Krypto-Betrug: Phisher haben es auf Seed Phrases abgesehen

Betrüger schrecken vor nichts zurück, wenn es darum geht, Kryptowährungen zu stehlen. Einige versuchen, seltene Mining-Rigs zu verkaufen, andere locken Opfer mit Geschenken von Krypto-Börsen oder Elon Musk selbst, posten Screenshots mit Passwörtern für Krypto-Wallets auf öffentlichen Plattformen oder kassieren „Gebühren“ von Krypto-Investoren. Heute berichten wir von einer neuen Betrugsmasche und möchten noch einmal unterstreichen, warum die Seed Phrase eines Krypto-Wallets um jeden Preis geschützt werden sollte.

Kryptowährung für alle

Wie so oft ist eine E-Mail der Anfang allen Übels. Die Kriminellen hinter der in diesem Beitrag behandelten Betrugsmasche legten ihren Köder in Form einer saftigen Krypto-Belohnung aus: Verteilt wurden Bitcoin (BTC), Ethereum (ETH), Litecoin (LTC), Tron (TRX) oder Ripple (XRP). Insgesamt standen sage und schreibe 800 Millionen US-Dollar auf dem Spiel! Die großzügigen Betrüger waren sogar so freundlich, interessierten Teilnehmern einen einfachen Drei-Punkte-Leitfaden sowie einen Link zur Website der „Aktion“ zur Verfügung zu stellen.

Werfen wir einen Blick auf die fragliche E-Mail. Signiert ist die Nachricht vom Support-Team einer angeblichen Krypto-Community: einer Vereinigung von Krypto-Enthusiasten, könnte man meinen. Die Domain in der E-Mail-Adresse des Absenders hat mit „Krypto“ jedoch herzlich wenig zu tun. Vertrauen erweckt das nicht. Die Nachricht selbst sieht schludrig aus und ist zudem voller Fehler. Vermutlich hoffen die Betrüger darauf, dass ihr Opfer von der neunstelligen Gewinnsumme derartig vom Hocker gehauen wird, dass es für die unzähligen Warnzeichen keine Augen mehr hat.

Phishing-E-Mail, die dem Empfänger eine Belohnung in Form von Kryptowährung verspricht

Beim Öffnen des Links gelangt der Nutzer auf eine Phishing-Seite, deren Domain in keinem Zusammenhang mit der Absenderadresse steht und auf der keine Rede von einer angeblichen Krypto-Community ist.

An dieser Stelle wird das Opfer dazu aufgefordert, das Wallet anzugeben, das für die Überweisung der Kryptowährung genutzt werden soll. Hierbei deckten die Kriminellen wohlweislich alle gängigen Wallets ab: Blockchain.com, Trust Wallet, MetaMask, Coinbase, Binance, Crypto.com und Exodus. Aber auch die Nutzer etwas exotischerer Wallet-Exemplare sollten selbstverständlich nicht leer ausgehen: Für sie wurde eine Schaltfläche Other Wallets (Weitere Wallets) bereitgestellt. Unheimlich benutzerfreundlich, nicht wahr?

Das Opfer wird aufgefordert, ein Krypto-Wallet für die versprochene Übertragung der Token auszuwählen

Nun zum interessantesten Teil: Um die begehrten Token zu erhalten, muss der Nutzer seine Seed Phrase, das automatische Backup eines Krypto-Wallets, preisgeben. Sobald alle angeforderten Informationen ausgefüllt und die Schaltfläche Weiter geklickt wird, erscheint eine Benachrichtigung auf dem Bildschirm, die dem Nutzer mitteilt, dass die begehrte Kryptowährung innerhalb der nächsten 24 Stunden auf dem Konto des glücklichen Gewinners eintrudeln wird.

Interessanterweise filtert die Website bei der Eingabe der Seed Phrase keine ungültigen Angaben heraus. Werden beispielsweise zufällige Wörter oder sogar Zahlen (die überhaupt nicht Teil einer Seed-Phrase sein können) eingegeben, meldet die Website dennoch eine erfolgreiche Übertragung.

Jede Wort- oder Zahlenfolge führt zu einer „erfolgreichen“ Übertragung

Seed Phrase: der magische Schlüssel

Die Betrüger verlassen sich darauf, dass Nutzer normalerweise sehr vorsichtig mit ihrem Privat Key umgehen, der den sofortigen Zugang zum Krypto-Wallet verschafft. Viele wissen jedoch nicht, dass ihre Seed Phrase ebenfalls streng geheim ist, und denken sich nichts dabei, sie in Erwartung einer großartigen Belohnung auf einer Website einzugeben.

Tatsächlich ist die Seed Phrase mindestens genauso wertvoll, denn mit ihr kann ein Angreifer einen neuen privaten Schlüssel generieren und sich so Zugang zum Wallet des Opfers verschaffen. Mit anderen Worten: Mit der Seed-Phrase haben Kriminelle die gleichen Möglichkeiten, Ihre Ersparnisse zu plündern wie mit dem privaten Schlüssel. Beide sollten daher effektiv geschützt werden.

So schützen Sie Ihre Krypto-Finanzen

Im Anschluss einige Tipps, um zu verhindern, in die Falle von Krypto-Betrügern zu tappen.

• Halten Sie Ihre Seed Phrase geheim und geben Sie diese nur im äußersten Notfall preis, um den Zugriff auf Ihr Wallet wiederherzustellen. Speichern Sie die Seed-Phrase nicht in öffentlichen Filesharing-Diensten und versenden Sie sie nicht über Instant-Messaging-Apps oder per E-Mail.
• Öffnen Sie keine Links in E-Mails, die Verlosungen, Geldgeschenke, Kontosperrungen oder Bankkontoschließungen anpreisen. Die Nachrichten stammen höchstwahrscheinlich von Cyberkriminellen. Unsere Checkliste, um zu erfahren, wie Sie Online-Betrüger erkennen, finden Sie hier.
• Installieren Sie eine zuverlässige Sicherheitslösung, die Sie vor Phishing-Seiten warnt.