Sweeper Bot erkennen: Wie kompromittierte Wallets automatisiert leergeräumt werden

Es ist eine der irritierendsten Konstellationen in der Krypto-Forensik: Die Wallet existiert noch, die Token werden weiterhin angezeigt, der Zugriff über Seed Phrase oder Wallet-App funktioniert, und dennoch verschwindet jede neue Einzahlung innerhalb von Sekunden. Betroffene vermuten in dieser Situation häufig einen Fehler der Wallet-Software oder einen laufenden „Hack“ des Netzwerks.

Tatsächlich liegt in solchen Fällen meist ein anderer Sachverhalt vor: Ein automatisiertes Skript, ein Sweeper Bot, überwacht die betroffene Adresse und transferiert eingehende Vermögenswerte unmittelbar an eine vom Täter kontrollierte Adresse. Der eigentliche Sicherheitsvorfall liegt dabei bereits in der Vergangenheit.

Dieser Beitrag ordnet das Phänomen technisch ein, grenzt es von verwandten Angriffsmustern ab und beschreibt, welche Spuren ein Sweeper auf der Blockchain hinterlässt und wie diese Spuren forensisch ausgewertet werden können. Er richtet sich an Rechtsanwälte, Unternehmen und Ermittler, ist aber auch für unmittelbar Betroffene ohne technischen Hintergrund lesbar. Wer nur wissen will, was jetzt zu tun und zu lassen ist, findet die Handlungshinweise weiter unten.

Sweeper Bot, Wallet Drainer und Approval-Exploit: die Abgrenzung

In der Berichterstattung werden die Begriffe häufig synonym verwendet. Für eine belastbare Untersuchung ist die Unterscheidung jedoch zentral, weil sie über die Ursache, über die Rettungsoptionen und über die Frage entscheidet, ob eine Wallet weiterhin genutzt werden kann.

Wie ein solcher Angriff im Einzelnen abläuft, von der Freigabe über Permit-Signaturen bis zu delegationsbasierten Varianten, ist im Beitrag zu Wallet Drainern ausführlich beschrieben.

Der entscheidende Unterschied: Eine Freigabe lässt sich widerrufen, eine kompromittierte Seed Phrase nicht. Sie ist kein Passwort, sondern das kryptografische Ausgangsmaterial, aus dem sämtliche Schlüssel des Wallets deterministisch abgeleitet werden. Wer sie kennt, kann alle zugehörigen Adressen jederzeit und unabhängig von der verwendeten Wallet-Software rekonstruieren. Eine Neuinstallation, ein neues Gerätepasswort oder ein Wallet-Wechsel ändern daran nichts.

Kein eigenständiges Angriffsmuster, sondern eine übergreifende Risikobedingung ist Blind Signing: das Signieren von Transaktionen oder Nachrichten, deren Inhalt und Konsequenzen dem Nutzer nicht vollständig angezeigt oder verständlich gemacht werden. Blind Signing ist der Umstand, der Signature Phishing und schädliche Freigaben praktisch erst ermöglicht, und deshalb eher unter Prävention als unter Angriffstypologie einzuordnen. Wie es mit Simulationsumgehung zusammenwirkt, behandelt der Abschnitt zu Blind Signing und Simulationsumgehung im Drainer-Beitrag.

Ein Hinweis zur Begriffsneutralität: „Sweeping“ ist als Verfahren nicht per se illegitim. Börsen und Zahlungsdienstleister räumen Einzahlungsadressen routinemäßig automatisiert in Sammelwallets. Der kriminelle Bezug ergibt sich erst aus der unbefugten Schlüsselkenntnis.

Technische Funktionsweise eines Sweeper Bots

Voraussetzung: Der Schlüssel ist bereits abgeflossen

Ein Sweeper wird nicht „auf der Wallet installiert“. Er läuft in der Infrastruktur des Täters. Im Kern benötigt er einen signierfähigen Private Key und Zugang zur Blockchain-Infrastruktur; je nach Ausbaustufe kommen eigene RPC-Anbindung, Mempool-Monitoring und automatisiertes Gebührenmanagement hinzu.

