Adressvergiftung und Clipboard-Hijacker-Malware: Verhindern Sie veränderte Krypto- und Überweisungen¶

Augenblicke nach dem Klicken auf „Senden“ bei einer Kryptowährungsüberweisung oder Banküberweisung stellen wir fest, dass die Zieladresse auf dem Bildschirm nicht die Wallet oder IBAN ist, die Sie bezahlen wollten, obwohl die ersten 4 bis 6 Zeichen und die letzten 4 bis 6 Zeichen der Adresse identisch aussehen (0x71C9...89A4), bedeutet, dass Sie entweder von einem On-Chain Vanity Address Poisoning Attack oder Clipboard Hijacker ("Clipper") Malware betroffen sind. Im Gegensatz zu einem Kryptowährungs-Wallet-Drain oder Seed-Phrase-Kompromittierung Wenn ein Angreifer Ihre 12-Wörter-Wiederherstellungsphrase stiehlt, erfordert weder Address Poisoning noch Clipper-Malware, dass der Angreifer Ihre privaten Schlüssel kennt. Stattdessen nutzen beide Angriffe die menschliche Angewohnheit aus, lange Zeichenfolgen zu kopieren und einzufügen (42-character Ethereum/EVM addresses, 34-to-62-character Bitcoin/Solana/Tron addresses, oder 15-to-34-character international IBAN bank account numbers) und nur die ersten vier und letzten vier Zeichen visuell überprüfen. Wenn die geänderte Adresse genau in der Millisekunde, die Sie gedrückt haben, in Ihrem Browser oder Desktop angezeigt wird Ctrl+V (Cmd+V), Ihr Computer oder Telefon verfügt über einen aktiven Trojaner zur Überwachung der Zwischenablage oder eine betrügerische Browsererweiterung; Konsultieren Sie unseren Leitfaden unter bösartige Browsererweiterungen, Zwischenablage-Hijacker und Adware-Entfernung. Wenn es sich bei der geänderten Überweisung um eine inländische oder internationale Banküberweisung handelte (SWIFT / SEPA / Fedwire / Faster Payments), führen Sie sofort die Rückrufschritte aus Corporate Business Email Compromise (BEC) und Wire Fraud-Rückruf. Wenn Sie einer Erpressung oder einer unmittelbaren Lebensgefahr ausgesetzt sind, rufen Sie Ihre örtliche Notrufnummer an (911 in den Vereinigten Staaten und Kanada, 112 in der gesamten Europäischen Union, 999 im Vereinigten Königreich) oder sehen Sie sich unser internationales Verzeichnis an Notrufnummern.

