Eine der trickreicheren Krypto-Diebstahltechniken im Umlauf kommt ganz ohne gefälschte Website, Phishing-E-Mail oder Schadsoftware aus. Sie zielt auf etwas, dem Nutzer vertrauen, ohne darüber nachzudenken: die eigene Wallet-Transaktionshistorie. Sicherheitsforscher bezeichnen dies als Address Poisoning oder einen Angriff über kontaminierte Transferhistorie. Er funktioniert, indem eine Lookalike-Adresse in der Historie eines Opfers platziert wird, bis sie wie ein legitimer, vertrauter Empfänger wirkt.
Wie der Angriff tatsächlich funktioniert
Ein Angreifer erzeugt eine Wallet-Adresse, die einer vom Ziel zuvor genutzten Adresse optisch ähnelt – mit übereinstimmenden ersten und letzten Zeichen, was oft alles ist, was eine Person überprüft. Von dieser Adresse aus sendet er eine winzige „Dust“-Transaktion, manchmal im Wert eines Bruchteils eines Cents, an die Wallet des Opfers. Diese Transaktion steht nun in der Historie des Opfers und ist auf den ersten Blick nicht von einem echten früheren Kontakt zu unterscheiden.
Warum es so gut funktioniert
- Die meisten Wallet-Oberflächen heben die jüngste Transaktionshistorie hervor und nutzen sie als Abkürzung für wiederholte Überweisungen.
- Auf mobilen Bildschirmen werden vollständige Adressen routinemäßig auf die ersten und letzten paar Zeichen gekürzt.
- Menschen erkennen Muster, statt vollständige Zeichenketten zu prüfen – das Gehirn füllt die Mitte aus, statt sie zu kontrollieren.
- Nutzer, die häufig Krypto versenden, kopieren am ehesten eine Adresse aus der Historie, statt sie neu einzutippen.
Der Ablauf des Angriffs
- Der Angreifer sendet eine Dust-Transaktion von einer Lookalike-Adresse an die Ziel-Wallet.
- Die Wallet erfasst diese Adresse in der Transaktionshistorie, neben echten früheren Empfängern.
- Das Opfer möchte später Geld senden und wählt eine scheinbar vertraute, kürzlich genutzte Adresse aus.
- Es wählt die Adresse des Angreifers statt der echten aus.
- Die Gelder bewegen sich on-chain zum Angreifer und können nicht rückgängig gemacht werden.
Kein Link wird angeklickt, keine Software installiert, keine Zugangsdaten gestohlen. Der gesamte Angriff spielt sich innerhalb eines Verhaltens ab, dem das Opfer bereits vertraut: seinem eigenen Transaktionsprotokoll.
Dieser Angriff wirkt am effektivsten bei Personen, die häufig Krypto versenden und die Liste der letzten Aktivitäten ihrer Wallet wie ein informelles Adressbuch behandeln. Die Lösung ist nicht allgemein mehr Wachsamkeit, sondern eine gezielte Änderung der Gewohnheit, woher Adressen stammen.
Wer am stärksten gefährdet ist
Das Risiko steigt für alle, die regelmäßig Gelder an Exchanges, Geschäftspartner oder wiederkehrende Kontakte senden, besonders über eine mobile Wallet, in der Adressen standardmäßig visuell gekürzt werden. Ein hohes Transaktionsvolumen verschärft das Risiko zusätzlich, da ein vergifteter Eintrag in einer belebten Historie mehr Gelegenheiten hat, mit einem echten verwechselt zu werden.
Wie man sich dagegen schützt
- Behandeln Sie die Transaktionshistorie niemals als Adressbuch – das ist sie nicht, und nichts hindert einen Angreifer daran, dort einzutragen.
- Prüfen Sie die vollständige Adresse Zeichen für Zeichen, bevor Sie etwas Nennenswertes senden – nicht nur die ersten und letzten Ziffern.
- Nutzen Sie für wiederkehrende Empfänger die Funktion für gespeicherte oder auf die Whitelist gesetzte Adressen, statt sie aus der letzten Aktivität zu kopieren.
- Vermeiden Sie es grundsätzlich, Adressen aus einer Liste letzter Transaktionen zu kopieren – rufen Sie sie jedes Mal aus einer verifizierten Quelle ab.
- Überprüfen Sie die Zieladresse für jede Überweisung, deren Verlust Sie bereuen würden, zusätzlich auf einem zweiten Bildschirm oder Gerät.
Was diesen Angriff gefährlich macht, ist nicht seine Raffinesse, sondern wie gewöhnlich er wirkt. Es gibt keinen erkennbaren Betrugsmoment, keinen verdächtigen Link, keine dringende Nachricht. Nur eine stille Vertauschung, die vollständig davon abhängt, dass ein Nutzer etwas nicht genau genug prüft, dem er keinen Grund hatte zu misstrauen.