Für die Ursachenanalyse ist deshalb nicht der Bot der Ausgangspunkt, sondern die Frage, wie und wann die Zugangsdaten abgeflossen sind. Typische Vektoren sind Phishing-Seiten mit Seed-Abfrage, manipulierte Wallet-Apps und Browser-Erweiterungen, Infostealer-Malware auf dem Endgerät, unverschlüsselte Cloud-Backups oder Fotos der Seed Phrase, gefälschter Support sowie Social Engineering über Messenger. Zur rechtlichen Zuordnung der auf diesem Weg entwendeten Werte siehe unsere Darstellung zur rechtlichen Zuordnung gestohlener Kryptowährungen bei Phishing.

Überwachung der Adresse in Echtzeit

Blockchains sind öffentlich, und moderne Node-Schnittstellen erlauben eine Überwachung nahezu in Echtzeit:

EVM-Ketten: WebSocket-Subscriptions (newHeads, newPendingTransactions, Log-Filter) oder schlichtes Polling der Balance im Sekundentakt. Der Bot kann einen Guthabenzugang bereits auf Node- beziehungsweise Mempool-Ebene erkennen, unabhängig davon, wann die Wallet-Oberfläche des Betroffenen die Änderung anzeigt.

Solana: accountSubscribe und logsSubscribe liefern Zustandsänderungen des Kontos unmittelbar nach Bestätigung durch den Leader.

UTXO-Ketten (Bitcoin und vergleichbare): Überwachung eingehender UTXOs auf allen aus dem Seed ableitbaren Adressen, nicht nur auf der einen bekannten Adresse.

Wichtig für die Auswertung: Ein Sweeper muss nicht ab dem ersten Cent aktiv werden. Viele Skripte reagieren erst ab einer Schwelle, ab der der Transfer nach Abzug der Netzwerkgebühr wirtschaftlich sinnvoll ist. Eine kompromittierte Wallet kann deshalb über längere Zeit unauffällig wirken.

Warum Betroffene das Rennen um die Transaktion fast immer verlieren

Der Bot hält die Transaktion vorbereitet: korrekter Nonce, hohe Priority Fee, unmittelbarer Versand nach Erkennung des Eingangs. Entscheidend ist ein Umstand, der in Ratgebertexten meist fehlt: Täter und Betroffener senden von derselben Adresse. Auf EVM-Ketten kann pro Adresse und Nonce jedoch nur eine Transaktion in die Chain gelangen.

Zahlt der Betroffene also ETH ein, um seine Token zu retten, konkurrieren beide Transaktionen um denselben Nonce. Bei dieser Konstellation hat der Sweeper durch automatisierte Gebührenanpassung und unmittelbare Übermittlung regelmäßig einen erheblichen Zeit- und Gebührenvorteil. Sobald eine der konkurrierenden Transaktionen bestätigt ist, kann die andere mit derselben Nonce nicht mehr regulär ausgeführt werden.

Zu beachten ist, dass die Aufnahme in einen Block nicht allein von der Priority Fee abhängt: Builder berücksichtigen Bundles, private Orderflows und weitere ökonomische Faktoren. Für den Betroffenen ändert das an der praktischen Ausgangslage wenig. Hinzu kommt, dass eine Ersetzung im Mempool typischerweise eine spürbare Gebührenerhöhung voraussetzt. Ein manuelles Überbieten über die Wallet-Oberfläche ist deshalb kein realistischer Lösungsweg.

Auf Solana stellt sich die Lage anders dar: Dort kann der Fee Payer ein anderes Konto sein als der Eigentümer der zu transferierenden Assets. Eine Rettung erfordert also gerade keine SOL-Einzahlung auf die kompromittierte Adresse, die Kosten trägt ein separates Konto in derselben atomaren Transaktion.