Tun Sie dies jetzt¶

1. Führen Sie in 10 Sekunden den „Notepad Copy-Paste-Test“ durch, um festzustellen, ob Ihr Computer/Telefon mit Clipper-Malware infiziert ist ODER ob Sie versehentlich eine vergiftete Adresse aus Ihrem Transaktionsverlauf kopiert haben:
2. Öffnen Sie einen Nur-Text-Editor (Notepad, TextEdit, oder die Adressleiste Ihres Browsers), geben Sie eine echte Wallet-Adresse ein oder kopieren Sie sie (0x71C95911E9a5D330f4D621842EC243EE1343292e) und drücken Sie Ctrl+V (Cmd+V).
3. Ergebnis A (Die eingefügte Zeichenfolge ändert sich zwischen Ctrl+C und Ctrl+V): Ihr Gerät ist aktiv mit Clipboard Hijacker („Clipper“)-Malware infiziert (entweder eine ausführbare Windows/macOS-Hintergrunddatei oder eine bösartige Chrome/Brave/Edge-Browsererweiterung), die die Zwischenablage-API des Betriebssystems abfängt (AddClipboardFormatListener / NSPasteboard) und tauscht jede Zeichenfolge aus, die mit einem regulären Ausdruck für Bitcoin, Ethereum, Solana, Tron (USDT) oder eine IBAN mit der Adresse des Angreifers in weniger als 5 Millisekunden. Trennen Sie diesen Computer sofort vom Internet und signieren Sie keine weiteren Transaktionen darauf.
4. Ergebnis B (Die eingefügte Zeichenfolge ändert sich NICHT, wenn Sie die echte Adresse kopieren, da Sie versehentlich die falsche Adresse aus der Liste „Letzte Transaktionen“ Ihrer Wallet oder Etherscan/Tronscan kopiert haben): Sie wurden von einem On-Chain Vanity Address Poisoning Scam angegriffen, bei dem ein Bot Ihre öffentlichen Blockchain-Transfers beobachtete, eine ähnliche „Vanity“-Wallet-Adresse mit genau den gleichen Start- und Endzeichen wie Ihr häufiger Empfänger generierte und eine schickte $0.00 (oder $0.00001 Dust)-Transaktion auf Ihr Wallet übertragen, sodass ihre ähnliche Adresse ganz oben im Transaktionsverlauf Ihres Wallets steht und darauf wartet, dass Sie sie kopieren. Ihr Computer und Ihre privaten Schlüssel werden NICHT gehackt; Ihre Wallet-Seed-Phrase ist immer noch sicher.
5. Wenn Ihre Kryptowährungstransaktion im Mempool noch „Ausstehend“ ist (Unconfirmed), sendete eine „Replace-By-Fee“ (RBF) / Same-Nonce-Stornierungstransaktion sofort:
6. Auf Ethereum, Arbitrum, Optimism, Polygon, Base oder BSC (MetaMask, Rabby, Ledger Live, Coinbase Wallet): Wenn die Transaktion noch nicht in einen Block aufgenommen wurde, klicken Sie sofort auf „Abbrechen“ oder aktivieren Sie Benutzerdefinierte Nonce in Ihren Wallet-Einstellungen und senden Sie 0 ETH mit genau derselben Adresse an Ihre eigene Wallet-Adresse senden Nonce Nummer mit einer 50 % höheren Priority Gas Fee (Max Priority Fee) um die vergiftete Transaktion zu überschreiben, bevor Validatoren sie bestätigen.
7. Auf Bitcoin (Electrum, Sparrow, BlueWallet, Ledger): Klicken Sie mit der rechten Maustaste auf die unbestätigte Transaktion und wählen Sie Abbrechen (doppelte Ausgaben mit RBF) oder Kind zahlt für Eltern (CPFP) Rücksendung des Geldes an Ihre eigene Wechseladresse mit einem höheren Sat/VB-Gebührensatz.
8. Wenn Sie gesendet haben USDT (Tether) bzw USDC (Kreis) an eine vergiftete oder von einem Clipper gekaperte Adresse senden, stellen Sie sofort einen Notfallantrag zum Einfrieren des Ausstellers (Blacklist / Freeze):
9. Im Gegensatz zu nativem Bitcoin oder ETH sind die Smart Contracts für USDT (Tether) auf Ethereum, Tron (TRC-20), Solana und Avalanche und USDC (Circle) verfügen über eine integrierte Verwaltungsfunktion addBlackList() / blacklist() Funktion, die gestohlene Token direkt in der Brieftasche des Angreifers einfrieren kann, bevor der Angreifer sie überbrückt oder über eine Börse auszahlt.
10. Speichern Sie sofort den Transaktions-Hash (TxID), die Zieladresse des Angreifers und Ihre Absenderadresse, reichen Sie einen Online-Bericht beim FBI IC3 ein (ic3.gov) oder örtliche Cyberpolizei, reichen Sie den Vorfall auf Chainabuse (chainabuse.com) und senden Sie ein dringendes Sperrticket an Tether (tether.to/en/contact-us -> Antrag auf Einfrieren durch Rechts- und Strafverfolgungsbehörden) oder Kreis (circle.com) während Sie die Gelder auf Etherscan/Tronscan/Arkham verfolgen, um jede zentralisierte Börse zu warnen (Binance, Coinbase, Kraken, OKX, Bybit, HTX) in dem Moment, in dem der Angreifer das Geld einzahlt.
11. Wenn es sich bei der geänderten Überweisung um eine Banküberweisung handelte (IBAN / SWIFT / ACH / Faster Payments durch Banking-Clipper-Malware verändert wurde), rufen Sie innerhalb der ersten 30 Minuten den Wire Fraud Recall Desk Ihrer Bank an:
12. Fordern Sie sofort eine AnfrageSWIFT MT192 / MT199 (pacs.004) Stornierung und Rückruf wegen Betrugs: Bitten Sie Ihre Bank, eine direkte Bank-zu-Bank-Haftungsfreistellungsmitteilung an den Compliance-Desk der empfangenden Bank zu senden und die Änderung zu melden IBAN.
13. Entfernen Sie Clipper-Malware aus Ihrem Browser und Betriebssystem, bevor Sie eine andere vertrauliche Zeichenfolge kopieren:
14. Offen chrome://extensions (oder edge://extensions, brave://extensions, about:addons) und entfernen Sie sofort jede nicht erkannte Erweiterung.
15. Öffnen Sie unter Windows den Task-Manager / Microsoft Sysinternals Autoruns und geplante Aufgaben überprüfen, HKCU\Software\Microsoft\Windows\CurrentVersion\Run, und %APPDATA% / %LOCALAPPDATA%\Temp für unerwünschte ausführbare Hintergrunddateien, die die Zwischenablage abhören.

Entscheidungsbaum: Diagnose und Reaktion von Address Poisoning vs. Clipper Malware¶

Verwenden Sie dieses Flussdiagramm, um festzustellen, welcher Angriffsvektor Ihre Zieladresse geändert hat und welche Sofortmaßnahmen Ihr Geld oder Ihr Gerät sparen können:

flowchart TD
    Incident["Kryptowährung oder Banküberweisung an falsche Lookalike-Adresse gesendet (oder fast gesendet)."] --> NotepadTest{"Führen Sie den Notepad-Test durch: Kopieren Sie eine bekanntermaßen funktionierende Wallet-/IBAN-Adresse und fügen Sie sie in Notepad ein (Strg+C -> Strg+V). Ändert sich der eingefügte Text?"}

    NotepadTest -->|"JA: Eingefügter Text wird automatisch in Millisekunden ausgetauscht"| ClipperPath["VEKTOR A: Aktive Clipboard Hijacker („Clipper“)-Malware auf Ihrem PC, Mac, Telefon oder Ihrer Browsererweiterung"]

