Zwischenablage-Angriff: Wie Schadsoftware deine kopierte Wallet-Adresse austauscht

Du kopierst die Empfangsadresse aus deiner Wallet, wechselst ins Fenster deiner Börse, fügst sie ein und bestätigst die Auszahlung. Wenn auf deinem Rechner ein sogenannter Clipper läuft, ist die Adresse, die du eingefügt hast, nicht mehr die, die du kopiert hattest. Sie gehört dem Angreifer, sie ist technisch vollkommen gültig, und deine Wallet hat keinen Grund, sie abzulehnen. Das Geld ist weg, sobald die Transaktion bestätigt ist.

Diese Angriffsart ist alt, aber sie hat sich im Sommer 2026 in drei Punkten verändert, die dich als Halter direkt betreffen: der Weg auf den Rechner, das Betriebssystem und die Frage, wie viel dir überhaupt genommen wird. Dieser Text erklärt jeden der drei Punkte anhand der Veröffentlichungen, in denen sie beschrieben wurden, und sagt am Ende, welche Prüfung tatsächlich greift.

Zwischenablage-Angriff erklärt: Wie Schadsoftware die kopierte Wallet-Adresse austauscht

Ein Clipper ist ein Schadprogramm, das den Inhalt der Zwischenablage überwacht und eine erkannte Kryptoadresse durch eine Adresse des Angreifers ersetzt. Das ist die ganze Idee. Es wird nichts entschlüsselt, keine Wallet-Datei geöffnet, kein Passwort erraten. Der Angriff nutzt den einen Moment, in dem eine Adresse den sicheren Bereich deiner Wallet verlässt und als schlichter Text durch das Betriebssystem wandert.

Der entscheidende Unterschied zu fast jedem anderen Angriff auf Kryptovermögen liegt darin, dass du alles richtig machst und trotzdem verlierst. Du hast die Adresse korrekt kopiert. Deine Wallet ist nicht kompromittiert. Deine Seed Phrase liegt unberührt im Tresor. Die Transaktion, die du unterschreibst, ist genau die Transaktion, die du siehst, nur eben an einen anderen Empfänger. Deshalb greift hier auch keine der Vorsichtsmaßnahmen, die vor gefälschten Freigaben oder vor dem Abgreifen von Schlüsseln schützen.

Bitcoin ist dabei nur eines der Ziele. Wenn dich der Kurs des größten Kryptowerts interessiert, findest du die aktuelle Einordnung in unserer Bitcoin-Kurs-Prognose. Für diesen Text ist an Bitcoin nur eines wichtig: Die Adressformate sind öffentlich dokumentiert und maschinell leicht zu erkennen, und genau das macht sie für einen Clipper bequem.

ClickFix: Warum du den Schadcode selbst einfügst und ausführst

ClickFix bezeichnet eine Täuschung, bei der eine Webseite einen Befehl in deine Zwischenablage legt und dich anschließend dazu bringt, ihn selbst in die Kommandozeile deines Rechners einzufügen und auszuführen. Der Name kommt daher, dass die Seite dir ein Problem vorspielt und gleich die passende Reparatur anbietet.

Das ist der Grund, warum diese Angriffsart so gut funktioniert. Es gibt keinen E-Mail-Anhang, den ein Virenscanner prüfen könnte, und keinen Download, den dein Browser als verdächtig markiert. Der Schadcode kommt als Text in die Zwischenablage, und die Ausführung besorgt der Nutzer mit eigener Hand. Aus Sicht des Betriebssystems hat der angemeldete Benutzer einen Befehl eingegeben. Genau das hat er ja auch getan.

Der Ablauf im Einzelnen: Was das Bundesamt für Cybersicherheit beschrieben hat

Das schweizerische Bundesamt für Cybersicherheit hat den Ablauf in seinem Wochenrückblick vom 24. Februar 2026 in sechs Schritten aufgeschlüsselt. Zuerst manipulieren die Angreifer eine Webseite oder schalten eine Anzeige mit einem täuschend echten Fenster. Beim Aufruf der Seite wird der bösartige Code bereits automatisch in die Zwischenablage kopiert, ohne dass irgendetwas angeklickt werden musste. Das Fenster behauptet dann ein technisches Problem, meist ein fehlgeschlagenes Browser-Update oder ein CAPTCHA, das noch zu lösen sei.

