercrime 2025 im vergangenen Jahr 382.470 Phishing-Mails in Deutschland erfasst, rund zehn Prozent weniger als im Vorjahr. Krypto-Börsen und Wallet-Hersteller sind ein beliebtes Ziel, weil ihre Kunden sofort verwertbare Werte besitzen.

Das Bundesamt für Sicherheit in der Informationstechnik nennt typische Warnsignale, die sich direkt auf Krypto-Mails übertragen lassen:

• Der Text behauptet dringenden Handlungsbedarf, etwa eine angebliche Kontosperre oder ein Sicherheitsproblem.
• Die Mail droht mit Folgen, falls du nicht reagierst.
• Die Nachricht fordert dich auf, vertrauliche Daten einzugeben oder einem Link zu folgen.
• Das Anliegen wirkt für den Absender ungewöhnlich, etwa wenn ein Wallet-Hersteller dich bittet, deine Wörter zu „verifizieren“.
• Hinter dem angezeigten Absendernamen steckt eine andere E-Mail-Adresse.

Zwei alte Faustregeln gelten nicht mehr. Fehlerfreies Deutsch beweist keine Echtheit, denn mit KI-Werkzeugen schreiben Betrüger heute sauberer als früher. Und ein „https://“ in der Adresszeile ist laut BSI keine Entwarnung, weil jede Phishing-Seite ein solches Zertifikat bekommen kann. Achte stattdessen auf die exakte Domain: ungewöhnliche Zahlen, Bindestriche oder Endungen wie .cam oder .support hinter einem bekannten Markennamen sind ein deutliches Warnsignal. Ein aktuelles Beispiel dafür ist die gefälschte Seite, über die wir im Artikel zum Trust-Wallet-Phishing berichtet haben.

Fake-Support am Telefon: Kein Wallet-Anbieter ruft wegen der Seed-Phrase an

Die zweite große Masche ist der Fake-Support. Ein angeblicher Support-Mitarbeiter meldet sich per Anruf, Messenger oder Direktnachricht in sozialen Netzwerken, nachdem du öffentlich ein Problem geschildert hast, oder ganz ohne Anlass. Er klingt kompetent, kennt manchmal deinen Namen und deine Bestellung aus einem früheren Datenleck und drängt auf eine schnelle „Sicherung“ deiner Coins.

Ledger schreibt auf seiner Warnseite zu Phishing-Kampagnen ausdrücklich, das Unternehmen kontaktiere Nutzer nie per SMS oder Telefonanruf und schicke auch keine Direktnachrichten in sozialen Netzwerken. Wer angerufen wird, soll laut Ledger sofort auflegen und weitere Kontaktversuche ignorieren. Dasselbe gilt sinngemäß für jede seriöse Börse und jeden Wallet-Anbieter: Die Kontaktaufnahme geht von dir aus, über die offizielle App oder die Website, die du selbst eintippst.

Typische Sätze beim Fake-Support lauten: „Dein Konto wurde kompromittiert, wir müssen die Coins auf eine sichere Adresse verschieben“ oder „Lies mir zur Bestätigung die ersten Wörter deiner Phrase vor“. Eine Börse, die dich auffordert, Coins auf eine neue Adresse zu überweisen, die dir jemand am Telefon diktiert, gibt es nicht. Wie Kriminelle Kundendaten aus Datenlecks für solche Anrufe und Mails nutzen, haben wir im September in einem eigenen Ratgeber zum Phishing nach einem Datenleck zusammengefasst.

Gefälschte Firmware-Updates und Wallet-Apps: Updates nur über die Hersteller-App

Hardware-Wallets gelten als sicherste Form der Verwahrung, und genau deshalb zielen Betrüger auf ihre Besitzer. Die Masche: Eine Mail oder Pop-up-Meldung kündigt ein dringendes Firmware-Update an und führt auf eine nachgebaute Download-Seite. Das gefälschte Programm fragt dann nach der Wiederherstellungsphrase, angeblich um die Wallet nach dem Update neu einzurichten.

Ledger stellt dazu klar, dass das Unternehmen keine E-Mails verschickt, in denen Nutzer zu einem Firmware-Update, zum Einschalten der Zwei-Faktor-Anmeldung oder zu ähnlichen Schritten aufgefordert werden. Zudem warnt der Hersteller vor gefälschten Versionen seiner App Ledger Wallet (früher Ledger Live), die auf den ersten Blick sehr überzeugend aussehen können. Ein Beispiel solcher Seiten mit nachgebautem Echtheitscheck hat die Sicherheitsfirma SlowMist im Oktober gemeldet, wir haben darüber im Beitrag zu gefälschten Ledger-Updates berichtet.