    NotepadTest -->|"NEIN: Der eingefügte Text bleibt identisch (Sie haben die Lookalike-Adresse aus Ihrem eigenen Transaktionsverlauf kopiert)"| PoisonPath["VEKTOR B: On-Chain-Vanity-Address-Poisoning-Betrug (Ihr Gerät und Ihre Seed-Phrase sind NICHT infiziert)"]

    ClipperPath --> IsolateDevice["SCHRITT 1A: Infizierten PC/Telefon vom Internet trennen -> chrome://extensions & Startprozesse prüfen -> Prüfen, ob Broader Infostealer auch Browser-Cookies/Passwörter gestohlen hat"]

    PoisonPath --> TxStatus{"Haben Sie die Transaktion bereits übermittelt und ist sie bestätigt?"}
    IsolateDevice --> TxStatus

    TxStatus -->|"Noch nicht gesendet (vor dem Unterschreiben abgefangen)"| SafeStop["Aktualisieren Sie Ihr Wallet-Adressbuch/Ihre Whitelist mit verifizierten, vollständigen 42-stelligen Adressen und kopieren Sie diese niemals aus dem Transaktionsverlauf"]

    TxStatus -->|"Ausstehend in Mempool (unbestätigt)"| RBF["DRINGEND: Senden Sie Same-Nonce 0-ETH Self-Transfer (EVM) oder RBF Double-Spend (Bitcoin) mit 50 % höherer Gasgebühr, um es zu stornieren"]

    TxStatus -->|"Bestätigter On-Chain- oder Banküberweisungsversand"| AssetCheck{"Welche Art von Vermögenswert wurde gesendet?"}

    AssetCheck -->|"USDT (Tether) oder USDC (Circle)"| FreezeToken["Reichen Sie einen Polizei-/IC3-Bericht ein + senden Sie eine dringende Token-Blacklist-/Einfrieranfrage an Tether/Circle + überwachen Sie die Adresse des Angreifers für die CEX-Einzahlung"]
    AssetCheck -->|"Natives BTC / ETH / SOL"| TraceCEX["Verfolgen Sie Gelder über Etherscan/Arkham/MistTrack -> Senden Sie bei der Einzahlung ein Sperrticket der Strafverfolgungsbehörden an die Zielbörse (Binance, Coinbase, Kraken, OKX)."]
    AssetCheck -->|"Banküberweisung / SEPA IBAN / Schnellere Zahlungen"| WireRecall["Rufen Sie umgehend die Betrugsabteilung für Banküberweisungen des Absenders an, um einen SWIFT MT192/SEPA-Rückruf zu erhalten und die Compliance der empfangenden Bank zu benachrichtigen"]

So funktionieren die beiden Angriffe: Vanity Address Poisoning vs. Clipper-Trojaner¶

Obwohl beide Angriffe dazu führen, dass Ihr Geld auf die Brieftasche oder das Bankkonto eines Angreifers gelangt, sind ihre technischen Mechanismen und ihre Bedeutung für die Sicherheit Ihres Geräts völlig gegensätzlich:

Phase 1: Was tun, wenn Sie gerade Geld an eine manipulierte oder gehackte Adresse gesendet haben?¶

Die Zeit wird in Minuten gemessen, wenn Überweisungen in der Kette verfolgt oder Banküberweisungen zurückgerufen werden. Befolgen Sie sofort diese Schritte:

1. Aufspüren und Einfrieren gestohlener Waren USDT (Tether) bzw USDC (Kreis) On-Chain¶

Weil über 75 Prozent aller Adressvergiftungsverluste in der Kette auftreten USDT (auf Tron TRC-20 und Ethereum ERC-20) und USDC, Opfer haben einen entscheidenden Wiederherstellungsvorteil, der Bitcoin und nativer ETH fehlt: zentralisiertes Smart-Contract-Einfrieren. 1. Öffnen Sie einen Blockchain-Explorer (etherscan.io, tronscan.org, solscan.io, arbiscan.io) und fügen Sie Ihren Transaktions-Hash ein (TxID): - Klicken Sie auf die Empfängeradresse des Angreifers, um zu sehen, ob Ihre Daten gestohlen wurden USDT oder USDC sich noch in ihrer Wallet befindet oder ob sie sie in eine Zwischen-"Hop"-Wallet verschoben haben. 2. Wenn die USDT oder USDC liegt immer noch in einer externen Wallet (EOA) auf Ethereum, Tron, Solana, Polygon, Arbitrum, Base oder Avalanche: - Tether (USDT) und Kreis (USDC) haben durch den Aufruf der Smart Contracts über 1,8 Milliarden US-Dollar an gestohlenen Geldern an Tausenden von Adressen eingefroren AddedBlackList Funktion, wenn Strafverfolgungsbehörden oder verifizierte Betrugsanzeigen von Opfern eingehen. - Sofort einreichen: 1. Ein Notfallbericht beim FBI IC3 (ic3.gov), Action Fraud UK, Europol oder Ihre örtliche Cybercrime-Abteilung der Polizei, um eine Meldereferenznummer zu erhalten. 2. Ein öffentlicher Betrugsbericht zu Chainabuse (chainabuse.com) und ** Etherscan / Tronscan „Report / Flag Address“** also Wallet-Sicherheits-APIs (Blockaid, Blowfish, Wallet Guard, Rabby, MetaMask) kennzeichnen die Adresse des Angreifers sofort rot für andere Benutzer. 3. Ein dringendes Sperrticket an den Tether-Support (tether.to/en/contact-us) und MistTrack / SlowMist / Seal 911 (@Seal_911 auf Telegram, der 24/7-Hotline für Notfallvorfälle der Web3 Security Alliance) mit Ihrem TxID, genauer UTC-Zeitstempel und Polizei-/IC3-Referenz. 3. Wenn der Angreifer die gestohlene Kryptowährung an eine zentrale Börse verschiebt (CEX) Einzahlungsadresse (Binance, Coinbase, OKX, Kraken, Bybit, HTX, KuCoin, Gate.io): - Beachten Sie den genauen Exchange Hot Wallet-Namen, der auf Etherscan/Tronscan/Arkham angegeben ist, und den genauen TxID der Einzahlung in diese Börse. - Jede große zentrale Börse verfügt über ein 24/7-Portal für Strafverfolgung und das Einfrieren von Opfervermögen (Binance Law Enforcement Request / Customer Support Case, Coinbase Support, OKX Risk Control). Reichen Sie die Anzahlung ein TxID Wenden Sie sich umgehend an den Support-Desk dieser Börse und bitten Sie sie, eine vorübergehende 7-tägige Compliance-Sperre für das Unterkonto zu verhängen, das die Einzahlung erhalten hat TxID [Hash] während die Strafverfolgungsbehörden eine offizielle Einfrieranordnung übermitteln**.

