Airdrops sind zu einem normalen Bestandteil der Krypto-Kultur geworden, weil es sie tatsächlich gibt. Projekte belohnen frühe Nutzer oder Inhaber eines verwandten Tokens tatsächlich mit kostenlosen Ausschüttungen, manchmal in nennenswerter Höhe. Genau auf diese legitime Vorgeschichte stützen sich gefälschte Airdrop-Betrügereien. Da das zugrunde liegende Verhalten – ein Wallet zu verbinden, um kostenlos etwas zu beanspruchen – völlig gewöhnlich ist, hinterfragen Opfer eine betrügerische Version oft erst, wenn es zu spät ist.
Wie der Betrug aufgebaut ist
Ein gefälschter Airdrop beginnt typischerweise mit einer Ankündigung, die sich über soziale Medien, ein kompromittiertes Projektkonto, eine geklonte Website oder eine Direktnachricht verbreitet und behauptet, ein neuer oder bestehender Token verteile kostenlose Coins an berechtigte Wallets. Die verlinkte Seite ist meist eine optisch enge Kopie der echten Claim-Seite eines Projekts, manchmal aus denselben Vorlagenbibliotheken erstellt, die echte Projekte verwenden, was einen flüchtigen Blick als Prüfung nahezu nutzlos macht.
Die Seite bittet den Besucher, sein Wallet zu verbinden, um die Berechtigung zu prüfen – ein Schritt, der harmlos wirkt, da er genau einem echten Claim-Prozess entspricht. Anschließend wird eine Signatur zum Abschluss des Claims verlangt. Diese Signatur ist der eigentliche Angriff. Statt den Empfang kostenloser Token zu autorisieren, autorisiert sie einen vom Angreifer kontrollierten Smart Contract, Vermögenswerte aus dem verbundenen Wallet zu übertragen. In vielen Fällen deckt die Freigabe einen gesamten Token oder den vollständigen Bestand eines bestimmten Assets im Wallet ab, nicht nur den kleinen beanspruchten Betrag.
Warum der Diebstahl nicht immer sofort erfolgt
Ein Detail, das diesen Betrug besonders gefährlich macht, ist, dass die leerende Transaktion nicht sofort erfolgen muss. Ein Angreifer, der Tausende Freigaben sammelt, kann sich dafür entscheiden, sie erst Wochen oder Monate später gebündelt auszuführen, was bedeutet, dass ein Opfer sein Wallet mit einer bösartigen Airdrop-Seite verbinden, nichts Ungewöhnliches feststellen und erst Monate später bemerken kann, dass seine Gelder verschwunden sind, ohne dass eine kürzliche Aktivität dies erklären würde. Diese Verzögerung ist auch der Grund, warum das regelmäßige Überprüfen und Widerrufen alter Freigaben selbst dann wichtig ist, wenn im Moment nichts falsch zu sein scheint – ein Vorgang, der in unserem Leitfaden zum Widerrufen von Token-Freigaben erklärt wird.
Das Verbinden Ihres Wallets mit einer gefälschten Airdrop-Seite leert es nicht immer sofort. Bösartige Freigaben können Wochen oder Monate ungenutzt liegen bleiben, bevor ein Angreifer sie ausführt, weshalb alte Berechtigungen überprüft werden müssen, nicht nur die jüngste Aktivität.
Warum die Signatur in Ihrem Wallet harmlos aussehen kann
Ein Teil dessen, was diesen Angriff wirksam macht, ist eine Signaturkategorie, die als gaslose Freigabe bekannt ist und einem Smart Contract erlaubt, Ausgabenberechtigung über eine signierte Nachricht zu erhalten statt über eine On-Chain-Transaktion, für die der Wallet-Inhaber direkt Gas bezahlt. Da keine Gasgebühr anfällt und die Signaturaufforderung mit fast jedem beliebigen von der Seite gewählten Text beschriftet werden kann, erscheint eine bösartige Version dieses Signaturtyps im Bestätigungsfenster eines Wallets oft mit einer vagen, unauffälligen Beschriftung statt mit etwas, das den Worten „unbegrenzten Zugriff auf Ihre Token gewähren" ähnelt. Manche Wallet-Oberflächen sind besser darin geworden, die tatsächliche Wirkung dieser Signaturen in verständlicher Sprache zu decodieren und anzuzeigen, doch nicht alle tun dies konsequent, weshalb man sich nicht allein auf die Standardbeschreibung des Wallets verlassen sollte.