Anschließend wird der Nutzer angewiesen, unscheinbare Tastenkombinationen einzugeben. Diese öffnen die Konsole, fügen den vorbereiteten Code ein und führen ihn aus. Am Ende steht der Download eines Programms, das Zugangsdaten und Wallet-Daten abgreift. Die Behörde formuliert ihre wichtigste Empfehlung dazu unmissverständlich: misstrauisch sein, sobald eine Webseite behauptet, der Browser müsse aktualisiert werden, und niemals Code aus unbekannter Quelle direkt in die Kommandozeile kopieren. Die Meldung nennt bewusst keine konkreten Befehlszeilen, weil die Angreifer sie ohnehin laufend austauschen.

Für dich ergibt sich daraus eine Faustregel, die ohne technisches Wissen auskommt. Keine seriöse Software der Welt lässt dich einen Befehl aus der Zwischenablage in ein schwarzes Fenster einfügen, um ein Browserproblem zu beheben oder um zu beweisen, dass du ein Mensch bist. Wer dich dazu auffordert, greift dich an.

Alle 500 Millisekunden: Wie oft ein Clipper die Zwischenablage ausliest

Microsoft hat am 17. Juni 2026 eine Windows-Kampagne beschrieben, die nach eigenen Angaben seit Februar 2026 läuft. Das Schadprogramm fragt seine Steuerung ab und liest die Zwischenablage etwa alle 500 Millisekunden aus. Dabei sucht es nicht allein nach Adressen, sondern greift ebenso Seed Phrases und private Schlüssel ab, sobald sie dort auftauchen.

Zweimal pro Sekunde bedeutet in der Praxis: Es gibt kein Zeitfenster, das zu kurz wäre. Zwischen dem Kopieren und dem Einfügen liegen bei einer Auszahlung selten mehr als ein paar Sekunden, und das reicht um Größenordnungen aus. Der zweite Teil des Befundes ist mindestens ebenso unangenehm. Wer seine Wiederherstellungswörter jemals in die Zwischenablage kopiert, etwa beim Umzug in eine andere Wallet-Software, legt sie auf einem befallenen Rechner damit offen.

Bitcoin, Tron und Monero: Welche Adressformate die Schadsoftware erkennt

Die von Microsoft dokumentierte Variante erkennt sechs Adressformate an ihrem Anfang und ihrer Länge. Bei Bitcoin sind das die alten Adressen, die mit einer Eins beginnen und 32 bis 36 Zeichen lang sind, die P2SH-Adressen mit einer Drei am Anfang und derselben Länge, die Taproot-Adressen mit dem Anfang bc1p und 40 bis 64 Zeichen sowie die Bech32-Adressen mit dem Anfang bc1q in derselben Spanne. Dazu kommen Tron-Adressen, die mit einem großen T beginnen und exakt 34 Zeichen zählen, und Monero-Adressen mit einer Vier oder einer Acht am Anfang und exakt 95 Zeichen.

Diese Liste ist kein Geheimwissen, und sie zeigt, wie mechanisch der Angriff arbeitet. Ein Muster passt oder es passt nicht. Sobald es passt, wird getauscht. Wer häufiger Werte zwischen Netzwerken bewegt, sollte sich vor Augen halten, dass die Erkennung sich mit wenigen Zeilen auf weitere Formate erweitern lässt; die sechs oben sind der Stand einer einzelnen dokumentierten Kampagne, keine erschöpfende Aufzählung dessen, was möglich ist.

Warum die Prüfsumme deiner Bitcoin-Adresse hier nichts nützt

An dieser Stelle liegt das gefährlichste Missverständnis. Kryptoadressen tragen eine Prüfsumme, also einige zusätzliche Zeichen, aus denen sich rechnerisch ableiten lässt, ob der Rest unverändert ist. Viele Halter schließen daraus, ihre Wallet würde eine manipulierte Adresse zwangsläufig zurückweisen.

Das ist ein Trugschluss, und der Grund dafür ist einfach. Die Prüfsumme erkennt eine beschädigte Adresse. Der Clipper liefert aber keine beschädigte Adresse, er liefert die einwandfreie Adresse eines anderen Empfängers. Sie ist korrekt aufgebaut, ihre Prüfsumme stimmt, ihr Netzwerk stimmt, und die Wallet bestätigt sie deshalb anstandslos. Eine Prüfsumme schützt gegen Tippfehler und Übertragungsfehler. Gegen einen Austausch schützt sie nicht, weil ein Austausch aus Sicht der Mathematik gar kein Fehler ist.