2. Rückruf einer geänderten Banküberweisung (IBAN / Account Number Von Clipper Malware ausgetauscht)¶

Wenn ein Bank-Clipper-Trojaner (ClipBanker, Qakbot, ZeuS/ZLoader) einen Lieferanten oder Vermieter getauscht hat IBAN oder Bankleitzahl/Kontonummer, wenn Sie diese in Ihr Online-Banking-Portal eingefügt haben: 1. Rufen Sie innerhalb der ersten Stunde den Rückrufschalter für Überweisungsbetrug / Treasury Ihrer Bank an und fordern Sie einen sofortigen Rückruf bei betrügerischen Überweisungen an (SWIFT MT192 / SEPA SCT Recall / Faster Payments APP Fraud Claim). 2. Suchen Sie nach der Bankleitzahl (BIC) / Routing-Nummer, eingebettet in die des Angreifers IBAN (Zeichen 5 bis 8 aller europäischen/britischen IBAN (Identifizieren Sie die genaue Empfängerbank) und rufen Sie direkt die Betrugsabteilung der Empfängerbank an, um dieses Konto zu melden [Attacker IBAN] ist ein Money-Mule-Konto, das Erlöse aus Clipboard-Malware-Betrug erhält.

Phase 2: Erkennung und Beseitigung von Clipboard Hijacker („Clipper“)-Malware¶

Wenn Ihr Notepad Copy-Paste-Test ergeben hat, dass durch das Kopieren einer Krypto-Adresse oder IBAN und deren Einfügen der Text sofort vertauscht wird (oder wenn Sie vermuten, dass auf Ihrem PC, Mac oder Android-Telefon ein Clipper läuft), befolgen Sie diese forensische Entfernungssequenz, bevor Sie das Gerät für finanzielle Aktivitäten verwenden:

1. Überprüfen Sie zuerst die Browsererweiterungen (die Quelle Nr. 1 für plattformübergreifende Clippers)¶

Moderne Angreifer verstecken JavaScript, das die Zwischenablage austauscht, häufig in scheinbar harmlosen Browsererweiterungen (PDF converters, ad blockers, volume boosters, dark mode toggles, fake MetaMask/Phantom/Ledger helper extensions, oder ChatGPT sidebar tools) über den Browser navigator.clipboard.writeText() oder document.execCommand('copy') APIs: 1. Geöffnet chrome://extensions (oder edge://extensions, brave://extensions, about:addons in Firefox). 2. Deaktivieren oder entfernen Sie alle Erweiterungen, denen Sie nicht zu 100 % vertrauen, oder testen Sie das Einfügen in einem Inkognito-/privaten Fenster (wo Erweiterungen standardmäßig deaktiviert sind). 3. Wenn das Austauschen der Zwischenablage stoppt, sobald Sie eine bestimmte Browsererweiterung deaktivieren, klicken Sie auf Missbrauch melden und Entfernen und befolgen Sie dann unsere vollständige Anleitung zur Browserbereinigung: bösartige Browsererweiterungen, Zwischenablage-Hijacker und Adware-Entfernung.

2. Erkennen und Töten von Clipper-Trojanern des nativen Betriebssystems unter Windows, macOS und Android¶

Wenn die Zwischenablage Ihre Wallet-Adresse immer noch vertauscht, selbst wenn Sie sie kopieren und einfügen Notepad.exe oder TextEdit Wenn Ihr Webbrowser vollständig geschlossen ist, wird der Clipper als nativer Hintergrundprozess des Betriebssystems ausgeführt:

