Ein Wallet-Drainer ist ein Stück Software, das wie ein kommerzielles Produkt verkauft und betrieben wird und einem einzigen Zweck dient: einen Moment der Verwirrung des Nutzers in eine sofortige, automatisierte Übertragung von Vermögenswerten zu verwandeln. Anders als ältere Formen des Kryptodiebstahls, die das direkte Stehlen eines Passworts oder einer Seed-Phrase erforderten, funktioniert ein Drainer typischerweise, indem er das Opfer dazu bringt, selbst etwas zu signieren – eine Transaktion oder eine Nachricht –, das routinemäßig aussieht, tatsächlich aber den Angreifer dazu autorisiert, die Kontrolle über Token oder ein gesamtes Wallet-Guthaben zu übernehmen.
Diese Kits werden nicht von Einzelpersonen entwickelt. Gruppen, die unter Namen wie Inferno Drainer, Angel Drainer, Pink Drainer und mehreren anderen operieren, betreiben das, was Sicherheitsforscher als Scam-as-a-Service-Operationen bezeichnen, und lizenzieren ihre Drainer-Software an Partner im Austausch für einen Anteil an allem, was gestohlen wird. Allein Inferno Drainer wird geschätzt für mehr als achtzig Millionen Dollar an Verlusten während seiner Aktivitätsphase verantwortlich zu sein und hat dabei über hundert verschiedene Krypto-Marken imitiert, um seine Phishing-Seiten überzeugend zu gestalten.
Die drei Phasen eines Drainer-Angriffs
Phase eins: der Köder
Jeder Drainer-Angriff beginnt damit, das Ziel auf eine bösartige Seite zu locken. Dies geschieht üblicherweise durch eine gefälschte Airdrop-Ankündigung, eine gefälschte Minting-Seite für eine beliebte NFT-Kollektion, eine geklonte Börsen- oder Wallet-Support-Seite oder eine bezahlte Anzeige, die so platziert wird, dass sie in den Suchergebnissen über der echten Website des Projekts erscheint. Die Seite ist häufig eine exakte optische Kopie einer legitimen Seite, oft erstellt mithilfe geleakten oder kopierten Quellcodes, sodass es visuell kaum Unterschiede zum Original gibt.
Phase zwei: die Verbindung
Auf der Seite wird das Opfer aufgefordert, sein Wallet zu verbinden, was für sich genommen nicht gefährlich ist und keine Gelder überträgt. Drainer-Kits verwenden Skripte, die bekannte Web3-Verbindungsbibliotheken nachahmen, wodurch die Interaktion legitim und technisch normal wirkt und die Wachsamkeit des Opfers für das, was folgt, senkt.
Phase drei: die Signatur
Dies ist der Moment, von dem der gesamte Angriff abhängt. Die Seite präsentiert dem Wallet eine zu signierende Transaktion oder Nachricht, dargestellt als Beanspruchung einer Belohnung, Überprüfung der Berechtigung oder Abschluss eines Routineschritts. In Wirklichkeit handelt es sich bei der Anfrage entweder um eine direkte Token-Übertragung, eine unbegrenzte Ausgabenfreigabe oder eine signierte Permit-Nachricht, die den Vertrag des Drainers autorisiert, später ohne weiteres Zutun des Opfers Gelder zu bewegen. Drainer-Software ist oft so gebaut, dass sie zunächst das verbundene Wallet scannt und dasjenige Asset priorisiert, das am wertvollsten und am leichtesten zu bewegen ist, wobei Guthaben unterhalb einer kleinen Schwelle häufig ignoriert werden, um ein Opfer nicht durch eine geringwertige Testtransaktion zu warnen.
Das Verbinden eines Wallets mit einer bösartigen Seite verursacht für sich genommen noch keinen Verlust. Der Verlust tritt in dem Moment ein, in dem eine Transaktion oder Signatur bestätigt wird, weshalb es wichtiger ist, genau zu lesen, wonach eine Wallet-Aufforderung tatsächlich fragt, als die Seite im Nachhinein gänzlich zu meiden.