Der Gas-Kreislauf: die Honeypot-Konstellation

Aus dieser Mechanik entsteht das für Betroffene teuerste Muster: Gas einzahlen, Gas wird abgezogen, erneut einzahlen, erneuter Verlust.

Der Täter lässt die wertvollen ERC-20-Token oder NFTs bewusst stehen, weil deren Transfer Gas kostet, das die Wallet nicht besitzt. Er wartet schlicht darauf, dass der Betroffene die Transaktionsgebühren vorfinanziert. In besonders zynischen Varianten werden Wallets mit vermeintlich wertvollen Token gezielt bestückt und die Seed Phrase anschließend „geleakt“, um Dritte zur Gaseinzahlung zu verleiten. Dass solche Token oft nicht einmal echt sind, zeigen wir unter Fake-Token in der Blockchain-Forensik.

Erkennungsmuster: Woran ein Sweeper Bot on-chain erkennbar ist

Ein einzelner schneller Transfer beweist noch keine Automatisierung. Belastbar wird die Hypothese erst durch die Kombination mehrerer Indikatoren:

Latenz. Zwischen Eingang und Abfluss liegen konstant wenige Sekunden beziehungsweise ein bis zwei Blöcke. Aussagekräftig ist weniger der Absolutwert als die geringe Streuung über viele Vorgänge hinweg.

Konstanz der Zieladresse. Sämtliche Abflüsse führen zu derselben Adresse oder zu einem kleinen, stabilen Adresskreis.

Betragsheuristik. Der transferierte Betrag entspricht exakt dem Guthaben abzüglich der Netzwerkgebühr, die Adresse wird also rechnerisch auf null gefahren. Manuelle Transfers zeigen typischerweise gerundete Beträge.

Selektivität. Native Coins verschwinden, Token oder NFTs bleiben stehen, siehe Gas-Kreislauf. Bleiben umgekehrt Token und NFTs stehen, während native Coins verschwinden, ist auch der andere Fall zu prüfen: warum bei einem Drainer oft nur bestimmte Assets verschwinden.

Fehlender Tagesrhythmus. Menschliches Handeln folgt einem zirkadianen Muster. Reagiert eine Adresse rund um die Uhr gleichmäßig, auch nachts und an Feiertagen, spricht das deutlich für ein Skript.

Gebührenverhalten. Auffällig hohe oder algorithmisch nachgezogene Priority Fees, teilweise deutlich über dem Netzwerkdurchschnitt des jeweiligen Blocks.

Persistenz. Die Adresse reagiert auch Wochen oder Monate nach dem ursprünglichen Vorfall unverändert auf Einzahlungen.

Fehlende Interaktion. Zwischen den Abflüssen finden keine dApp-Interaktionen, Swaps oder sonstigen typischen Nutzerhandlungen statt.

Ein Hinweis zur Attributionsdisziplin: Nicht jede eingehende Kleinstbewegung an einer betroffenen Adresse gehört zum Angriffsmuster. Gezielt gestreute Kleinstbeträge können die Zuordnung sogar verfälschen, wie wir unter Dust Attack in der Blockchain-Forensik darstellen.

Forensische Vorgehensweise bei Sweeper-Fällen

Beweissicherung zuerst

Vor jeder Aktion an der Wallet: vollständiger Export der Transaktionshistorie, Sicherung der Transaktions-Hashes, Blockhöhen und Zeitstempel einheitlich in UTC, Screenshots mit Zeitbezug, Dokumentation von Wallet-Software und Version, installierten Browser-Erweiterungen sowie, soweit rekonstruierbar, des Zeitpunkts und Kontexts der mutmaßlichen Seed-Preisgabe. Parallel sollte das Endgerät nicht vorschnell bereinigt werden: Ein Infostealer-Fund kann die Ursachenkette schließen und ist für Anzeige und Versicherungsfragen relevant. Welche Nachweise für Strafanzeige und Rückforderung tragen, haben wir unter Kryptobetrug beweisen zusammengestellt.