USB-Stick und geplante Aufgaben: Wie sich der Clipper festsetzt und weiterverbreitet

Die von Microsoft beschriebene Windows-Variante kommt über präparierte Verknüpfungsdateien auf USB-Speichern. Nach der Ausführung durchsucht sie den Datenträger nach gewöhnlichen Dokumenten, versteckt die Originale und legt an ihrer Stelle Verknüpfungen mit denselben Dateinamen an. Wer den Stick danach öffnet, sieht scheinbar seine Dateien und startet in Wahrheit das Schadprogramm.

Zur dauerhaften Einnistung richtet die Software zwei unbefristete geplante Aufgaben ein. Die eine sorgt dafür, dass jeder frisch eingesteckte, noch saubere USB-Speicher ebenfalls präpariert wird, die andere betreibt das eigentliche Abgreifen. Das erklärt, warum solche Infektionen in Haushalten und kleinen Büros zurückkehren, nachdem sie schon beseitigt schienen: Der nächste Stick bringt sie zurück.

Tor und ein lokaler Proxy: Warum der Datenverkehr unauffällig bleibt

Die Kampagne bringt einen tragbaren Tor-Client mit und leitet ihren Verkehr über einen lokalen SOCKS5-Proxy auf Port 9050. Praktisch heißt das, dass im Netzwerk keine auffällige Verbindung zu einem verdächtigen Server zu sehen ist, gegen die eine Firewall oder ein Router eingreifen könnte. Wer darauf setzt, dass sein Heimnetz bösartige Ziele blockiert, hat hier nichts in der Hand.

Ein Vertrag auf der BNB Smart Chain: Warum Sperrlisten gegen ClickFix wenig ausrichten

Am 6. August 2026 hat Microsoft Threat Intelligence eine Gruppe kompromittierter Webseiten beschrieben, die ClickFix-Köder ausspielen. Der eingeschleuste, Base64-kodierte JavaScript-Code verbindet sich mit einem Zugangsknoten der BNB Smart Chain und fragt dort einen Smart Contract nach seinen Anweisungen ab. Ausgeliefert werden unter anderem Lumma Stealer, die Fernsteuerungswerkzeuge Xworm und AsyncRAT sowie ein Nachlader namens MintsLoader. Microsoft spricht von Kampagnen, die täglich Tausende Geräte in Unternehmen und Haushalten weltweit ins Visier nehmen.

Der Kniff liegt im Ablageort der Anweisungen. Eine Domain lässt sich abschalten, ein Server beschlagnahmen. Ein Eintrag in einem öffentlichen Vertrag auf einer Blockchain lässt sich von außen nicht entfernen, und geändert werden kann er nur von demjenigen, der den zugehörigen Schlüssel hält. Die Abwehr verliert damit ihren wirksamsten Hebel, und die Verteidigung verschiebt sich vom Netzwerk auf das Gerät und auf die Gewohnheiten seines Nutzers. Dass ausgerechnet eine öffentliche Blockchain diese Rolle übernimmt, ist die unangenehme Pointe: Dieselbe Eigenschaft, die sie als Kassenbuch wertvoll macht, macht sie hier zum unerreichbaren Briefkasten.

macOS ist kein sicherer Hafen mehr: Der Befund von Anfang August

Am 7. August 2026 berichtete The Hacker News über eine in Go geschriebene macOS-Schadsoftware, die über ClickFix-Köder verteilt wird. Die Analyse stammt von den Sicherheitsforschern des Anbieters Huntress. Betroffen sind nach deren Darstellung Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und XRP.

Damit fällt eine Annahme, die sich in Halterkreisen hartnäckig hält. Der Satz, ein Mac sei bei Kryptoverwahrung die sicherere Wahl, war schon vorher eher Gewohnheit als Befund, und der Angriffsweg über ein eingefügtes Terminal-Kommando funktioniert unter macOS aus demselben Grund wie unter Windows: Er beruht darauf, dass der Nutzer selbst ausführt. Auch die Behördenmeldung vom Februar nennt Windows und macOS ausdrücklich nebeneinander.