Der technische Mechanismus hinter einem Drainer-Vertrag
Die meisten modernen Drainer-Kits sind um einen einzigen, wiederverwendbaren, vom Betreiber bereitgestellten Smart Contract herum aufgebaut, auf den viele verschiedene Phishing-Seiten schlicht verweisen, statt dass jeder Angreifer eigenen Code von Grund auf schreibt. Der Vertrag stellt typischerweise eine Funktion bereit, die in einem einzigen Aufruf die Token-Guthaben, bestehenden Freigaben und NFT-Bestände eines verbundenen Wallets prüft, sodass die Phishing-Seite sofort entscheiden kann, welche einzelne Signatur bei diesem spezifischen Opfer den größten Wert extrahiert. Da derselbe zugrunde liegende Vertrag über Tausende verschiedener Phishing-Domains hinweg wiederverwendet wird, können Sicherheitsforscher, die die Vertragsadresse eines Drainers identifizieren, mitunter jede Seite kennzeichnen, die sie aufruft, wobei Betreiber regelmäßig neue Vertragsadressen bereitstellen, um genau dieser Art von Sperrlisten zuvorzukommen.
Multicall und gebündelte Freigaben
Eine einzige bestätigte Signatur innerhalb eines Drainer-Ablaufs löst unter der Oberfläche häufig mehr als eine Aktion aus. Multicall-Funktionalität, ein legitimes, in der gesamten DeFi-Welt genutztes Feature, um mehrere Vorgänge in einer Transaktion zu bündeln und Netzwerkgebühren zu sparen, wird von Drainer-Verträgen zweckentfremdet, um eine Freigabe, eine Übertragung und manchmal einen Tausch in ein leichter liquidierbares Asset zu kombinieren – alles ausgeführt in dem Moment, in dem die einzelne Signatur des Opfers übermittelt wird. Dies ist mit ein Grund dafür, warum ein Opfer nach einer scheinbar einzigen Interaktion häufig feststellt, dass mehrere verschiedene Vermögenswerte aus einem Wallet fehlen.
Ein realistischer Ablauf eines Drainer-Angriffs
- Ein Konto, das sich als echtes NFT-Projekt oder bekannter Influencer ausgibt, postet auf einer Plattform wie X oder Discord über einen Überraschungs-Airdrop, komplett mit Countdown-Timer, und verlinkt auf eine Claim-Seite, die dem echten Erscheinungsbild des Projekts stark ähnelt.
- Das Opfer klickt darauf, landet auf der Claim-Seite und verbindet sein Wallet – eine Handlung, die für sich genommen nichts überträgt und sich routinemäßig anfühlt, da sie Dutzenden legitimer Airdrop-Beanspruchungen ähnelt, die dieselbe Person zuvor möglicherweise bereits durchgeführt hat.
- Die Seite scannt das verbundene Wallet im Hintergrund und identifiziert ein Stablecoin-Guthaben sowie ein wertvolles NFT als die beiden wertvollsten verfügbaren Vermögenswerte.
- Eine einzelne Wallet-Aufforderung erscheint, schlicht als „Belohnung beanspruchen" oder „Berechtigung überprüfen" bezeichnet, statt eine Token-Übertragung zu beschreiben, und das Opfer bestätigt sie unter dem Druck des sichtbaren Countdown-Timers.
- Innerhalb von Sekunden werden sowohl das Stablecoin-Guthaben als auch das NFT über die Multicall-Funktion des Drainers abgezogen, und die Gelder beginnen, durch eine Reihe von Zwischen-Wallets zu wandern, die die Rückverfolgung erschweren sollen, noch bevor das Opfer die Seite überhaupt aktualisiert hat, um sein Guthaben zu prüfen.
