Ein Bybit-Nutzer verlor 1.200 $, nachdem Clipboard-Malware während der Überweisung stillschweigend seine Wallet-Adresse ausgetauscht hatte. So ist es passiert und wie es funktioniert.
Das Geld verließ seine MetaMask-Wallet sauber. Keine Fehler. Keine Warnungen. Einfach weg.
Ein Bybit-Nutzer überwies 1.200 $ an das, was er für seine eigene Einzahlungsadresse hielt. Zehn Minuten vergingen. Dann eine Stunde. Nie kam eine Bestätigung von Bybit. Laut dem Krypto-Sicherheitskonto BalaiBB auf X hatte der Nutzer seine Bybit-Wallet-Adresse kopiert, MetaMask geöffnet, sie eingefügt und auf Senden geklickt – so, wie es jeder macht.
Was er fand, als er die Transaktion überprüfte
Als die Einzahlung immer noch nicht eingegangen war, postete BalaiBB auf X, dass der Nutzer zurückging und die Adresse überprüfte, an die er tatsächlich gesendet hatte. Es war nicht seine. Das Gerät hatte eine Clipboard-Entführungs-Malware ausgeführt. In dem Moment, als die Adresse kopiert wurde, tauschte die Malware sie gegen eine vom Angreifer kontrollierte Wallet aus. Er fügte den Ersatz ein. Er sandte an einen Fremden.
Die Malware machte nie einen Ton.
Diese Art von Angriff läuft im Hintergrund eines kompromittierten Android-Geräts und wartet. Wenn er eine lange alphanumerische Zeichenfolge erkennt, die wie eine Krypto-Wallet-Adresse aussieht, ersetzt er sie sofort. Der Benutzer sieht keine Veränderung. Das Einfügen erscheint auf den ersten Blick identisch. Nur die letzten vier Zeichen verraten die Wahrheit, wenn jemand sie überprüft. Laut BalaiBB auf X besteht die einfache Lösung darin, nach dem Einfügen immer die ersten und letzten vier Zeichen einer Adresse zu vergleichen, bevor man eine Transaktion bestätigt.
Laut Cybersicherheitsforschern von CNC Intel können Clipboard-Entführer ein Gerät über gefälschte Browser-Erweiterungen, Trojaner, die in zwielichtigen Downloads versteckt sind, oder Phishing-Links infiltrieren. Ein bekannter Stamm, Qulab, zielte speziell auf Android-Geräte ab, indem er sich in gefälschten Tor-Browser-Apps tarnte, die über inoffizielle App-Stores verbreitet wurden. Die Malware stellt sich so ein, dass sie beim Start ausgeführt wird.
Fünf Möglichkeiten, wie Ihre Wallet geleert wird, ohne dass Sie etwas Offensichtliches anklicken
BalaiBB hörte nicht bei der Clipboard-Warnung auf. In einem Folge-Thread auf X legte das Konto vier weitere Angriffsarten dar, die Wallets genauso leise leeren.
Gefälschte Token-Genehmigungen kamen an zweiter Stelle. Ein zufälliger Token taucht in einer Wallet auf. Der Benutzer versucht, ihn auf einer DEX zu verkaufen. In dem Moment, in dem er die Transaktion genehmigt, leert der Vertrag alles. BalaiBBs Regel: Wenn du es nicht gekauft hast, fass es nicht an.
Phishing-Seiten, die Kopien legitimer DeFi-Plattformen mit nahezu identischen URLs sind, belegten den dritten Platz. Die URL uniswop.com anstelle von uniswap.org ist die Art von Unterschied, den die meisten Benutzer überfliegen. Eine Wallet-Verbindung plus eine genehmigte Transaktion, und das Geld ist weg. Wie BalaiBB auf X anmerkte, ist das Setzen von Lesezeichen für offizielle Seiten die einzig zuverlässige Verteidigung.
Gefälschter Kundenservice rundete die Sache ab. Jemand tweetet ein Problem mit MetaMask. Innerhalb weniger Minuten schickt ein „Support-Mitarbeiter“ eine DM und fragt nach einer Seed-Phrase, um das „Problem zu beheben“. BalaiBB auf X war dazu deutlich: Kein seriöses Unternehmen wird jemals nach einer Seed-Phrase fragen. Nicht ein einziges Mal.
Die fünfte Angriffsart, Discord Social Engineering, funktioniert über kompromittierte Mod-Konten in legitimen Servern. Ein gefälschter „Überraschungs-Mint“- oder Airdrop-Link geht von einem vertrauenswürdigen Namen aus. Leute klicken, weil er von jemandem kam, den sie kannten. Sie verbinden ihre Wallet. Das Geld verschwindet.
Gefälschte Google Play-Apps mit ähnlichem Clipboard-Austauschverhalten wurden bereits dokumentiert, die auf Android-Geräte in Brasilien abzielen, wo Angreifer nachgeahmte App-Store-Seiten erstellten, um Malware zu verbreiten, die speziell Wallet-Adressen während USDT-Transfers austauscht.
Der Teil, den niemand erwähnt: Es gibt keine Rückerstattung
Blockchain-Transaktionen sind endgültig. Es gibt kein Support-Ticket, kein Streitfenster, keine Bank, die man anrufen kann. CNC Intel bestätigte, dass die Wiederbeschaffung von durch Clipboard-Entführung gestohlenen Kryptowährungen nahezu unmöglich ist, sobald die Transaktion abgeschlossen ist. Das Unternehmen stellte fest, dass es in solchen Fällen mit Strafverfolgungsbehörden zusammengearbeitet hat, um Gelder zurückzuverfolgen, obwohl die Wiederbeschaffung selten bleibt.
Die gestohlene Adresse kann on-chain verfolgt werden. Das Geld kann praktisch nicht zurückgeholt werden.
Im April 2026 gab es Kryptoverluste in Höhe von 620 Millionen Dollar bei 20 Vorfällen – die schlimmste monatliche Gesamtsumme seit dem Bybit-Vorfall im Februar 2025. Die meisten dieser Verluste resultierten aus Fehlern auf Infrastrukturebene. Der 1.200-Dollar-Clipboard-Diebstahl liegt am anderen Ende der Skala. Andere Methode. Gleiches Ergebnis.
CNC Intel empfiehlt, nach dem Kopieren einer Wallet-Adresse den Zwischenablageinhalt mit zufälligem Text zu überschreiben, vollständige Antivirenscans mit Tools wie Malwarebytes oder Kaspersky durchzuführen und den Windows-Start-Tab über msconfig auf unbekannte Einträge zu überprüfen. Unter Android sind inoffizielle App-Stores der Ort, an dem die meisten Infektionen beginnen.
Die 1.200 $ des Nutzers kommen nicht zurück. Was er stattdessen bekam, war eine Lektion, die weniger kostete als das, was die meisten Menschen zahlen, um sie zu lernen.
Schreibe einen Kommentar