Teilentleerung statt Totalverlust: Warum ein kleiner Fehlbetrag gefährlicher sein kann

Ein Detail des Befunds vom 7. August verdient besondere Aufmerksamkeit. Die Schadsoftware enthält eine Routine, die zunächst den Bestand einer Wallet abfragt und anschließend auch einen Teilbetrag abziehen kann statt des gesamten Guthabens. Der zitierte Forscher bezeichnet das als das erste ihm bekannte Schadprogramm mit dieser Fähigkeit.

Warum das schlimmer ist, als es klingt: Eine leergeräumte Wallet fällt sofort auf. Ein Fehlbetrag, der klein genug bleibt, fällt womöglich monatelang niemandem auf, und in dieser Zeit bleibt die Infektion bestehen, sammelt weiter Zugangsdaten und wandert über den nächsten USB-Speicher weiter. Wer Bestände nur grob im Kopf hat, merkt einen solchen Abfluss nicht. Ein sauber geführter Bestandsnachweis ist deshalb auch eine Sicherheitsmaßnahme und nicht bloß eine Pflicht gegenüber dem Finanzamt.

Address Poisoning und Clipper: Zwei Wege zur falschen Adresse

Wir haben am 22. August 2026 den Fall einer Adressvergiftung ausführlich beschrieben, bei der rund zwei Millionen US-Dollar an eine nachgebaute Adresse gingen. Der Unterschied zum heutigen Thema ist wichtig, weil er über die richtige Abwehr entscheidet.

Beim Address Poisoning liegt keine Schadsoftware auf deinem Rechner. Der Angreifer stellt eine täuschend ähnliche Adresse in deinen Transaktionsverlauf, und du greifst später selbst zur falschen Zeile. Dagegen helfen Adressbuch, Whitelist und der bewusste Verzicht darauf, aus dem Verlauf zu kopieren. Genau diese Schritte findest du in unserer Anleitung zum Prüfen einer Empfangsadresse, und wir wiederholen sie hier bewusst nicht.

Beim Clipper liegt die Schadsoftware auf dem Gerät. Sie greift zwischen Kopieren und Einfügen ein, also nach jeder Auswahl, die du triffst. Ein Adressbuch in einer Wallet-Software hilft nur so weit, wie die Adresse ihren Weg nicht über die Zwischenablage nimmt. Das ist der Kern des Unterschieds, und er erklärt, warum ein Halter beide Angriffe kennen sollte, obwohl das Ergebnis in beiden Fällen gleich aussieht. Verwandt, aber wieder anders gelagert sind gefälschte Freigaben, die wir unter Wallet-Drainer und Signaturfreigaben behandelt haben, sowie bösartige Browser-Erweiterungen.

Das Display der Hardware-Wallet: Die Anzeige, die der Clipper nicht erreicht

Gegen einen Adresstausch auf dem Rechner gibt es eine Abwehr, die unabhängig davon funktioniert, wie gut die Schadsoftware ist. Eine Hardware-Wallet zeigt die Empfangsadresse einer ausgehenden Transaktion auf ihrem eigenen, kleinen Bildschirm an, bevor du sie bestätigst. Dieses Gerät hat kein Betriebssystem, in das sich ein Clipper einnisten könnte, und es zeigt, was tatsächlich unterschrieben wird.

Der Nutzen entsteht allerdings erst durch das Ablesen. Wer auf dem Gerät nur die Bestätigungstaste drückt, ohne die Zeichen mit dem beabsichtigten Ziel abzugleichen, hat den Vorteil verschenkt. Sinnvoll ist der Abgleich der ersten fünf und der letzten fünf Zeichen sowie einer Gruppe aus der Mitte, weil Angreifer ihre Adressen gezielt so erzeugen, dass Anfang und Ende ähnlich aussehen. Welche Geräte die Adresse vollständig und in ausreichender Größe darstellen, unterscheidet sich spürbar; ein Blick in unsere Übersicht der Hardware-Wallets lohnt sich vor dem Kauf genau dafür.

Auszahlungs-Whitelist bei der Börse: Was sie leistet und was nicht

Die meisten größeren Handelsplätze erlauben es, Auszahlungsadressen einmalig zu hinterlegen und Auszahlungen an alle anderen Adressen zu sperren. Der Schutz ist hier größer, als er zunächst wirkt: Selbst wenn ein Clipper im Moment der Auszahlung eine fremde Adresse einsetzt, läuft die Zahlung ins Leere, weil das Ziel nicht freigeschaltet ist.