Einen gefälschten Airdrop beanspruchen, Schritt für Schritt
Ein typischer Fall beginnt mit einem Post auf X von einem Konto, das wie ein legitimes, mäßig bekanntes Token-Projekt gestaltet ist und einen „überraschenden Community-Airdrop" zur Belohnung langfristiger Inhaber ankündigt. Der Post enthält einen Link und eine Grafik, die dem echten Erscheinungsbild des Projekts eng genug entspricht, dass ein schnell scrollender Follower nichts Ungewöhnliches bemerkt. Der Klick führt auf eine Seite mit dem tatsächlichen Logo, dem Farbschema und sogar kopierten Textabschnitten aus der echten Dokumentation des Projekts.
- Die Seite zeigt eine Schaltfläche „Berechtigung prüfen", und ein Klick darauf löst eine standardmäßige Wallet-Verbindungsanfrage aus, die optisch identisch mit der jeder legitimen dezentralen Anwendung ist
- Nach der Verbindung zeigt die Seite ein erfundenes Berechtigungsergebnis, oft etwas wie „Herzlichen Glückwunsch, Sie sind für 4.500 Token berechtigt", das persönlich und spezifisch statt generisch wirken soll
- Eine Schaltfläche „Jetzt beanspruchen" löst dann eine zweite Wallet-Aufforderung aus, diesmal eine Signaturanfrage statt einer einfachen Verbindung, auf dem Bildschirm vage beschrieben mit Begriffen wie „Claim bestätigen" oder „Zum Fortfahren signieren"
- Die zugrunde liegenden Transaktionsdaten, die die meisten Nutzer nie prüfen, gewähren dem mit der Seite verknüpften Smart Contract tatsächlich die Freigabe, Token aus dem verbundenen Wallet zu übertragen – oft für einen unbegrenzten Betrag statt der auf dem Bildschirm beworbenen kleinen Zahl
Nach dem Signieren zeigt die Seite möglicherweise eine Erfolgsanimation und den Hinweis, dass die Token innerhalb von 24 bis 48 Stunden eintreffen werden, was der Operation Zeit verschafft, bevor das Opfer beginnt, Fragen zu stellen. Je nach Strategie des Angreifers kann das Leeren innerhalb von Minuten nach der Signatur erfolgen oder, gebündelt mit Tausenden anderen gesammelten Freigaben, ruhen, bis der Angreifer sich entscheidet, sie alle auf einmal in einer einzigen Batch-Transaktion auszuführen.
Wo diese Kampagnen verbreitet werden
Kompromittierte Social-Media-Konten von Projekten
Eine der wirksamsten Verbreitungsmethoden besteht darin, die Kontrolle über das offizielle X- oder Discord-Konto eines echten Projekts zu erlangen, üblicherweise durch einen Phishing-Angriff gegen ein Teammitglied, und den betrügerischen Claim-Link direkt von diesem Konto aus zu posten. Follower, die die Ankündigung von einer Quelle sehen, der sie bereits vertrauen und folgen, haben im Grunde keinen Grund zum Misstrauen, da das Konto selbst nicht gefälscht, sondern lediglich kompromittiert wurde.
Geklonte Discord- und Telegram-Communitys
Betrüger bauen zudem vollständige geklonte Discord-Server, die die Kanalstruktur, angehefteten Nachrichten und Bot-Einrichtung eines echten Projekts eng genug kopieren, um mit dem Original verwechselt zu werden, und laden Nutzer dann über Direktnachrichten ein, die behaupten, ein „offizieller Ankündigungskanal" zu sein. Da der Klon die visuelle Ausstattung einer echten Community nahezu exakt reproduziert, konzentrieren sich Nutzer bei einer schnellen Bewertung eher darauf, ob es „richtig aussieht", statt darauf, ob der Einladungslink mit dem eigenen veröffentlichten, verifizierten Link des Projekts übereinstimmt.