Die Regel ist einfach: Firmware-Updates kommen ausschließlich über die offizielle App des Herstellers, die du aus dem offiziellen App-Store oder von der selbst eingetippten Herstellerseite installiert hast. Die Wiederherstellungsphrase gibst du laut Ledger nirgendwo ein außer direkt auf dem Gerät selbst. Ein Programm auf dem Computer oder Smartphone, das nach den Wörtern fragt, ist ein Betrugsversuch.

Phishing per Brief und QR-Code: Die Post als neuer Kanal

Inzwischen nutzen Betrüger auch die klassische Post. Besitzer von Hardware-Wallets erhalten Briefe auf nachgemachtem Firmenpapier, die eine Pflichtprüfung oder ein Sicherheitsupdate ankündigen. Ein aufgedruckter QR-Code führt auf eine Phishing-Seite, die nach der Seed-Phrase fragt. Ledger listet auf seiner Warnseite ausdrücklich physische Post, die zum Scannen eines QR-Codes oder zum Besuch einer Website auffordert.

Der Brief wirkt glaubwürdiger als jede Mail, weil er Name und Anschrift korrekt nennt. Diese Daten stammen oft aus früheren Datenlecks bei Händlern und Dienstleistern. Den Ablauf einer solchen Kampagne haben wir im Ratgeber zum Wallet-Phishing per Brief beschrieben. Ein Brief, der dich zur Eingabe deiner Wörter auf einer Website auffordert, ist unabhängig von Absender und Briefkopf immer Betrug.

Pig Butchering und Recovery-Scam: Wenn Krypto-Anlagebetrug mit Phishing verschmilzt

Nicht jede Täuschung zielt sofort auf die Seed-Phrase. Beim Pig Butchering (übersetzt etwa „Schweineschlachten“) bauen Betrüger über Wochen Vertrauen auf, oft über Dating-Apps, Messenger oder angebliche falsch zugestellte Nachrichten. Später empfehlen sie eine Handelsplattform, die echt aussieht, Gewinne anzeigt und bei der Auszahlung plötzlich Gebühren oder „Steuern“ verlangt. Diese Form des Krypto-Anlagebetrugs nutzt dieselben Werkzeuge wie Phishing: gefälschte Websites, falsche Identitäten und Zeitdruck.

Besonders perfide ist der Recovery-Scam: Wer schon Geld verloren hat, bekommt Angebote von angeblichen Rückholdiensten oder Aufsichtsstellen. Die BaFin hat bereits im Oktober 2022 vor der gefälschten Website kryptomarktaufsicht.com gewarnt, die Opfern Hilfe bei der Rückholung ihres Geldes anbot und dafür persönliche Daten verlangte. Die BaFin sprach von einem Betrugsversuch. Angebliche Mitarbeiter der Seite meldeten sich laut BaFin auch per Telefon bei Verbrauchern. Echte Behörden verlangen keine Vorabgebühr und keine Zugangsdaten für die Rückholung von Kryptowerten.

Ob ein Anbieter überhaupt eine Zulassung hat, prüfst du selbst in der Unternehmensdatenbank der BaFin oder im Register der europäischen Wertpapieraufsicht ESMA. Seit der Krypto-Verordnung MiCA brauchen Kryptodienstleister in der EU eine Lizenz, die Einzelheiten stehen in unserem Überblick zur MiCA-Lizenz. Eine Plattform, die du in keinem Register findest, ist für deine Investitionen tabu.

Domain prüfen und Lesezeichen nutzen: Schutzmaßnahmen gegen Krypto-Phishing

Der beste Schutz besteht aus Gewohnheiten, die du einmal einrichtest und dann nicht mehr hinterfragst. Wichtig ist zuerst der Weg zur Börse: Rufe Börsen, Wallets und DeFi-Anwendungen nur über ein selbst angelegtes Lesezeichen oder die offizielle App auf, nie über einen Link aus einer Mail, einer Anzeige in der Suchmaschine oder einer Nachricht.

• Zwei-Faktor-Anmeldung mit App oder Sicherheitsschlüssel: SMS-Codes lassen sich über eine übernommene Telefonnummer abfangen. Eine Authenticator-App oder ein Hardware-Schlüssel ist robuster.
• Anti-Phishing-Code bei der Börse: Viele Börsen erlauben einen persönlichen Code, der in jeder echten Mail steht. Fehlt er, stammt die Mail nicht von der Börse.
• Auszahlungs-Whitelist: Lege fest, dass Auszahlungen nur an vorher bestätigte Adressen gehen. Selbst mit deinem Passwort können Angreifer dann nicht an beliebige Adressen auszahlen.
• Getrennte Wallets: Halte eine kleine Wallet für Experimente mit neuen DeFi-Seiten und Airdrops und verwahre den Großteil getrennt auf einer Hardware-Wallet, die nie mit unbekannten Seiten verbunden wird.
• Freigaben regelmäßig widerrufen: Alte Token-Freigaben bleiben aktiv, bis du sie zurücknimmst. Block-Explorer und Wallet-Apps zeigen dir offene Freigaben an.
• Adressen vollständig vergleichen: Beim Address Poisoning schicken Betrüger winzige Beträge von einer Adresse, die deiner echten Zieladresse am Anfang und Ende ähnelt. Wer die Adresse aus dem Verlauf kopiert, schickt das Geld an die falsche Adresse.