Unter Windows 10/11:¶

1. Trennen Sie den PC sofort von WLAN und Ethernet (viele Clipper mögen Laplas Clipper Fragen Sie jedes Mal, wenn Sie eine Adresse kopieren, einen Online-C2-Server ab, damit dieser eine benutzerdefinierte Lookalike-Vanity-Adresse zurückgeben kann. Durch das Unterbrechen des Internetzugangs wird entweder der Austausch gestoppt oder die Malware wird auf eine fest codierte Adresse zurückgegriffen und gleichzeitig verhindert Infostealer-Malware vom Hochladen Ihrer Dateien).
2. Verwenden Sie Process Explorer oder PowerShell, um den betrügerischen Prozess abzufangen, der die Zwischenablagekette enthält: Öffnen Sie ein Administrator PowerShell-Fenster und listen Sie alle nicht von Microsoft ausgeführten Prozesse auf, die aus vom Benutzer beschreibbaren Verzeichnissen ausgeführt werden (%APPDATA%, %LOCALAPPDATA%, %TEMP%, C:\ProgramData):

   Get-CimInstance Win32_Process | Where-Object { $_.ExecutablePath -match "AppData|Temp|ProgramData|Public" } | Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-Table -AutoSize
   

3. Überprüfen Sie die Windows-Startpersistenz (Scheduled Tasks und Run Schlüssel): 90 Prozent der Windows-Clipper bleiben über eine getarnte geplante Aufgabe oder eine Registrierung bestehen Run Schlüssel, der a startet .vbs, .bat, .ps1, oder .exe im Inneren versteckt %APPDATA%:

   Get-ScheduledTask | Where-Object { $_.TaskPath -notmatch "\\Microsoft\\" -and $_.State -ne "Disabled" } | Select-Object TaskName, TaskPath, @{N="Actions";E={$_.Actions.Execute + " " + $_.Actions.Arguments}}
   

   Und überprüfen Sie die aktuellen Registrierungsschlüssel für den Benutzerstart:

   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run", "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce"
   

4. KRITISCHE WARNUNG: Clippers reisen unter Windows oder macOS fast nie alleine: In modernen Cybercrime-Kampagnen (Lumma Stealer, RedLine, Vidar, Stealc, Atomic macOS Stealer), ist das Clipper-Modul nur die letzte persistente Nutzlast, die zurückbleibt, NACHDEM ein Infostealer bereits jedes gespeicherte Passwort, jeden Sitzungscookie und jeden Software-Krypto-Wallet-Tresor gelöscht hat (MetaMask Local Extension Settings .ldb Dateien, Electrum, Exodus, Atomic) von Ihrem Computer.
5. Wenn Sie native Clipper-Malware auf Ihrem PC oder Mac finden, gehen Sie davon aus, dass jede Software-Wallet (MetaMask, Phantom, Rabby, Trust, Exodus) und jede angemeldete Browsersitzung auf diesem Computer wurde ebenfalls kompromittiert**.
6. Verwenden Sie einen separaten, sauberen Computer oder Telefon, um alle verbleibenden Kryptos aus Software-Hot-Wallets in eine brandneue Hardware-Wallet zu übertragen (Ledger, Trezor, Keystone, Coldcard) Seed-Phrase, widerrufen Sie alle aktiven Browsersitzungen und führen Sie eine Neuinstallation des Betriebssystems durch.

Auf macOS:¶

1. Öffnen Sie Terminal und überprüfen Sie LaunchAgents und Hintergrundprozesse, die nicht von Apple stammen:

   ls -la "$HOME/Library/LaunchAgents" /Library/LaunchAgents /Library/LaunchDaemons
   

2. Wenn Sie etwas Unbekanntes sehen .plist Datei, von der aus eine Binärdatei gestartet wird /tmp/, /Users/Shared/, oder $HOME/Library/Application Support/, entladen und löschen Sie es und scannen Sie es dann mit Malwarebytes für Mac oder Objective-See KnockKnock.

Auf Android-Smartphones:¶

• Android-Clipper geben sich oft als Fake-Sideloader aus .apk Apps (Fake Telegram, Fake WhatsApp, Fake Authenticator, oder gecrackte Spiele) hat die Berechtigungen Eingabehilfen erhalten (da Android 10+ das Lesen der Zwischenablage im Hintergrund einschränkt, es sei denn, eine App ist die Standardeingabemethode für die Tastatur). IME oder ein aktives Barrierefreiheits-Overlay enthält).
• Gehen Sie zu Einstellungen > Eingabehilfen > Installierte Apps und Einstellungen > System > Tastatur > Bildschirmtastatur und deinstallieren Sie sofort alle nicht erkannten Apps.

Phase 3: Permanenter Schutz gegen Address Poisoning und Clipper-Malware¶

Sobald Sie diese fünf Betriebsgewohnheiten übernommen haben, können Sie weder eine GPU-Vanity-Address-Poisoning-Farm im Wert von 100.000 US-Dollar noch ein heimlicher Clipboard-Trojaner jemals wieder dazu verleiten, Gelder an das falsche Ziel zu senden:

