Leitfaden . Sicherheit
So erkennen Sie einen Krypto-Betrug und schützen sich davor
Die meisten Kryptowährungen gehen durch vergessene Passwörter verloren – aber ein Großteil wird auch einfach gestohlen. Hier sind die Betrugsmaschen, die wir am häufigsten beobachten, und die Verhaltensweisen, mit denen man sie verhindern kann.
Als Datenrettungsunternehmen begegnen wir Menschen am schlimmsten Tag ihres Krypto-Lebens, und ein schmerzhafter Teil dieser Fälle sind keine vergessenen Passwörter – es handelt sich um Diebstähle, die vermeidbar gewesen wären. Dieser Leitfaden gibt einen Überblick über die Betrugsmaschen, die tatsächlich funktionieren, und die einfachen Maßnahmen, mit denen man sie vereiteln kann.
Phishing und gefälschte Websites
The classic attack is a fake site that looks like the real one. Scammers register domains with swapped or accented characters — a Cyrillic letter that looks like a Latin one, or an extra character you won’t notice in a hurry — so binance.com reads as “binance.com” at a glance. Rules that defeat it: never click links in emails, DMs or ads to reach a crypto site; type the address yourself or use a saved bookmark; and check the full URL and the SSL certificate before entering anything, any that looks strange just leave the page immediately.
Gefälschte Datenwiederherstellungsdienste
Das geht mir persönlich nahe, denn Betrüger geben sich als Unternehmen wie das unsere aus. Die Anzeichen sind immer dieselben: Sie kontaktieren Sie zuerst (auf Telegram, X, Facebook, Quora, Instagram), sie garantieren die Wiederherstellung, sie verlangen eine Vorauszahlung oder sie bitten Sie, Ihre Seed-Phrase oder Ihren privaten Schlüssel auf einer Website oder in ein Formular einzugeben. Ein echter Wiederherstellungsdienst tut nichts davon. Wir schreiben niemals als Erste, verlangen niemals eine Vorauszahlung, fragen niemals nach Ihrer vollständigen Seed-Phrase und verkaufen niemals „Wiederherstellungssoftware“. Wenn jemand unter unserem Namen dies tut, handelt es sich um einen Betrüger – und dessen Ziel ist es, die Wallet zu leeren, die Sie eigentlich retten wollen.
SIM-Swaps und der Mythos der Zwei-Faktor-Authentifizierung
Die Zwei-Faktor-Authentifizierung per SMS vermittelt ein Gefühl von Sicherheit, ist es aber nicht. Angreifer klonen Ihre SIM-Karte oder erlangen durch Social Engineering Zugriff darauf – manchmal, indem sie Ihren Mobilfunkanbieter dazu bringen, eine Ersatzkarte auszustellen – und fangen dann die Codes ab, die an „Ihre“ Nummer gesendet werden. In Zeiten mit vielen Konferenzen wurde diese Methode genutzt, um bekannte Inhaber direkt ins Visier zu nehmen. Schützen Sie sich: Richten Sie bei Ihrem Mobilfunkanbieter eine Portierungs-PIN oder ein Passwort ein und verwenden Sie, wo immer ein Dienst dies zulässt, eine Authentifizierungs-App oder einen Hardware-Sicherheitsschlüssel anstelle von SMS.
Wiederverwendung von Passwörtern und die Weitergabe von Zugangsdaten
Wenn eine von Ihnen genutzte Website gehackt wird – und das passiert nun einmal –, probieren Angreifer als Erstes genau diese Zugangsdaten überall sonst aus. Wenn sich Ihre Exchange-Anmeldedaten mit denen Ihres E-Mail-Kontos oder eines Social-Media-Kontos decken, gefährdet ein einziger Datenleck alle diese Konten. Verwenden Sie Anmeldedaten und Passwörter niemals mehrfach für wichtige Dienste; vergeben Sie für Ihr Exchange-Konto, die damit verknüpfte E-Mail-Adresse und Ihre Social-Media-Konten jeweils ein einzigartiges, sicheres Passwort, idealerweise aus einem Passwort-Manager.
DNS- und Netzwerkangriffe
Selbst eine korrekt eingegebene Adresse ist nicht immer sicher. Bei einem bekannten Vorfall im Jahr 2018 nutzten Angreifer eine BGP/DNS-Entführung, um den Datenverkehr einer beliebten Wallet-Website auf ihre eigenen Server umzuleiten; Nutzer, die eine Zertifikatswarnung ignorierten und sich einloggten, sendeten ihre Schlüssel direkt an die Diebe und verloren dadurch eine beträchtliche Summe. Die Abwehrmaßnahme ist langweilig, aber entscheidend: Ignorieren Sie niemals eine SSL/TLS-Zertifikatswarnung auf einer Krypto-Website. Wenn Ihr Browser anzeigt, dass das Zertifikat ungültig ist oder von einer unbekannten Zertifizierungsstelle stammt, halten Sie inne – diese Warnung bedeutet, dass das System seine Aufgabe erfüllt.
Überprüfen Sie vor dem Absenden alles noch einmal.