Platzierung in Suchmaschinen und App-Stores
Betrügerische Airdrop-Claim-Seiten sind auch über bezahlte Suchanzeigen aufgetaucht, die auf die Namen echter, mit Spannung erwarteter Token-Launches abzielen, sowie in einer kleineren Zahl von Fällen über gefälschte mobile Apps, die kurzzeitig in offiziellen App-Stores gelistet waren, bevor sie entfernt wurden – ein Beleg dafür, dass kein einzelner Verbreitungskanal automatisch als sicher angenommen werden kann.
Wie sich der Betrug mit Multi-Chain-Krypto weiterentwickelt hat
Da sich die Aktivität über immer mehr Blockchain-Netzwerke verteilt hat, sind Airdrop-Betrügereien diesem Trend gefolgt. Eine einzelne betrügerische Claim-Seite unterstützt inzwischen oft das gleichzeitige Verbinden von Wallets aus mehreren verschiedenen Chains, und manche Drainer-Kits sind gezielt darauf ausgelegt zu erkennen, auf welcher Chain ein verbundenes Wallet am aktivsten ist, und dann nur Freigaben für die Assets anzufordern, die auf diesem bestimmten Netzwerk am wahrscheinlichsten wertvoll sind. Diese chain-übergreifende Ausrichtung ist einer der Gründe, warum ein einziger Klick Bestände über mehr als ein Netzwerk gleichzeitig gefährden kann – eine Dynamik, die ausführlicher in unserem Leitfaden zu Cross-Chain-Brücken behandelt wird, da manche Drainer-Operationen gestohlene Gelder unmittelbar nach einem erfolgreichen Diebstahl über Brücken bewegen, gezielt um jede spätere Rückverfolgung zu erschweren.
Ausmaß in der Realität
Gefälschte Airdrops im Zusammenhang mit beliebten Projekten, einschließlich Schemata, die sich als Hamster Kombat und andere prominente Token-Launches ausgaben, haben zu einem breiteren Pool an Krypto-Betrugsverlusten beigetragen, den Branchenschätzungen weltweit für 2024 und 2025 auf deutlich über 9 Milliarden Dollar beziffern. Ein erheblicher Teil dieser Aktivität wurde durch fertige Drainer-Kits ermöglicht, etwa das Inferno-Drainer-Toolkit, das allein mit Verlusten von mehr als 80 Millionen Dollar in Verbindung gebracht wurde, indem es wenig versierten Betrügern eine fertige Möglichkeit bot, überzeugende betrügerische Claim-Seiten und ausführbare Drainer-Verträge zu erstellen, ohne den zugrunde liegenden Code selbst zu schreiben.
Häufige Warnsignale
- Keine Erwähnung des Airdrops auf der offiziellen Website oder den verifizierten Social-Media-Konten des echten Projekts
- Ein Claim-Link, der nur über eine Direktnachricht, einen Kommentar oder eine Suchanzeige geteilt wird statt über einen offiziellen Ankündigungskanal
- Ein Domainname, der der echten Domain des Projekts ähnelt, aber nicht identisch ist
- Druck, innerhalb eines kurzen Countdown-Fensters zu beanspruchen, bevor das Angebot abläuft
- Eine Aufforderung, eine unbegrenzte Ausgabenfreigabe für einen Token zu genehmigen, statt eines festen, bestimmten Betrags
- Schlechte Grammatik, uneinheitliches Erscheinungsbild oder eine Seite, die erst kürzlich aufgetaucht ist, obwohl sie vorgibt, ein etabliertes Projekt zu vertreten
Wie Sie echte Airdrops sicher beanspruchen
- Verifizieren Sie jede Airdrop-Ankündigung direkt auf der offiziellen Website und den verifizierten Social-Media-Konten des Projekts, bevor Sie irgendetwas anklicken
- Erwägen Sie, für das Beanspruchen von Airdrops ein separates Wallet mit einem kleinen Guthaben zu verwenden, statt Ihres primären Bestands-Wallets
- Lesen Sie vor dem Signieren genau, was eine Transaktion freigibt, mithilfe eines Wallet- oder Browser-Tools, das den Umfang der Berechtigung in verständlicher Sprache decodiert
- Genehmigen Sie niemals eine unbegrenzte Ausgabenfreigabe, wenn ein bestimmter, begrenzter Betrag für einen legitimen Claim ebenso gut funktionieren würde
- Seien Sie besonders vorsichtig bei jeder Seite, die zusätzlich nach einer Seed-Phrase oder einem privaten Schlüssel fragt, da ein echter Airdrop-Claim keines von beidem jemals erfordert
Wenn Sie glauben, Ihr Wallet bereits mit einer bösartigen Airdrop-Seite verbunden zu haben, widerrufen Sie alle ihr erteilten Freigaben so schnell wie möglich und verschieben Sie verbleibende Gelder in ein neues Wallet, falls Sie nicht sicher sein können, dass alles vollständig widerrufen wurde. Einen umfassenderen Blick darauf, wie Drainer-artige Angriffe funktionieren, sobald Zugriff gewährt wurde, finden Sie unter Wallet-Drainer-Angriffe.