• 1. Die visuelle Verifizierungsregel „Mitte-6 + Erste-4 + Letzte-4“:
• Überprüfen Sie niemals nur die ersten 4 und letzten 4 Zeichen einer Wallet-Adresse oder IBAN.
• Weil das Erstellen einer Vanity-Adresse mit 8 äußeren Zeichen (4 prefix + 4 suffix, ungefähr 4,29 Milliarden Kombinationen) benötigt ein moderner GPU-Cluster weniger als 2 Sekunden, Angreifer können die Enden Ihrer Adresse immer zuordnen.
• Für opportunistische Poisoning-Bots ist es jedoch rechnerisch nicht möglich, zusätzliche 6 Zeichen genau in der Mitte der Adresse zu finden (ungefähr 72 Billiarden Kombinationen). Überprüfen Sie immer die ersten 4 Zeichen, 6 Zeichen genau in der Mitte und die letzten 4 Zeichen anhand der Originalquelle, bevor Sie unterschreiben.
• 2. Kopieren Sie NIEMALS eine Adresse aus Ihrem „Letzte Transaktionen“-Verlauf oder der Registerkarte „Etherscan/Tronscan-Aktivität“:
• Behandeln Sie die Registerkarte „Transaktionsverlauf/Aktivität“ Ihrer Brieftasche als nicht vertrauenswürdiges öffentliches Graffiti, in das jeder auf der Welt Fälschungen einschleusen kann $0.00 Überweisungen und Lookalike-Adressen.
• Speichern Sie stattdessen jeden wiederkehrenden Empfänger, jedes Cold-Storage-Wallet und jede Exchange-Einzahlungsadresse im integrierten Adressbuch/Kontakt-Whitelist Ihres Wallets mit einem klaren, für Menschen lesbaren Etikett ("My Coinbase USDC Deposit", "Hardware Ledger Vault #1") und wählen Sie den Empfänger ausschließlich aus Ihrem gespeicherten Adressbuch aus.
• 3. Wechseln Sie zu sicherheitsorientierten Wallets, die vergiftete und erstmalige Adressen automatisch kennzeichnen (Rabby, MetaMask Blockaid, Phantom):
• Moderne Web3-Wallets wie Rabby Wallet und MetaMask (mit aktivierten Blockaid-Sicherheitswarnungen) warnen Sie in leuchtendem Rot, bevor Sie unterschreiben, wenn:
  • Es ist das erste Mal, dass Sie einen echten Wert an genau diese 42-stellige Adresse gesendet haben ("Warning: First-time transfer to this address"), wodurch eine Adressvergiftung sofort erkannt wird, weil Sie denken, dass Sie an eine altbekannte Adresse senden, obwohl Sie in Wirklichkeit noch nie zuvor Geld an die Doppeladresse des Angreifers gesendet haben.
  • Die Zieladresse hat einen hohen Ähnlichkeitswert (Levenshtein distance) an eine andere Adresse in Ihrem Verlauf ("Address Poisoning Detected").
• 4. Überprüfen Sie immer die vollständige Zieladresse auf dem physischen Bildschirm einer Hardware-Wallet (Ledger, Trezor, Keystone, Coldcard, GridPlus):
• Selbst wenn Clipper-Malware auf Ihrem infizierten PC die Adresse auf Ihrem Computermonitor vertauscht (oder selbst wenn fortgeschrittene Malware Ihr Browser-DOM einhakt, um die echte Adresse in Chrome anzuzeigen, während die Adresse des Angreifers an die USB-Signaturanforderung übergeben wird), kann Malware auf Ihrem PC nicht ändern, was auf dem isolierten EAL5+/EAL6+ Secure Element-Bildschirm Ihrer physischen Hardware-Wallet angezeigt wird.
• Vergleichen Sie die auf dem physischen OLED/Touchscreen Ihres Hardware-Wallets angezeigte Adresse mit einem zweiten unabhängigen Gerät (schauen Sie sich beispielsweise die Rechnung des Empfängers oder den QR-Code auf Ihrem Smartphone an, während Sie sich auf Ihrem PC-Hardware-Wallet anmelden).
• 5. Senden Sie eine kleine Testtransaktion nur, wenn Sie von der ursprünglich verifizierten Quelle erneut kopieren:
• Beachten Sie eine subtile Falle: Viele Opfer von Vanity Address Poisoning waren so vorsichtig, dass sie tatsächlich eine schickten $10 test transaction zuerst. Bei der zweiten Transaktion verloren sie immer noch 50.000 US-Dollar, weil 60 Sekunden nach der Bestätigung ihrer 10-Dollar-Testtransaktion in der Kette der automatisierte Bot des Angreifers ihren Transaktionsverlauf mit einer ähnlichen Adresse verfälschte, und als das Opfer die restlichen 50.000 US-Dollar senden wollte, kopierten sie „die Adresse, an die ich gerade 10 US-Dollar gesendet habe“ aus ihrer Liste der letzten Transaktionen.
• Wenn Sie eine Testtransaktion senden, speichern Sie die verifizierte Adresse bevor Sie den Test senden, in Ihrem Adressbuch und wählen Sie genau diesen Adressbucheintrag für die Hauptübertragung aus.