Eine ganze Kategorie von Verlusten ist auf Malware zurückzuführen, die Adressen vertauscht, sowie auf einfache Unachtsamkeit. Überprüfen Sie stets die vollständige Empfängeradresse und nicht nur die ersten und letzten Zeichen, da Clipboard-Hijacker diese durch eine ähnlich aussehende Adresse ersetzen können. Senden Sie zunächst einen kleinen Testbetrag, wenn Sie eine neue Adresse oder ein neues Netzwerk verwenden. Vergewissern Sie sich außerdem vor dem Senden, dass Sie sich auf der richtigen Blockchain befinden, da dieselbe Adresse in vielen Netzwerken existieren kann.
Besondere Vorsicht auf Reisen und bei Veranstaltungen
Krypto-Konferenzen und öffentliche Orte sind Jagdreviere. Bekannte Inhaber wurden bei Veranstaltungen physisch beobachtet und Opfer von Social-Engineering-Angriffen, und öffentliches WLAN lässt sich kinderleicht ausspionieren. Behandeln Sie jedes Gerät, das Sie für Kryptowährungen nutzen, als potenzielles Ziel, wenn Sie unterwegs sind: Melden Sie sich nicht über öffentliche Netzwerke bei Börsen oder Wallets an, sprechen Sie nicht mit Fremden über Ihre Bestände, die ungewöhnlich interessiert wirken, und seien Sie vorsichtig bei „hilfsbereiten“ neuen Kontakten, die das Gespräch schnell auf Ihre Wallets lenken. Die freundlichste Person an der Bar ist manchmal die gefährlichste.
Ihre kurze Sicherheitscheckliste
Beschränken Sie sich auf Gewohnheiten, die Sie auch wirklich einhalten: Rufen Sie Krypto-Websites nur durch Eingabe der Adresse oder über ein Lesezeichen auf, niemals über einen Link; verwenden Sie eine Authentifizierungs-App oder einen Hardware-Schlüssel, niemals SMS, und richten Sie eine PIN für die Portierung bei Ihrem Mobilfunkanbieter ein; verwenden Sie ein einzigartiges, sicheres Passwort für Ihre Börse, deren E-Mail-Adresse und Ihre sozialen Netzwerke; ignorieren Sie niemals eine Zertifikatswarnung; überprüfen Sie die vollständige Empfangsadresse und senden Sie zunächst einen Testbetrag; und geben Sie unter keinen Umständen Ihre Seed-Phrase auf einer Website ein oder geben Sie sie an jemanden weiter, der Sie zuerst kontaktiert hat. Wenn Sie diese Maßnahmen befolgen, haben Sie der überwiegenden Mehrheit der Krypto-Diebstähle den Weg versperrt.
Häufig gestellte Fragen
Sind Hardware-Wallets vor solchen Betrugsmaschen sicher?
Das ist wesentlich sicherer, da die Schlüssel das Gerät nie verlassen – dennoch können Sie Opfer eines Phishing-Angriffs werden, bei dem Sie dazu verleitet werden, eine böswillige Transaktion zu genehmigen oder Ihren Seed preiszugeben. Kaufen Sie nur bei offiziellen Anbietern und geben Sie Ihren Seed niemals irgendwo ein.
Woran erkenne ich, ob ein Datenwiederherstellungsdienst ein Betrug ist?
Warnsignale: Sie nehmen zuerst Kontakt mit Ihnen auf, garantieren die Wiederherstellung, verlangen eine Vorauszahlung oder fragen nach Ihrer Seed-Phrase oder Ihrem privaten Schlüssel. Seriöse Dienste tun so etwas niemals – sie arbeiten auf Erfolgsbasis und benötigen niemals Ihre vollständige Seed-Phrase.
Ist die SMS-basierte Zwei-Faktor-Authentifizierung (2FA) für Kryptowährungen sicher?
Nicht wirklich. Durch SIM-Swaps können Angreifer SMS-Codes abfangen. Verwenden Sie eine Authentifizierungs-App oder einen Hardware-Sicherheitsschlüssel und richten Sie bei Ihrem Mobilfunkanbieter eine Portierungs-PIN ein.
Jemand auf Telegram behauptet, er sei von KeychainX – stimmt das?
Nein. Wir nehmen niemals von uns aus Kontakt zu Personen auf Telegram, X, Facebook oder einer anderen Plattform auf und fragen niemals nach Zugangsdaten oder Vorauszahlungen. Wer dies tut, gibt sich als uns aus.
Was ist die wichtigste Gewohnheit, um Betrug zu vermeiden?
Klicken Sie niemals auf Links, um eine Krypto-Website aufzurufen – geben Sie die Adresse stattdessen manuell ein oder verwenden Sie ein Lesezeichen – und geben Sie Ihre Seed-Phrase niemals auf einer Website oder in einem Formular ein.
Ich habe eine Zertifikatswarnung ignoriert und Geld verloren – können Sie mir helfen?
Wenn Ihre Schlüssel durch Phishing gestohlen wurden, sind die Gelder in der Regel verloren, sobald sie transferiert wurden. Wiederherstellungsdienste helfen bei verlorenem Zugriff auf Ihre eigene Wallet, nicht jedoch bei Diebstahl, bei dem Sie bereits die Kontrolle verloren haben.
Sind Sie sich nicht sicher, ob Sie betrogen werden?
Wenn Sie den Zugriff auf Ihre eigene Wallet verloren haben (und diese nicht einem Betrüger in die Hände gefallen ist), dann helfen wir Ihnen dabei, diese wiederherzustellen – auf Erfolgsbasis, ohne Vorabzahlung. Kontaktieren Sie uns, und wir geben Ihnen eine ehrliche Antwort.