Wie sich ein Wallet-Drainer von klassischem Konto-Phishing unterscheidet
Klassisches Phishing, wie es seit Langem gegen E-Mail- und Bank-Zugangsdaten eingesetzt wird, erfordert in der Regel, dass das Opfer ein Passwort oder einen Einmalcode preisgibt, den der Angreifer anschließend manuell nutzt, um auf ein Konto zuzugreifen. Ein Wallet-Drainer überspringt diesen Zwischenschritt vollständig. Es gibt kein Passwort zu stehlen und keinen separaten Login, den der Angreifer später nutzen könnte, denn die vom Opfer selbst bestätigte Signatur ist bereits der Diebstahl. Das macht Drainer-Angriffe schneller und automatisierter als klassisches Phishing, bedeutet aber auch, dass sich die Abwehrmaßnahmen unterscheiden. Passworthygiene und die Überwachung von Zugangsdaten, die gegen Konto-Phishing nützlich sind, bewirken gegen einen Drainer nichts, da der Wallet-Eigentümer derjenige ist, der die Übertragung technisch autorisiert hat. Die einzig wirksame Verteidigung besteht darin, genau zu prüfen, was eine Signaturanfrage tatsächlich verlangt, bevor sie bestätigt wird.
Warum diese Angriffe nach der Bestätigung schwer rückgängig zu machen sind
Blockchain-Transaktionen werden abgewickelt, ohne dass eine zentrale Instanz sie nach der Bestätigung rückgängig machen könnte. Der Backend-Vertrag eines Drainers ist typischerweise so gebaut, dass er Gelder innerhalb von Sekunden an eine neue Zieladresse verschiebt und unmittelbar danach oft über mehrere weitere Zwischenschritte, gezielt um jeden Versuch zu erschweren, die Vermögenswerte einzufrieren oder wiederzubeschaffen, bevor sie eine Börse oder einen Mixing-Dienst erreichen. Weitere Details zu den Werkzeugen, mit denen diese Bewegung verschleiert wird, finden Sie in unserem Leitfaden wie Phishing Kryptowährung stiehlt.
Wie bösartige Freigaben in Drainer-Angriffe passen
Nicht jeder Drainer-Angriff leert ein Wallet sofort. Ein erheblicher Anteil erlangt stattdessen eine dauerhafte Ausgabenfreigabe, mitunter für einen unbegrenzten Betrag eines bestimmten Tokens, die der Angreifer zu einem beliebigen späteren Zeitpunkt ausüben kann – selbst Wochen oder Monate später –, ohne dass das Opfer irgendetwas weiter tun muss. Dies ist einer der Gründe, warum ein Wallet nach einer Phishing-Interaktion über einen langen Zeitraum unangetastet erscheinen kann, nur um später geleert zu werden, sobald der Angreifer sich zum Handeln entscheidet. Die Mechanik dieser spezifischen Taktik wird ausführlich in unserem Leitfaden zu bösartigen Token-Freigaben behandelt.
Die Gefährdung durch Drainer-Angriffe verringern
- Lesen Sie den vollständigen Inhalt jeder Wallet-Signaturanfrage, bevor Sie bestätigen, nicht nur die von der Seite bereitgestellte Überschrift, und seien Sie besonders vorsichtig bei Anfragen, die schlicht als Signatur bezeichnet sind statt als klar aufgeschlüsselte Transaktion.
- Behandeln Sie Dringlichkeit als Warnsignal. Countdown-Timer, begrenzte Beanspruchungsfenster und Formulierungen wie „letzte Stunden" sind gängige Drucktaktiken, um ein Opfer über eine sorgfältige Prüfung hinweg zu drängen.
- Nutzen Sie ein Wallet oder eine Browser-Erweiterung, die bekannte bösartige Verträge und Drainer-Infrastruktur kennzeichnet, und halten Sie sie aktuell, da Drainer-Betreiber regelmäßig Domains wechseln, um Sperrlisten zuvorzukommen.
- Führen Sie ein separates Wallet mit geringem Guthaben für die Interaktion mit neuen oder unbekannten Seiten, Minting-Seiten und Airdrop-Beanspruchungen, statt ein Hauptwallet mit nennenswerten Geldern zu verbinden.
- Überprüfen und widerrufen Sie regelmäßig bestehende Token-Freigaben mithilfe eines seriösen Freigaben-Prüftools, auch bei Seiten, die zum damaligen Zeitpunkt legitim erschienen.