Das bedeutet ausdrücklich nicht, das Gerät weiter zu nutzen. Ein potenziell kompromittiertes System sollte für sensible Vorgänge, insbesondere Wallet-, Banking- und E-Mail-Zugriffe, nicht mehr eingesetzt und vor einer Bereinigung oder Neuinstallation fachgerecht forensisch gesichert werden.

Hypothesenbildung statt Schlussfolgerung

Ausgangspunkt ist die Frage, welcher Mechanismus tatsächlich vorliegt. In Betracht kommen unter anderem: kompromittierte Seed Phrase, kompromittierter Einzelschlüssel, schädliche Token-Freigabe, Blind Signing, Wallet Drainer, manuelle Transfers durch einen Täter mit Gerätezugriff, kompromittiertes Endgerät sowie, nicht zu vernachlässigen, Handlungen aus dem persönlichen Umfeld des Betroffenen. Jede Hypothese wird gegen die on-chain beobachtbaren Muster geprüft, statt sie aus der Schadensbeschreibung abzuleiten. Die methodischen Grundlagen und Grenzen dieses Vorgehens beschreiben wir unter Krypto-Forensik in der Praxis.

Chronologie und Pfadrekonstruktion

Die eigentliche Ermittlungsarbeit beginnt nicht beim ersten Abfluss, sondern bei der Frage, wohin die Mittel anschließend weitergeleitet wurden. Ein typischer Pfad führt von der Opfer-Wallet über die Sweeper-Adresse und ein Sammelwallet zu Zwischenwallets, Bridges oder Mixern und schließlich an einen Off-Ramp.

Auswertbar sind dabei Absender- und Empfängeradressen, Transaktions-Hash, Betrag und Token, Zeitpunkt und Blockhöhe, Gasparameter, Smart-Contract-Aufrufe sowie das Folgeverhalten der Empfängeradresse. Über Clustering-Heuristiken, bei UTXO-Ketten insbesondere Common-Spend, bei kontenbasierten Ketten Verhaltens- und Zeitmuster sowie Einzahlungsadress-Zuordnungen, lässt sich häufig eine Adressgruppe statt einer Einzeladresse bilden.

Für die Rechtsverfolgung entscheidend ist die Identifikation regulierter Off-Ramps: Erreichen Mittel eine Börse mit KYC-Pflichten, entsteht ein realistischer Ansatzpunkt für Auskunfts- und Sicherungsersuchen der Strafverfolgungsbehörden. Bei Stablecoins kommt zusätzlich eine Sperre durch den Emittenten in Betracht, siehe USDC einfrieren. Kommen Mixing-Dienste ins Spiel, sind Aufklärungsgrenzen und Rechtsentwicklung gesondert zu bewerten, dazu Krypto-Mixer im Compliance- und Forensikkontext.

Wichtig ist eine saubere Zurechnungsdisziplin: Eine Adresse ist ein technisches Objekt. Die Verknüpfung zu einer natürlichen Person ist eine eigenständige, gesondert zu begründende Feststellung und im Bericht auch als solche zu kennzeichnen. Welche Möglichkeiten offene Quellen dabei eröffnen, zeigen wir unter OSINT bei Betrugsfällen.

Rechtliche Einordnung als Orientierung

In Deutschland kommen je nach Sachverhalt insbesondere das Ausspähen von Daten (§ 202a StGB), Computerbetrug (§ 263a StGB), Betrug (§ 263 StGB) sowie Datenveränderung (§ 303a StGB) in Betracht. Eine Strafanzeige sollte zeitnah erfolgen; die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminalämter sind für Unternehmen die geeignete Anlaufstelle. Zivil- und steuerrechtliche Fragen, etwa zur Verlustberücksichtigung, gehören in die Hand einer Rechtsanwältin beziehungsweise eines Steuerberaters; zur steuerlichen Seite siehe unsere Darstellung zu Kryptoverlusten bei Betrug und der BFH-Rechtsprechung. Zu den Verjährungsaspekten informiert das Whitepaper zu Fristen bei Krypto- und Kapitalanlagebetrug. Dies ist eine Orientierung, keine Rechtsberatung.

