Sweeper Bot

Begriff und legitime Verwendung

Der Begriff ist technisch neutral. „Sweeping“ beschreibt das automatisierte Abräumen von Adressen und ist im regulierten Betrieb Standard: Börsen und Zahlungsdienstleister führen Guthaben von Einzahlungsadressen laufend in Sammelwallets zusammen, um Verwaltungsaufwand und Angriffsfläche zu reduzieren. Auch Mining-Pools, Zahlungsabwickler und Custody-Anbieter setzen solche Mechanismen ein.

Der kriminelle Bezug ergibt sich ausschließlich aus der unbefugten Schlüsselkenntnis. Ein Sweeper unterscheidet sich technisch kaum von einer legitimen Konsolidierungsroutine — er läuft nur auf fremdem Schlüsselmaterial. Diese Unterscheidung ist auch für die Berichtssprache relevant: Die Feststellung „automatisiertes Abräumverhalten“ ist eine technische Beobachtung, die Zuschreibung „Sweeper eines Täters“ bereits eine Bewertung, die einer eigenständigen Begründung bedarf.

Abgrenzung zu verwandten Angriffsmustern

Zur letzten Zeile: Ob eine bereits erzeugte, aber noch nicht eingelöste Signatur entwertet werden kann, lässt sich nicht pauschal beantworten. Es hängt vom konkreten Verfahren, vom Nonce-Modell, von einer hinterlegten Ablaufzeit und davon ab, ob die Signatur bereits ausgeführt wurde. Bestehende On-Chain-Freigaben lassen sich dagegen regelmäßig zurücksetzen.

Der praktisch wichtigste Satz für die Erstberatung lautet: Eine Freigabe kann widerrufen werden, ein bekannt gewordener Schlüssel nicht. Ein Passwort lässt sich ändern; eine Seed Phrase, die einem Dritten bekannt ist, lässt sich nicht wieder geheim machen. Aus ihr sind sämtliche zugehörigen Schlüssel jederzeit und unabhängig von der verwendeten Wallet-Software erneut ableitbar.

Die Muster schließen einander nicht aus. Ein häufiger Verlauf beginnt mit einer schädlichen Freigabe auf einer Täuschungsseite und eskaliert, wenn der Geschädigte anschließend über einen vermeintlichen Support oder ein angebliches Rückholangebot zusätzlich seine Seed Phrase preisgibt. Aus einem begrenzten Drainer-Fall wird dann eine vollständige Kompromittierung mit anschließendem Sweeper-Betrieb. In der Untersuchung ist deshalb nie vorschnell von einem einzigen Mechanismus auszugehen.

Voraussetzung: Kompromittierung des Schlüsselmaterials

Typische Vektoren

Ein Sweeper wird nicht auf der Wallet installiert. Er läuft in der Infrastruktur des Täters; benötigt werden im Kern ein signierfähiger Schlüssel und Zugang zur Blockchain-Infrastruktur. Die forensisch relevante Frage lautet daher, wie der Schlüssel dorthin gelangt ist. In der Fallpraxis wiederkehrend sind:

• Phishing mit Seed-Abfrage. Nachbildungen bekannter Wallet-Oberflächen oder angeblicher Wiederherstellungs- und Sicherheitsprüfungen, die zur Eingabe der Recovery Phrase auffordern.
• Manipulierte Anwendungen. Gefälschte Wallet-Apps aus Stores oder Direkt-Downloads, präparierte Browser-Erweiterungen, kompromittierte Update-Kanäle.
• Infostealer-Malware. Schadsoftware, die Browserprofile, Zwischenablage, Passwortspeicher und Wallet-Dateien ausliest. Häufig über gecrackte Software, Spiele-Mods, Bewerbungs- oder Kollaborationsanfragen verbreitet.
• Unsichere Sicherung. Fotos oder Screenshots der Seed Phrase, Ablage in Cloud-Diensten, E-Mail-Postfächern oder Notiz-Apps, Klartextdateien auf dem Arbeitsgerät.
• Gefälschter Support und Social Engineering. Kontaktaufnahme über Messenger, Kommentarspalten oder gekaperte Konten; angebliche Mitarbeiter von Wallet-Anbietern, Börsen oder Behörden.
• Umfeld des Geschädigten. Zugriff durch Personen mit physischem Zugang zu Gerät oder Backup. Diese Hypothese wird oft übersehen und darf nicht ausgeschlossen werden, nur weil sie unangenehm ist.
• Schwache Erzeugung. Selbst gewählte „Brainwallets“, vorgefertigte Schlüssel aus dubiosen Generatoren, Schlüssel aus öffentlichen Repositories oder Beispielcode. Solche Adressen werden systematisch abgesucht und in der Regel innerhalb von Sekunden nach dem ersten Zugang geleert.

Warum eine Neuinstallation nicht hilft

Moderne Wallets leiten sämtliche Schlüssel deterministisch aus der Seed Phrase ab. Ein Täter, der die Phrase kennt, kann jede daraus ableitbare Adresse rekonstruieren — auch auf Ketten, die der Geschädigte selbst nie genutzt hat, und auch Konten, die erst später angelegt werden. Ein Wechsel der Wallet-Software, ein neues Gerätepasswort oder eine Neuinstallation ändern daran nichts.

Praktisch bedeutsam: Wurde eine zusätzliche Passphrase (BIP-39) verwendet und ist ausschließlich die Wortliste kompromittiert, kann ein davon abgeleiteter Kontenbaum unberührt sein. Das ist im Einzelfall zu prüfen und nicht zu unterstellen. Umgekehrt ist bei kompromittierter Phrase ohne Passphrase davon auszugehen, dass sämtliche abgeleiteten Konten auf allen Ketten betroffen sind.

Funktionsweise

Überwachung

Blockchains sind öffentlich; die Überwachung erfolgt nahezu in Echtzeit. Auf EVM-Ketten über WebSocket-Subscriptions auf neue Blöcke oder ausstehende Transaktionen, alternativ über Balance-Polling im Sekundentakt. Auf Solana über Konto- und Log-Subscriptions, die Zustandsänderungen unmittelbar nach Bestätigung durch den Leader liefern. Auf UTXO-Ketten über sämtliche aus dem Seed ableitbaren Adressen — nicht nur über die eine dem Geschädigten bekannte.

Der Bot erkennt einen Guthabenzugang auf Node- beziehungsweise Mempool-Ebene, unabhängig davon, wann die Wallet-Oberfläche des Geschädigten die Änderung anzeigt.

Auslöselogik

Nicht jeder Sweeper reagiert auf jeden Betrag. Viele Skripte arbeiten mit einer Schwelle, ab der der Transfer nach Abzug der Netzwerkgebühr wirtschaftlich sinnvoll ist. Eine kompromittierte Adresse kann deshalb über längere Zeiträume unauffällig wirken und erst bei einem größeren Zugang reagieren. Für die Auswertung folgt daraus: Das Ausbleiben von Abflüssen in einem bestimmten Zeitraum widerlegt die Sweeper-Hypothese nicht.

Ausführung und Nonce-Konkurrenz

Die Transaktion ist vorbereitet und wird unmittelbar nach Erkennung des Zugangs mit hoher Priority Fee übermittelt. Auf EVM-Ketten entsteht dabei eine Konstellation, die in Ratgebertexten meist fehlt und die für die Beratung Geschädigter zentral ist:

Täter und Berechtigter senden von derselben Adresse. Pro Adresse und Nonce gelangt nur eine Transaktion in die Chain. Zahlt der Geschädigte Gas ein, um verbliebene Token zu retten, konkurriert seine Transaktion mit der des Bots um denselben Nonce. Der Bot hat durch automatisierte Gebührenanpassung und unmittelbare Übermittlung regelmäßig einen erheblichen Zeit- und Gebührenvorteil; sobald eine der Transaktionen bestätigt ist, kann die andere mit derselben Nonce nicht mehr regulär ausgeführt werden. Hinzu kommt, dass eine Ersetzung im Mempool typischerweise eine spürbare Gebührenerhöhung voraussetzt. Manuelles Überbieten über die Wallet-Oberfläche ist deshalb kein realistischer Lösungsweg.