Regionale Notrufnummern und Behördenprotokolle¶

Unabhängig davon, ob Ihre Gelder durch On-Chain-Vanity-Address-Poisoning oder Clipboard-Malware umgeleitet wurden, ist eine umgehende Meldung an Strafverfolgungsbehörden und Blockchain-Intelligence-Desks erforderlich, um einen zentralisierten Austausch zu erzwingen (CEXs) und Stablecoin-Emittenten (Tether / Circle), um gestohlene Vermögenswerte einzufrieren und zurückzugeben:

• Vereinigte Staaten und Kanada:
• Notdienst: Wählen Sie 911 wenn eine physische Bedrohung besteht.
• FBI-Beschwerdezentrum für Internetkriminalität (IC3): Reichen Sie umgehend eine Kryptowährungs- oder Überweisungsbetrugsmeldung ein unter ic3.gov (Bei großen Überweisungs- oder Kryptodiebstählen innerhalb der letzten 72 Stunden markieren Sie die Beschwerde für das IC3 Recovery Asset Team RAT und geben Sie das genaue an TxID, Blockchain-Netzwerk, Token-Vertrag und Angreifer-Wallet-Adresse).
• UNS. Geheimdienst (USSS) Cyber Fraud Task Force & CISA: Kontaktieren Sie Ihre örtliche USSS-Außenstelle für größere Krypto-/Überweisungsumleitungen oder melden Sie Malware-Indikatoren an cisa.gov/report.
• Kanadisches Zentrum für Betrugsbekämpfung (CAFC): Melden Sie sich unter antifraudcentre-centreantifraude.ca oder 1-888-495-8501 und erstatten Sie eine Anzeige bei der Cyberkriminalitätseinheit Ihrer städtischen Polizei.
• Vereinigtes Königreich:
• Notdienst: Wählen Sie 999 (oder 101 für Nicht-Einsatzkräfte der Polizei).
• Maßnahmenbetrug: Anruf 0300 123 2040 sofort (24/7 für aktuelle Cyber-/Finanzkriminalität) oder melden unter actionfraud.police.uk. Bei Banküberweisungen, die durch Schadsoftware verändert wurden, wenden Sie sich umgehend an Ihre Bank unter UK Faster Payments Authorized Push Payment (APP) Regeln zur Erstattung von Betrugsfällen.
• Europäische Union:
• Notdienst: Wählen Sie 112 in allen EU-Mitgliedsstaaten.
• Europol National Cybercrime Units: Erstatten Sie umgehend Anzeige bei der Polizei über europol.europa.eu/report-a-crime/report-cybercrime-online (erforderlich für Tether, Circle und große Börsen gemäß EU MiCA / AML-Rahmenwerke zur Aufrechterhaltung des Einfrierens von Vermögenswerten über eine anfängliche Notfallsperre hinaus).
• Australien und Neuseeland:
• Notdienst: Wählen Sie 000 in Australien oder 111 in Neuseeland.
• ReportCyber (ACSC Australien): Bericht unter cyber.gov.au/report-and-recover/report oder anrufen 1300 CYBER1 (1300 292 371).
• CERT NZ (Neuseeland): Bericht unter cert.govt.nz.
• Indien und Asien-Pazifik:
• India National Cyber Crime Helpline: Wählen Sie 1930 sofort oder melden Sie sich unter cybercrime.gov.in.
• Polizei von Singapur (SPF) Anti-Scam-Zentrum und Polizei von Hongkong (ADCC): Anruf 1800-722-6688 (Singapur) oder 18222 (Anti-Deception Coordination Centre Hongkong).

Häufig gestellte Fragen¶

Wenn ein $0.00 USDT Die Überweisung wurde in meiner Brieftasche als „VON meiner Adresse gesendet“ an eine seltsame Adresse angezeigt. Bedeutet das, dass der Hacker meine Startphrase oder meinen privaten Schlüssel hat?¶

Nein, Ihre Seed-Phrase und Ihre privaten Schlüssel sind absolut sicher. Im Standard-Ethereum (ERC-20), Tron (TRC-20) und BNB-Kette (BEP-20) Token-Smart-Verträge, die transferFrom(Absender, Empfänger, Betrag) Funktion prüft, ob der Anrufer die Berechtigung zum Verschieben hat Menge Token in Ihrem Namen (`allowance >= amount`). Weil Ihr Standardgeld für einen Fremden beträgt 0, und der Fremde geht vorbei Betrag = 0, prüft der Smart Contract, ob 0 >= 0 (was ist Stimmt) und erlaubt jedem auf der Erde, eine Fälschung auszusenden 0,00 USDT Übertragungsereignis mit Ihrem Wallet als Absender, ohne jemals Ihren privaten Schlüssel oder Ihre Genehmigung zu haben. Der Angreifer hat dies nur getan, um seine Lookalike-Adresse in die Liste „Letzte Aktivitäten“ Ihrer Wallet einzufügen.

Wie hat der Hacker eine Wallet-Adresse erstellt, die mit genau denselben 5 Zeichen beginnt und mit genau denselben 5 Zeichen endet wie meine echte Adresse?¶

Kryptowährungs-Wallet-Adressen sind öffentliche Hashes, die mathematisch aus einem zufälligen privaten Schlüssel abgeleitet werden. Während es unmöglich ist, den privaten Schlüssel Ihrer spezifischen 42-stelligen Adresse zurückzuentwickeln, kann ein Angreifer eine Gruppe von Consumer-Grafikkarten verwenden (`GPUs` Laufwerkzeuge wie `profanity2` oder `vanity-eth`) erzeugen kann Milliarden zufälliger Schlüsselpaare pro Sekunde und verwerfen Sie einfach jede Adresse, die nicht zufällig mit Ihren ersten 4-5 Zeichen beginnt und mit Ihren letzten 4-5 Zeichen endet. Da für den Abgleich von 8 bis 10 Hexadezimalzeichen nur das Testen von 4,3 Milliarden bis 1 Billion Hashes erforderlich ist, kann ein Multi-GPU-Server eine überzeugende Präfix- und Suffix-Lookalike-Adresse generieren Sekunden, während die mittleren 30 Zeichen völlig zufällig bleiben.

