{"id":4545,"date":"2026-08-17T09:49:51","date_gmt":"2026-08-17T07:49:51","guid":{"rendered":"https:\/\/finanz-forensik.de\/?p=4545"},"modified":"2026-08-17T10:10:38","modified_gmt":"2026-08-17T08:10:38","slug":"wallet-drainer-signatures-releases-forensics","status":"publish","type":"post","link":"https:\/\/finanz-forensik.de\/en\/wallet-drainer-signaturen-freigaben-forensik\/","title":{"rendered":"Wallet Drainer: How manipulated signatures and approvals empty crypto wallets"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Wallet Drainer geh\u00f6ren zu den wirtschaftlich bedeutsamsten Angriffsmustern im Web3-Umfeld und zu den am h\u00e4ufigsten missverstandenen. Anders als beim klassischen Diebstahl einer Seed Phrase ben\u00f6tigt der T\u00e4ter keinen Zugriff auf das Schl\u00fcsselmaterial. Er ben\u00f6tigt lediglich eine Handlung des Nutzers: eine Signatur.<\/p>

Aus Sicht der Blockchain ist ein Drainer-Angriff deshalb zun\u00e4chst unauff\u00e4llig. Es gibt keinen Einbruch, keine Sicherheitsl\u00fccke im Protokoll und keine kompromittierte Kryptografie. Es gibt eine formal korrekt autorisierte Transaktion. Der Nutzer hat tats\u00e4chlich signiert, nur regelm\u00e4\u00dfig nicht verstanden, welche Verf\u00fcgungsrechte er damit einger\u00e4umt hat.<\/p>

Dieser Beitrag beschreibt die Autorisierungsmechanik hinter Drainer-Angriffen, ordnet die aktuellen Vektoren ein, einschlie\u00dflich delegationsbasierter Angriffe nach EIP-7702 und der Solana-spezifischen Varianten, grenzt Drainer sauber von Sweeper Bots ab und zeigt, welche Spuren sich on-chain auswerten lassen und welche gerade nicht. Er richtet sich an Rechtsanw\u00e4lte, Unternehmen und Ermittler, ist aber auch f\u00fcr unmittelbar Betroffene ohne technischen Hintergrund lesbar. Wer nur wissen will, was jetzt zu tun ist, findet die Handlungsschritte weiter unten unter den Sofortma\u00dfnahmen.<\/p>

Was ein Wallet Drainer ist und was nicht<\/h2>

Ein Wallet Drainer ist kein einzelnes Programm, sondern eine Infrastruktur. Zu ihr geh\u00f6ren typischerweise eine \u00fcberzeugend gestaltete T\u00e4uschungsoberfl\u00e4che, eine Wallet-Anbindung \u00fcber die \u00fcblichen Provider-Schnittstellen, eine serverseitige Bewertungslogik, vorbereitete Signatur- oder Transaktionsanfragen, ein oder mehrere Smart Contracts, Ziel- und Sammelwallets sowie nachgelagerte Verschleierungswege.<\/p>

Die zentrale Eigenschaft: Bei klassischen Approval- und Permit-basierten Angriffen erlangt der T\u00e4ter keine universelle Verf\u00fcgungsmacht \u00fcber die Wallet, sondern eine auf die jeweilige Autorisierung begrenzte Zugriffsm\u00f6glichkeit. Genau daraus ergeben sich sowohl die Grenzen des Schadens als auch die M\u00f6glichkeiten der Gegenwehr, und beides unterscheidet den Drainer grundlegend von der vollst\u00e4ndigen Kompromittierung durch einen Sweeper Bot<\/a>. Delegationsbasierte Mechanismen wie EIP-7702 k\u00f6nnen diese Grenze allerdings erheblich erweitern; dazu der Abschnitt zu delegationsbasierten Angriffen.<\/p>

Ebenso wichtig ist, was ein Drainer nicht ist: Er nutzt keinen Fehler der Blockchain aus. Er nutzt aus, dass kryptografische Signaturen und Smart-Contract-Berechtigungen technisch bindend sind und dass die Darstellung dessen, was signiert wird, in der Wallet-Oberfl\u00e4che stattfindet, also in einer Schicht, die manipulierbar, unvollst\u00e4ndig oder schlicht unverst\u00e4ndlich sein kann. Die methodischen Grundlagen unserer Arbeit an solchen F\u00e4llen haben wir im Whitepaper zur Blockchain-Forensik<\/a> zusammengefasst.<\/p>

Der Angriffsablauf beim Wallet Drainer in sechs Phasen<\/h2>

Der Ablauf folgt in der Praxis einem stabilen Muster, das f\u00fcr die forensische Rekonstruktion den Rahmen vorgibt.<\/p>