Können verbliebene Assets aus einer kompromittierten Wallet gerettet werden?

Manchmal ja, aber nur mit Strategie, nie durch wiederholte Testeinzahlungen.

EVM-Ketten: Der etablierte Ansatz ist die Bündelung von Finanzierung und Rettungstransfer in einem atomaren Paket, das über einen privaten Relay direkt an Block-Builder übermittelt wird und den öffentlichen Mempool umgeht. Der Sweeper sieht die Gaseinzahlung dadurch nicht als schwebende Transaktion, und beide Transaktionen landen im selben Block, es entsteht kein Zeitfenster. MyCrypto hat entsprechende Rettungsszenarien für Ethereum dokumentiert. Grenzen: Das Verfahren ist technisch anspruchsvoll, nicht auf allen Ketten verfügbar, scheitert bei fehlender Builder-Aufnahme und ist bei laufender Beobachtung durch den Täter nicht garantiert.

Solana: Über einen separaten Fee Payer lassen sich Assets in einer einzigen Transaktion herausbewegen, ohne SOL auf die kompromittierte Adresse einzuzahlen.

UTXO-Ketten: Hier existiert das Gas-Problem in dieser Form nicht, eingehende UTXOs können unmittelbar ausgegeben werden. Rettungsversuche sind bei aktiv überwachten Adressen jedoch regelmäßig besonders schwierig, weil Täter und rechtmäßiger Schlüsselinhaber um die Ausgabe desselben UTXO konkurrieren; die Erfolgsaussichten hängen von Netzwerk, Mempool-Zustand und Transaktionsaufbau ab. Zukünftige Zahlungen sollten in jedem Fall unverzüglich auf eine neue, nicht kompromittierte Adresse umgestellt werden.

In Smart Contracts gebundene Werte wie Staking-, LP- oder Vesting-Positionen erfordern eine Einzelfallprüfung: Ist ein Abzug an eine frei wählbare Zieladresse möglich, ist das die bessere Option als der Umweg über die kompromittierte Adresse.

In jedem Fall gilt: Die Rettung ist ein einmaliger, sorgfältig vorbereiteter Vorgang, kein Versuch-und-Irrtum-Prozess. Was von Versprechen zur nachträglichen Rückholung bereits abgeflossener Werte zu halten ist, ordnen wir unter gestohlene Kryptowährungen zurückholen ein.

Was Betroffene nach einem Sweeper-Vorfall vermeiden sollten

• Wiederholte Test- oder Nachzahlungen auf die betroffene Adresse
• Weiternutzung der Adresse als Zahlungsziel, auch nicht „nur kurz“
• Erneute Eingabe der Seed Phrase auf angeblichen Recovery-Seiten
• Installation unbekannter „Rettungssoftware“ oder „Anti-Sweeper-Tools“
• Kontaktaufnahme mit selbsternannten Recovery-Agenten über Social Media, Telegram oder Kommentarspalten

Der letzte Punkt verdient besondere Aufmerksamkeit: Nach einem Kryptodiebstahl folgt regelmäßig eine zweite Betrugswelle. Angebliche Rückholdienste, gefälschte Behördenprofile und manipulierte „Recovery-Dashboards“ zielen genau auf die Situation, in der Betroffene bereit sind, ein weiteres Risiko einzugehen. Welche Anbieter und Strukturen dahinterstehen, haben wir unter Recovery Scam nach Kryptobetrug analysiert; eine strukturierte Ersteinordnung eines konkreten Angebots ermöglicht unser Krypto Recovery Scam Check.

Kein seriöser Ermittler, Support-Mitarbeiter oder Dienstleister benötigt jemals eine Seed Phrase oder einen Private Key. Und noch etwas gehört dazu: Auch wir kontaktieren Geschädigte nicht unaufgefordert. Dass unser Name für solche Zwecke missbraucht wird, dokumentieren wir in unserer Warnung vor finanzforensik.com.