Kann Clipper-Malware eine Ethereum- oder Bitcoin-Adresse ändern, NACHDEM ich sie bereits auf einer Webseite eingefügt habe?¶

Standard-Clipper-Malware des Betriebssystems ändert nur den Text, der sich zwischen dem Drücken und Drücken im Zwischenablagepuffer Ihres Systems befindet Strg+C und in dem Moment, in dem Sie drücken Strg+V. Wenn die Malware jedoch in Ihrem Webbrowser als ausgeführt wird bösartige Chrome/Edge/Firefox-Erweiterung, es hat vollen Lese-/Schreibzugriff auf das Document Object Model der Webseite (DOM) und kann die Zieladresse automatisch in einem webbasierten Eingabefeld austauschen, sobald Sie auf die Schaltfläche „Senden“ klicken. Deshalb sollten Sie immer die vollständige Adresse auf dem Konto überprüfen physischer Bildschirm einer Hardware-Wallet bevor Sie die physische Bestätigungstaste drücken.

Ist die Verwendung eines ENS-Namens (vitalik.eth) oder Solana .sol Domäne mich vor Adressvergiftung und Clipper-Malware schützen?¶

Verwendung von für Menschen lesbaren ENS-Namen (`alice.eth`) verhindert das Kopieren einer manipulierten Hexadezimaladresse aus Ihrem Transaktionsverlauf. Vorausgesetzt, Sie geben den ENS-Namen direkt von Hand ein, anstatt ihn zu kopieren und einzufügen. Seien Sie vorsichtig vor zwei ENS-Fallen: Erstens registrieren Angreifer homografische/typo-squatted ENS-Domänen mithilfe unsichtbarer Unicode-Zeichen mit der Breite Null oder kyrillischer Doppelbuchstaben (`aIice.eth`). Zweitens: Stellen Sie immer sicher, dass der zugrunde liegende Wert aufgelöst ist 0x... Die auf dem Bildschirm Ihrer Hardware-Wallet angezeigte Hexadezimaladresse stimmt mit der wahren Adresse des Empfängers überein.

Wenn ich versehentlich Geld an eine manipulierte Adresse gesendet habe, kann ich dann eine On-Chain-Nachricht an den Hacker senden und ihm ein „White-Hat-Kopfgeld“ von 10 % oder 20 % anbieten, um den Rest zurückzuzahlen?¶

Ja, das Senden einer in die Kette eingebetteten UTF-8-Nachricht Eingabedaten (Hex) Feld einer winzigen Transaktion an die Adresse des Angreifers (mit der klaren Angabe, dass Strafverfolgungsbehörden und Anträge auf Einfrieren von Tether/Circle/Exchange eingereicht werden, und einem sauberen Kopfgeld von 10 bis 20 %, wenn 80 bis 90 % der Gelder innerhalb von 24 Stunden zurückgegeben werden), hat in mehreren aufsehenerregenden Fällen von Adressvergiftung Erfolg gehabt, insbesondere wenn es sich um gestohlene Vermögenswerte handelt USDT oder USDC dass der Angreifer ohnehin weiß, dass Tether oder Circle im Begriff sind, ihre Wallet auf die schwarze Liste zu setzen und dauerhaft einzufrieren. Reichen Sie Ihren Antrag auf Sperrung von Tether/Circle und Ihren Polizeibericht immer unverzüglich parallel ein.

Verwandte Leitfäden¶

• Schädliche Browsererweiterungen, Zwischenablage-Hijacker und Adware-Entfernung
• Entleerung der Kryptowährungs-Wallet und Kompromittierung der Seed-Phrase
• Rückruf von Corporate Business Email Compromise (BEC) und Überweisungsbetrug
• Session-Cookie-Hijacking, Infostealer-Malware und Sperrung des Passkeys
• Schweineschlachtender Krypto-Investitionsbetrug und romantischer DeFi-Wiederherstellungsbetrug
• Notrufnummern nach Ländern

Quellen und offizielle Anleitung¶

• Federal Bureau of Investigation (FBI) Beschwerdestelle für Internetkriminalität (IC3) & U.S. Secret Service (USSS): Öffentliche Dienstwarnungen zu Kryptowährungs-Vanity-Address-Poisoning (Zero-Value Token Transfer) Angriffe und Clipboard-Hijacker-Malware.
• Agentur für Cybersicherheit und Infrastruktursicherheit (CISA) & MITRE ATT&CK Framework (Technique T1115: Clipboard Data): Erkennung und Eindämmung von Malware zur Überwachung und Ersetzung der Zwischenablage (ClipBanker, Laplas Clipper).
• SlowMist & Web3 Security Alliance (SEAL 911) Forschungsberichte: On-Chain-Analyse von ERC-20 / TRC-20 transferFrom Zero-Value Address Poisoning, Small-Amount Dust Poisoning und USDT/USDC Notfall-Blacklist-Verfahren.
• Nationales Zentrum für Cybersicherheit (NCSC) (Vereinigtes Königreich) und Agentur der Europäischen Union für Cybersicherheit (ENISA): Sicherung digitaler Asset-Transaktionen, Hardware-Wallet-Verifizierung und Betrugsabwehr bei der Zahlungsumleitung.