Einschränkend gilt: Die Aufnahme in einen Block hängt nicht allein von der Priority Fee ab. Builder berücksichtigen Bundles, private Orderflows und weitere ökonomische Faktoren. An der praktischen Ausgangslage für den Geschädigten ändert das jedoch wenig.

Gas-Kreislauf und Honeypot-Konstellation

Auf EVM-Ketten erfordert der Transfer von Token Gas in der nativen Währung. Ein Täter lässt werthaltige Token deshalb häufig bewusst stehen und wartet darauf, dass der Geschädigte die Gebühren vorfinanziert. Das Ergebnis ist der typische Kreislauf: Gas einzahlen, Gas wird abgezogen, erneut einzahlen, erneuter Verlust.

In einer zugespitzten Variante werden Wallets gezielt mit scheinbar wertvollen Token bestückt und die zugehörige Seed Phrase anschließend gestreut, damit Dritte in der Annahme, einen Zufallsfund zu heben, Gas einzahlen. Die Adresse ist dann von vornherein als Falle konstruiert.

Chain-Spezifika

EVM-Ketten. Klassischer Anwendungsfall mit Gas-Problematik und Nonce-Konkurrenz wie oben beschrieben. Betroffen sind Ethereum, BNB Smart Chain, Polygon, Arbitrum, Base und weitere.

EIP-7702-Delegation. Seit dem Pectra-Upgrade (Aktivierung auf dem Ethereum-Mainnet am 7. Mai 2025)⁴ können externe Konten Ausführungsrechte an einen Smart Contract delegieren.³ Bei bereits kompromittierten Schlüsseln nutzen Täter das, um Zugänge automatisiert und gebündelt abzuziehen. In der Auswertung von Wintermute Research vom 30. Mai 2025 verwies der weit überwiegende Teil der damals registrierten Delegationen auf Contracts mit identischem Bytecode; die meistkopierte Variante wurde als „CrimeEnjoyor“ dekompiliert und gekennzeichnet.⁵ Zu beachten ist die Einordnung des Anbieters selbst: Die Quote sagt nichts über eine Schwäche des Standards und nichts über die Sicherheit gängiger Wallets aus, sondern beschreibt eine damals kleine Grundgesamtheit, die von Sweeper-Delegationen dominiert wurde.

Solana. Das Gas-Problem stellt sich nicht in gleicher Form, weil der Fee Payer ein anderes Konto sein kann als der Eigentümer der zu transferierenden Werte. Eine Rettung erfordert daher keine SOL-Einzahlung auf die kompromittierte Adresse. Daneben sind zwei Solana-spezifische Mechanismen zu prüfen: der Wechsel der Owner-Autorität eines Token Accounts über SetAuthority⁶ — er löst selbst keinen Transfer und keine Saldoänderung aus und wirkt in Oberflächen entsprechend unauffällig — sowie vorab signierte Transaktionen mit Durable Nonce, die gültig bleiben, solange der verwendete Nonce nicht weitergeschaltet wurde.⁷

UTXO-Ketten. Eingehende UTXOs können unmittelbar ausgegeben werden; ein Gas-Vorbehalt existiert nicht. Täter und Berechtigter konkurrieren um die Ausgabe desselben UTXO, die Erfolgsaussichten hängen von Netzwerk, Mempool-Zustand und Transaktionsaufbau ab. Zukünftige Zahlungen sind auf eine neue, nicht kompromittierte Adresse umzustellen.