Nach einem vermuteten Leerungsvorgang: welche Dokumentation wichtig ist
Wenn Token das Wallet bereits verlassen haben, widerstehen Sie dem Drang, in Panik sofort alles zu verschieben, ohne zunächst festzuhalten, was geschehen ist. Speichern Sie den Transaktions-Hash der leerenden Transaktion, die Vertragsadresse, mit der sie interagiert hat, und die genaue URL der Seite, die die ursprüngliche Signatur veranlasst hat, falls Sie sich noch daran erinnern oder sie finden können. Diese Informationen sind wichtig, weil sie es einem Ermittler oder einem Blockchain-Analyse-Tool ermöglichen nachzuverfolgen, wohin die gestohlenen Vermögenswerte anschließend geflossen sind – ob sie durch einen Mixer, eine Cross-Chain-Brücke liefen oder direkt in einer Einzahlungsadresse einer Börse landeten, die irgendwann einer Identitätsprüfung unterliegen könnte. Nichts davon garantiert eine Wiederbeschaffung, aber ein Diebstahl ohne jegliche Dokumentation ist weitaus schwerer zurückzuverfolgen als einer mit zumindest einer grundlegenden Aufzeichnung der beteiligten Transaktion und des Vertrags.
Häufig gestellte Fragen
Er bittet Sie stattdessen, eine Smart-Contract-Freigabe zu signieren. Diese Freigabe kann dem Angreifer die Berechtigung erteilen, Token aus Ihrem Wallet zu bewegen, ohne Ihre Seed-Phrase zu benötigen – manchmal sofort ausgeführt, manchmal für die spätere Nutzung aufbewahrt.
Angreifer sammeln häufig eine große Zahl von Freigaben und führen die leerenden Transaktionen erst später gebündelt aus, statt sofort. Diese Verzögerung ist beabsichtigt und erschwert es Opfern, den Diebstahl mit der verursachenden Seite in Verbindung zu bringen.
Das bloße Verbinden ist risikoärmer als das Signieren einer Freigabe, doch am sichersten ist es, dies nur auf verifizierten offiziellen Projektseiten zu tun, und selbst dann verringert die Nutzung eines separaten Wallets mit begrenzten Geldern Ihr Risiko, falls sich die Seite als kompromittiert oder betrügerisch herausstellt.
Nutzen Sie ein seriöses Tool zur Überprüfung von Freigaben, um alle Berechtigungen, die Sie nicht wiedererkennen, so schnell wie möglich zu überprüfen und zu widerrufen. Wenn Sie nicht sicher sein können, dass alles widerrufen wurde, ist das Verschieben verbleibender Gelder in ein neues Wallet die zuverlässigere Option.
Quellen und weiterführende Informationen
- 10 signs an airdrop is a scam, and how to stay safe · Cointelegraph via TradingView
- Fake crypto AML checkers push users to approve wallet-draining transactions · Cryptopolitan