Die Grenze dieses Schutzes liegt im Anlegen des Eintrags selbst. Wird die Adresse beim erstmaligen Hinterlegen über die Zwischenablage eingefügt, kann sie in genau diesem Moment getauscht worden sein, und danach ist die falsche Adresse die freigegebene. Deshalb gehört der Abgleich auf dem Wallet-Display an diese Stelle, nicht an die spätere Auszahlung. Sinnvoll ist zudem, die Änderungsfrist zu nutzen, die viele Anbieter nach dem Hinzufügen einer neuen Adresse setzen.

Was gesichert ist und was Einschätzung bleibt

Gesichert sind die technischen Angaben, weil sie aus den genannten Veröffentlichungen stammen und dort datiert sind: der Ablauf der ClickFix-Täuschung nach der Behördenmeldung vom 24. Februar 2026, das Abfrageintervall von rund 500 Millisekunden, die sechs Adressformate, die Verbreitung über USB-Speicher, die beiden geplanten Aufgaben und der Tor-Weg nach der Microsoft-Analyse vom 17. Juni 2026, die Abfrage eines Vertrags auf der BNB Smart Chain nach der Microsoft-Beobachtung vom 6. August 2026 sowie die macOS-Variante samt Teilabzug nach dem Bericht vom 7. August 2026.

Einschätzung, und als solche gekennzeichnet, ist die Bewertung dieser Punkte als zusammenhängende Entwicklung. Dass ein Angriffsweg innerhalb weniger Wochen auf ein zweites Betriebssystem übergreift und seine Steuerung auf eine Blockchain verlegt, deutet auf wachsenden Aufwand hin. Wie viele Geräte tatsächlich betroffen sind und wie hoch der Schaden in Deutschland ausfällt, ist nicht bekannt, und wir nennen dazu bewusst keine Zahl. Auch darüber, wer hinter den Kampagnen steht, trifft dieser Text keine Aussage.

Eine Einordnung zum Umgang mit dem Restrisiko gehört ebenfalls hierher. Kein Verfahren macht einen befallenen Rechner wieder vertrauenswürdig. Wer den begründeten Verdacht hat, dass auf seinem Gerät ein Clipper läuft, sollte von diesem Gerät aus keine Adresse mehr eingeben und keine Wiederherstellungswörter mehr eintippen, sondern die Bestände von einem anderen, sauberen Gerät aus bewegen.

Zwischenablage-Angriffe abwehren: Was du daraus mitnimmst

1. Füge niemals einen Befehl in Kommandozeile oder Terminal ein, den dir eine Webseite in die Zwischenablage gelegt hat. Das ist der einzige Schritt, der die Infektion überhaupt verhindert; alles Weitere begrenzt nur noch den Schaden. Kein Browser-Update und keine Menschprüfung verlangt so etwas. Wenn du auf einem Gerät Werte verwahrst, das auch zum Surfen dient, verlagere die Verwahrung auf ein Gerät mit eigenem Bildschirm; die Unterschiede zeigt unsere Übersicht der Hardware-Wallets.
2. Lies die Empfangsadresse auf dem Display des signierenden Geräts ab, nicht auf dem Bildschirm des Rechners. Gleiche die ersten fünf Zeichen, die letzten fünf und eine Gruppe aus der Mitte ab. Nutzt du eine reine Softwarelösung, sind die Grenzen dieses Vorgehens größer, weil Anzeige und Zwischenablage auf demselben System liegen; welche Programme hier wie viel abfangen, steht in unserem Überblick zu Software-Wallets.
3. Hinterlege bei deinem Handelsplatz eine Auszahlungs-Whitelist und prüfe die Adresse beim Anlegen besonders sorgfältig. Danach läuft ein späterer Adresstausch ins Leere. Welche Anbieter diese Sperre anbieten und wie lange ihre Änderungsfristen laufen, findest du in unserer Aufstellung der Krypto-Börsen.
4. Halte deinen Bestand nachvollziehbar fest. Ein Teilabzug fällt nur auf, wenn du weißt, was da sein sollte. Das gilt unabhängig davon, ob am Jahresende eine Steuererklärung ansteht.

Die beiden Veröffentlichungen, auf die sich dieser Text im Kern stützt, kannst du selbst nachlesen: die technische Analyse der Windows-Kampagne bei Microsoft Security und die deutschsprachige Beschreibung des ClickFix-Ablaufs beim Bundesamt für Cybersicherheit.

(Stand: 1. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)