Weitere Kontenmodelle. Auf Ketten mit eigenständiger Rechteverwaltung genügt dem Täter unter Umständen ein einmaliger Umbau der Kontoberechtigungen, um dauerhafte Kontrolle zu erlangen — auf TRON über die Berechtigungsstruktur des Kontos, die per AccountPermissionUpdate neu gesetzt werden kann⁸, auf dem XRP Ledger über das Setzen eines Regular Key oder einer Signer List, gegebenenfalls verbunden mit der Deaktivierung des Master Key⁹¹⁰. Solche Vorgänge sehen in der Transaktionshistorie unspektakulär aus, sind aber in der Wirkung einem dauerhaften Sweeper gleichwertig und beim Sichten der Historie ausdrücklich mitzuprüfen.

Erkennungsmerkmale on-chain

Ein einzelner schneller Transfer belegt keine Automatisierung. Belastbar wird die Hypothese erst durch die Kombination mehrerer Indikatoren über viele Vorgänge hinweg:

• Latenz mit geringer Streuung. Zwischen Zugang und Abfluss liegen konstant wenige Sekunden beziehungsweise ein bis zwei Blöcke. Aussagekräftig ist weniger der Absolutwert als die Gleichförmigkeit. Empfehlenswert ist die tabellarische Erfassung von Zugang, Abfluss und Differenz für jeden Vorgang.
• Konstante Zieladresse. Sämtliche Abflüsse führen zu derselben Adresse oder zu einem kleinen, stabilen Adresskreis.
• Betragsheuristik. Der transferierte Betrag entspricht exakt dem Guthaben abzüglich der Netzwerkgebühr; die Adresse wird rechnerisch auf null gefahren. Manuelle Transfers zeigen häufiger gerundete Beträge — als alleiniges Indiz trägt das nicht, da auch Wallet-Funktionen zum Senden des gesamten Guthabens denselben Effekt erzeugen.
• Selektivität. Native Coins verschwinden, Token oder NFTs bleiben stehen — Hinweis auf den Gas-Kreislauf.
• Fehlender Tagesrhythmus. Menschliches Handeln folgt regelmäßig einem zirkadianen Muster; gleichmäßige Reaktion rund um die Uhr ist ein Hinweis auf Automatisierung. Zu berücksichtigen sind jedoch abweichende Zeitzonen, mehrere Beteiligte, geplante Transaktionen und API-gesteuerte Vorgänge, die dasselbe Bild erzeugen können.
• Gebührenverhalten. Auffällig hohe oder algorithmisch nachgezogene Priority Fees, teilweise über dem Durchschnitt des jeweiligen Blocks.
• Persistenz. Die Adresse reagiert auch Wochen oder Monate nach dem Erstvorfall unverändert auf Zugänge.
• Fehlende Interaktion. Zwischen den Abflüssen finden keine dApp-Interaktionen, Swaps oder sonstigen typischen Nutzerhandlungen statt.
• Delegationsmarker. Bei EIP-7702 ist am Konto ein Delegationsverweis hinterlegt; das Konto verhält sich trotz EOA-Charakter wie ein Contract.

Alternativhypothesen und Fehlerquellen

Zur Qualitätssicherung gehört, die naheliegende Deutung gegen konkurrierende Erklärungen zu prüfen. Erfahrungsgemäß relevant:

• Legitime Konsolidierung. Der Abfluss stammt von einem Verwahrer, der Einzahlungsadressen abräumt. Erkennbar an der Attribution der Zieladresse und an der Rolle der Ausgangsadresse als Einzahlungsadresse.
• Eigene Automatisierung des Mandanten. Handels-Bots, Auszahlungsroutinen, Rebalancing oder Steuer-Tools erzeugen ebenfalls regelmäßige Muster. Rückfrage beim Mandanten, bevor ein automatisierter Fremdzugriff festgestellt wird.
• Vergessene Berechtigung statt Schlüsselverlust. Ein Abfluss durch einen fremden Spender aufgrund einer alten, unbegrenzten Freigabe sieht dem Sweeper-Muster ähnlich, ist aber ein Drainer-Fall mit anderer Gegenmaßnahme.
• Unvollständige Datengrundlage. Ein scheinbar „unerklärlicher“ Zugang oder Abfluss beruht häufig auf einem gefilterten Export, nicht auf einer verdeckten Transaktion.
• Kursbedingte Scheinwidersprüche. Abweichungen zwischen Export- und Explorerwerten sind regelmäßig Bewertungs-, nicht Sachverhaltsfragen.