Wer eine Software-Wallet auf dem Smartphone nutzt, sollte zudem auf einen Anbieter mit eingebauter Warnung vor bekannten Phishing-Seiten und Transaktionsvorschau achten. Welche Apps das leisten, steht in unserem Vergleich der Software-Wallets.

Seed-Phrase preisgegeben: Die ersten Stunden nach dem Phishing-Angriff

Hast du deine Wörter auf einer fremden Seite eingegeben oder einem Anrufer genannt, zählt jede Minute. Betrüger räumen Wallets oft automatisiert ab, manchmal aber erst nach Stunden oder Tagen, um zusätzliche Einzahlungen abzuwarten. Sinnvoll ist jetzt folgende Reihenfolge:

1. Neue Wallet anlegen: Richte auf einem sauberen Gerät eine neue Wallet mit einer neuen Seed-Phrase ein. Bei einer Hardware-Wallet setzt du das Gerät zurück und erzeugst neue Wörter.
2. Restliche Werte sofort verschieben: Überweise alles, was noch da ist, auf die neue Adresse. Die alte Phrase gilt als verbrannt und wird nie wieder benutzt.
3. Freigaben widerrufen: Hast du eine Signatur auf einer Drainer-Seite bestätigt, aber nicht die Phrase verraten, widerrufe die Freigabe im Block-Explorer. Das kostet eine kleine Netzwerkgebühr.
4. Börsenkonten absichern: Ändere Passwort und Zwei-Faktor-Einstellungen, melde dich überall ab und informiere den Support der Börse über die offizielle Website.
5. Beweise sichern: Speichere Mails, Chatverläufe, die Adresse der Phishing-Seite und die Transaktions-IDs.

Eine Garantie, gestohlene Coins zurückzubekommen, gibt es nicht. Größere Beträge landen aber häufig bei Börsen, die nach Hinweisen von Ermittlern Konten einfrieren können. Je schneller die Transaktions-IDs vorliegen, desto besser die Chance.

Anzeige und Meldung: Polizei, Verbraucherzentrale und BaFin-Datenbank

Nach einem Krypto-Betrug erstattest du Anzeige bei der Polizei, in allen Bundesländern geht das auch über die Onlinewache. Laut Bundeslagebild registrierte die Polizei 2025 rund 334.000 Fälle von Cybercrime, die Dunkelziffer liegt deutlich höher. Jede Anzeige hilft, Muster zu erkennen und Konten von Tätern zu sperren.

Verdächtige Mails ohne Schaden kannst du an das Phishing-Radar der Verbraucherzentrale NRW weiterleiten (phishing@verbraucherzentrale.nrw). Dort erscheinen auch aktuelle Warnungen zu laufenden Kampagnen. Plattformen ohne Erlaubnis meldest du der BaFin, die solche Hinweise in ihren Verbraucherwarnungen veröffentlicht. Ein Anwalt für Kapitalmarktrecht kann bei größeren Schäden prüfen, ob eine beteiligte Börse oder Bank haftet. Seriöse Kanzleien versprechen dabei keine Rückholquote vorab.

Hast du eine Phishing-Mail oder einen Betrugsanruf erkannt, ohne etwas einzugeben, ist die Sache einfach: löschen, nicht antworten, keinen Link öffnen. Eine Antwort bestätigt den Betrügern nur, dass die Adresse aktiv ist.

Krypto-Phishing: Die Seed-Phrase gehört nie in ein Formular

Fast jede Krypto-Betrugsmasche mit Phishing endet an derselben Stelle: Jemand will deine Wörter, dein Passwort oder deine Unterschrift. Drei Schritte machen dich deutlich schwerer angreifbar:

1. Verwahrung trennen: Lege den Großteil deiner Coins auf eine Hardware-Wallet, die nie mit unbekannten Seiten verbunden wird. Geräte mit eigenem Display findest du im Hardware-Wallet-Vergleich.
2. Alltags-Wallet mit Schutzfunktionen wählen: Für kleine Beträge und DeFi taugt eine App mit Transaktionsvorschau und Phishing-Warnung. Die Unterschiede zeigt der Software-Wallet-Vergleich.
3. Nur bei zugelassenen Börsen handeln: Eine Börse mit MiCA-Lizenz unterliegt der Aufsicht, viele bieten zusätzlich Anti-Phishing-Code und Auszahlungs-Whitelist. Welche Anbieter zugelassen sind, steht im Vergleich der regulierten Kryptobörsen.

(Stand: 14. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)