Was sich ändert, sobald ein Drainer-Angriff bereits stattgefunden hat
Sobald ein Drainer-Vertrag ausgeführt wurde, ändert sich das Verhältnis des Wallets zu jedem noch vorhandenen Vermögenswert sofort, selbst zu Token, die der Drainer in der ursprünglichen Transaktion nicht berührt hat. Jede Freigabe, die der Vertrag des Drainers erlangt, aber noch nicht ausgeübt hat, bleibt aktiv und ausnutzbar, bis sie manuell widerrufen wird, sodass ein Wallet Tage oder Wochen nach dem ersten Vorfall ein zweites Mal aus derselben Signatur geleert werden kann, wenn dieser Schritt übersprungen wird. Es lohnt sich außerdem zu prüfen, ob dieselbe Signatur Zugriff über mehr als einen Token-Standard hinweg gewährt hat, da manche Drainer-Abläufe die Freigabe einer gesamten NFT-Kollektion über einen einzigen setApprovalForAll-Aufruf verlangen statt eines einzelnen Objekts, wodurch jedes NFT dieser Kollektion im Wallet weiterhin gefährdet bleibt, selbst wenn zunächst nur ein einzelnes Stück entwendet wurde.
Ist ein Drainer-Angriff bereits erfolgreich gewesen, besteht der realistische Weg nach vorn aus Dokumentation und Rückverfolgung statt aus Rückgängigmachung. Ermittler, einschließlich Firmen wie Coin Trace, können mitunter der Bewegung abgezogener Gelder über Wallets und Börsen hinweg folgen, um zu identifizieren, wo sie letztlich gelandet sind, was gelegentlich einen Wiederbeschaffungsversuch oder eine Meldung an die Strafverfolgungsbehörden unterstützt, wobei kein seriöser Ermittler versprechen kann, dass gestohlene Gelder in einem konkreten Fall zurückerstattet werden.
Häufig gestellte Fragen
Ja. Viele Drainer-Verträge nutzen Multicall-Funktionalität, um mehrere Übertragungen, Freigaben oder Tausche in einer Transaktion zu bündeln, sodass eine einzige bestätigte Signatur Stablecoins, andere Token und NFTs aus demselben Wallet in einer einzigen Ausführung bewegen kann.
Das bloße Verbinden überträgt keine Gelder. Der eigentliche Verlust tritt ein, wenn das Opfer eine Transaktion oder Signaturanfrage auf der Seite bestätigt, weshalb das sorgfältige Lesen jeder Wallet-Aufforderung wichtiger ist, als das Verbinden gänzlich zu vermeiden.
Viele Drainer-Kits sind so konfiguriert, dass sie die wertvollsten und am leichtesten liquidierbaren Vermögenswerte in einem Wallet priorisieren und Beträge unterhalb einer festgelegten Schwelle überspringen, da das Abziehen unbedeutender Guthaben riskiert, das Opfer zu alarmieren, ohne den Gewinn des Angreifers nennenswert zu steigern.
Dokumentierte Drainer-Operationen, darunter Inferno Drainer und Angel Drainer, funktionieren als Scam-as-a-Service-Unternehmen, die Software an Partner lizenzieren, die die eigentlichen Phishing-Kampagnen im Austausch für einen Prozentsatz der gestohlenen Gelder durchführen.
Der Widerruf bestehender Freigaben entfernt bereits erteilten dauerhaften Zugriff, was wichtig ist, verhindert jedoch nicht, dass eine neue Phishing-Interaktion eine frische Freigabe erzeugt. Fortlaufende Vorsicht bei neuen Seiten und Signaturanfragen bleibt weiterhin notwendig.
Quellen und weiterführende Informationen
- Inferno Drainer Scam: Crypto Wallet Draining Malware Explained · Group-IB
- How a 'crypto drainer' tricked people into handing over $80 million · The Record
- Inferno Drainer Spoofs Over 100 Crypto Brands to Steal $80m+ · Infosecurity Magazine