Rettungsversuche und ihre Grenzen

Verbliebene Werte lassen sich in Einzelfällen sichern, aber nur mit einem einmalig vorbereiteten Vorgang, nie durch wiederholte Testeinzahlungen.¹⁴

Auf unterstützten EVM-Netzen ist ein möglicher Ansatz die Bündelung von Finanzierung und Rettungstransfer in einem Paket, das über einen privaten Relay an Block-Builder übermittelt wird und den öffentlichen Mempool umgeht.¹² Der Sweeper sieht die Gaseinzahlung dann nicht als schwebende Transaktion. Zu beachten ist: Private Übermittlung allein gewährleistet weder atomare Ausführung noch Erfolg — beides setzt ein konkret unterstütztes Bundle-Verfahren voraus, bei dem die enthaltenen Transaktionen als geordnete Einheit ausgeführt werden¹¹, und Relay-, Bundle- sowie Builder-Unterstützung unterscheiden sich je nach Kette und Infrastruktur. Das Verfahren ist technisch anspruchsvoll und ohne Erfolgsgarantie.

Auf Solana lassen sich Werte über einen separaten Fee Payer in einer Transaktion herausbewegen, ohne SOL auf die kompromittierte Adresse einzuzahlen.¹³ Bei UTXO-Ketten sind die Aussichten regelmäßig ungünstig. In Smart Contracts gebundene Positionen (Staking, Liquidity, Vesting) erfordern eine Einzelfallprüfung — ist ein Abzug direkt an eine frei wählbare Zieladresse möglich, ist das dem Umweg über die kompromittierte Adresse vorzuziehen.

Gegenüber Mandanten ist keine Erfolgsaussage zu treffen, die über den geprüften Einzelfall hinausgeht.

Hinweise für die Erstberatung

Geschädigte sollten kein weiteres Guthaben auf die betroffene Adresse einzahlen, die Adresse nicht weiter als Zahlungsziel verwenden, keine Rückholdienste über soziale Netzwerke kontaktieren, keine unbekannte „Rettungssoftware“ installieren und die Seed Phrase niemandem offenlegen — auch keinem vermeintlichen Ermittler, Support-Mitarbeiter oder Dienstleister.

Nach einem Kryptodiebstahl folgt regelmäßig eine zweite Betrugswelle, die genau auf die Bereitschaft zielt, ein weiteres Risiko einzugehen. Für die strukturierte Erstberatung bei begrenzter Schadenshöhe steht das Merkblatt Maßnahmenplan bei Krypto-Betrug mit Ampel-Systematik, Checklisten und Anlaufstellen zur Verfügung.

Prävention

Für Privatbestände: Seed Phrase vorzugsweise ausschließlich offline sichern und digitale Kopien vermeiden; Hardware Wallet für werthaltige Bestände; Trennung von langfristiger Verwahrung und Web3-Aktivität; Prüfung von Signaturinhalten auf dem Gerätedisplay; Verzicht auf Blind Signing; Approval-Hygiene mit regelmäßigem Widerruf nicht mehr benötigter Freigaben.

Für Unternehmensbestände zusätzlich: Multisig– oder MPC-Verwahrung mit dokumentiertem Vier-Augen-Prinzip, dedizierte Signiergeräte, unabhängige Prüfung des Transaktionsinhalts außerhalb der Signieroberfläche, Zeitschlösser für kritische Verwaltungsvorgänge sowie eine ausdrückliche Regelung zum Umgang mit vorab signierten Transaktionen.