Ein Risiko wird in dieser Lage regelmäßig unterschätzt: Wer nach dem Vorfall Zahlungen weiterleitet oder Konten zur Verfügung stellt, kann selbst in ein Geldwäscheverfahren geraten. Diese Konstellation beschreiben wir unter Betrugsopfer als unfreiwillige Geldwäscher.

Prävention: Wie sich eine Schlüsselkompromittierung vermeiden lässt

• Seed Phrase vorzugsweise ausschließlich offline sichern; digitale Kopien, insbesondere Fotos, Screenshots, ungeschützte Cloud-Ablagen oder Klartextnotizen, konsequent vermeiden
• Hardware Wallet für werthaltige Bestände; Signaturinhalte immer auf dem Gerätedisplay prüfen
• Wallet-Segmentierung: getrennte Adressen für langfristige Verwahrung und Web3- oder DeFi-Aktivität
• Optional eine BIP-39-Passphrase als zusätzliche Absicherung, mit belastbarem Backup-Konzept
• Approval-Hygiene: Freigaben regelmäßig prüfen und widerrufen, unbegrenzte Allowances vermeiden
• Blind Signing vermeiden; URLs und Extension-Herkunft konsequent verifizieren
• Für Unternehmensbestände Multisig- oder MPC-Verwahrung mit dokumentiertem Vier-Augen-Prinzip

Die Trennung der Wallet-Zwecke ist dabei die wirksamste organisatorische Einzelmaßnahme: Eine Adresse, die regelmäßig mit neuen Protokollen interagiert, sollte niemals gleichzeitig die langfristige Verwahrstelle sein. Wie wir Unternehmen bei Prävention, Aufklärung und Dokumentation unterstützen, beschreiben wir unter Finanz Forensik für Unternehmen.

Was Sweeper-Fälle für Kanzleien, Unternehmen und Privatpersonen bedeuten

Für Rechtsanwälte ist die Feststellung, ob Schlüsselmaterial abgeflossen ist, mandatsentscheidend. Sie bestimmt, ob die Adresse als dauerhaft verloren zu behandeln ist, welche Schadenspositionen in Betracht kommen und ob ein Sicherungsersuchen überhaupt Aussicht auf Erfolg hat. Wie wir Kanzleien zuarbeiten, beschreiben wir unter Finanz Forensik für Rechtsanwälte; die Unterstützung laufender Verfahren stellen wir unter für Staatsanwälte dar.

Privatpersonen, die zunächst eine Ersteinschätzung ihres Falls benötigen, finden unter unserer Marke Krypto Investigation den passenden Einstieg. Einen Überblick über unsere Analyseleistungen geben unsere Leistungen.

Fazit: Der Sweeper ist die Folge, nicht die Ursache

Sweeper Bots sind kein exotisches Angriffswerkzeug, sondern die konsequente Automatisierung eines bereits eingetretenen Schadens. Das Problem beginnt nicht mit dem Skript, sondern mit dem Verlust der Kontrolle über die kryptografischen Zugangsdaten, und es endet nicht mit dem ersten Abfluss, weil die Verfügungsmacht des Täters dauerhaft fortbesteht.

Für Betroffene folgt daraus eine klare Reihenfolge: erst die Art der Kompromittierung klären, dann Beweise sichern, dann handeln, nicht umgekehrt.

Aus forensischer Perspektive ist die Ausgangslage besser, als sie sich anfühlt. Automatisierung erzeugt Regelmäßigkeit, und Regelmäßigkeit ist auswertbar. Konstante Latenzen, stabile Zieladressen, auf null gefahrene Salden und ein fehlender Tagesrhythmus bilden ein charakteristisches Profil, das sich über die öffentliche Transaktionshistorie belegen lässt. Genau daraus entstehen die Ansatzpunkte, auf die es letztlich ankommt: Sammelwallets, Zwischenstationen und regulierte Off-Ramps. Für die Einordnung eines konkreten Falls nehmen Sie Kontakt mit uns auf.