Rechtliche Einordnung

Je nach Sachverhalt kommen insbesondere das Ausspähen von Daten (§ 202a StGB), Computerbetrug (§ 263a StGB), Betrug (§ 263 StGB) und Datenveränderung (§ 303a StGB) in Betracht; die jeweiligen Tatbestandsvoraussetzungen sind im Einzelfall zu prüfen und nicht pauschal zu behaupten. Eine Strafanzeige sollte zeitnah erfolgen, für Unternehmen über die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter. Ein praktisch besonders aussichtsreicher Ansatzpunkt entsteht regelmäßig dann, wenn ein identifizierbarer Verwahrer oder ein regulierter Off-Ramp erreicht wurde; daneben können auch andere identifizierbare Dienstleister und Ermittlungsansätze relevant sein. Die Finanz Forensik GmbH erbringt keine Rechtsberatung.

Alle Nachweise zuletzt abgerufen am 16.08.2026. Für Aussagen mit Stichtagsbezug ist der Erhebungszeitpunkt im Text genannt; bei Quellen mit veränderlichem Inhalt (Dashboards, Dokumentationen) empfiehlt sich zusätzlich ein archivierter Stand.

Häufige Fragen

Kann der Sweeper entfernt werden?

Nein. Auf der Wallet gibt es nichts zu entfernen; das Skript läuft beim Täter. Ursache ist die Schlüsselkenntnis.

Ist die Wallet nach einer Neuinstallation wieder sicher?

Nein. Aus einer bekannten Seed Phrase lassen sich dieselben Schlüssel jederzeit erneut ableiten.

Warum sind Token noch da, aber jedes eingezahlte ETH verschwindet?

Der Transfer von Token kostet Gas. Der Täter wartet darauf, dass der Geschädigte die Gebühren vorfinanziert.

Genügt es, Approvals zu widerrufen?

Nur, wenn ausschließlich Berechtigungen betroffen sind. Bei kompromittiertem Schlüssel ist ein Widerruf wirkungslos.

Können die Mittel zurückgeholt werden?

Blockchain-Transaktionen sind nicht rückgängig zu machen. Realistische Ansatzpunkte entstehen über die Identifikation regulierter Off-Ramps und über die Strafverfolgungsbehörden.

Weiterführende Quellen

• Phantom Support: Hinweise zu Sweeper Bots: help.phantom.com
• MetaMask Help Center: Vorgehen bei Sweeper Bots: support.metamask.io
• EIP-7702: Set Code for EOAs — Spezifikation samt Sicherheitshinweisen zu Delegate-Contracts: eips.ethereum.org
• Ethereum Foundation: Pectra-Mainnet-Ankündigung, Aktivierung 07.05.2025: blog.ethereum.org
• Wintermute Research: Auswertung der EIP-7702-Delegationen vom 30.05.2025: dune.com
• Solana-Dokumentation: SetAuthority: solana.com
• Solana-Dokumentation: Durable Nonces: solana.com
• TRON Developer Documentation: Account Permission Management und Multi-Signature: developers.tron.network
• XRP Ledger Documentation: Assign a Regular Key Pair: xrpl.org
• XRP Ledger Documentation: Multi-Signing und SignerListSet: xrpl.org
• Flashbots: Bundle-Dokumentation zur geordneten, atomaren Ausführung (eth_sendBundle): docs.flashbots.net
• Flashbots Protect: private Übermittlung von Transaktionen: docs.flashbots.net
• Solana-Dokumentation: Fee Abstraction / separater Fee Payer: solana.com
• MyCrypto Blog: Rettungsszenarien bei Ethereum-basierten Sweeper-Skripten: blog.mycrypto.com

Fachlich verantwortet von David Lüdtke, Finanz Forensik GmbH. Stand: 2026-08-20. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.