K\u00f6der.<\/strong> Das Opfer gelangt \u00fcber gef\u00e4lschte Airdrops, NFT-Mints, Token-Claims, Staking- oder Bridge-Angebote, kompromittierte Social-Media-Konten, bezahlte Suchanzeigen oder angebliche Sicherheitspr\u00fcfungen auf eine T\u00e4uschungsseite. Zunehmend relevant sind Nachbildungen bekannter Protokolle unter optisch \u00e4hnlichen Domains.<\/p>

Verbindung.<\/strong> Der Nutzer verbindet seine Wallet. Dieser Schritt ist f\u00fcr sich genommen noch keine Autorisierung, er ist aber der Punkt, an dem die Gegenseite die Adresse erf\u00e4hrt.<\/p>

Bewertung.<\/strong> Die Drainer-Infrastruktur liest den Portfoliobestand aus und priorisiert. Welche Signaturanfrage dem Opfer angezeigt wird, h\u00e4ngt davon ab, welcher Verm\u00f6genswert den h\u00f6chsten Ertrag verspricht und \u00fcber welchen Mechanismus er am schnellsten abflie\u00dfen kann. Dieser Schritt ist der Grund, warum Drainer-Oberfl\u00e4chen bei unterschiedlichen Opfern unterschiedliche Anfragen erzeugen.<\/p>

Autorisierung.<\/strong> Der Nutzer signiert, sei es eine Freigabe, eine Nachricht, eine Delegation oder eine unmittelbar wirksame Transaktion.<\/p>

Ausf\u00fchrung.<\/strong> Die Berechtigung wird eingel\u00f6st, in vielen F\u00e4llen geb\u00fcndelt \u00fcber mehrere Assets in einer einzigen Transaktion.<\/p>

Weiterleitung.<\/strong> Die Beute wird an Sammelwallets weitergereicht, aufgeteilt, geswappt, \u00fcber Bridges bewegt und schlie\u00dflich an einem Off-Ramp ausgekehrt. Zu den dabei genutzten Verschleierungswegen z\u00e4hlen auch Mixing-Dienste, deren forensische Grenzen wir unter Krypto-Mixer im Compliance- und Forensikkontext<\/a> darstellen.<\/p>

F\u00fcr die Untersuchung folgt daraus eine wichtige Konsequenz: Der Abfluss ist das Ende der Kette, nicht ihr Anfang. Die forensisch entscheidenden Ereignisse liegen davor.<\/p>

Die Autorisierungsmechanik im Detail: Approvals, Permit und Delegation<\/h2>

Token Approvals als Einstiegspunkt<\/h3>

Bei Ethereum und EVM-kompatiblen Ketten erlaubt der ERC-20-Standard, einem sogenannten Spender, also einer Adresse oder einem Smart Contract, die \u00dcbertragung von Token im Namen des Inhabers zu gestatten. Die Funktion ist legitim und f\u00fcr dezentrale B\u00f6rsen, Bridges und Lending-Protokolle unverzichtbar.<\/p>

Missbr\u00e4uchlich wird sie, wenn die Freigabe an einen vom T\u00e4ter kontrollierten Contract erteilt wird. Dieser kann anschlie\u00dfend \u00fcber transferFrom auf die freigegebene Menge zugreifen, ohne dass eine weitere Handlung des Opfers erforderlich ist.<\/p>

Versch\u00e4rfend wirken zwei Umst\u00e4nde. Erstens fordern viele Anwendungen aus Geb\u00fchrengr\u00fcnden unbegrenzte oder extrem hohe Freigaben an, sodass die Berechtigung den konkreten Anlass weit \u00fcberschreitet. Zweitens bleibt eine erteilte Freigabe grunds\u00e4tzlich on-chain bestehen, bis sie ge\u00e4ndert, widerrufen oder je nach Mechanismus verbraucht wird. Das Trennen der Wallet-Verbindung zur Webseite beendet lediglich die Sitzung in der Anwendung; der On-Chain-Zustand bleibt davon unber\u00fchrt.<\/p>

NFT-Freigaben und setApprovalForAll<\/h3>

F\u00fcr NFTs gilt Vergleichbares, mit gr\u00f6\u00dferer Reichweite. Neben der Freigabe einzelner Token erlauben die Standards ERC-721 und ERC-1155 mit setApprovalForAll die Bestellung eines Operators f\u00fcr den gesamten Bestand eines Contracts. Wird dieser Operator vom T\u00e4ter kontrolliert, k\u00f6nnen s\u00e4mtliche NFTs dieser Collection ohne erneute Zustimmung \u00fcbertragen werden. Bei werthaltigen Sammlungen entsteht dadurch in einer einzigen Transaktion ein erheblicher Schaden.<\/p>

Permit und Permit2: Freigabe ohne sichtbare Transaktion<\/h3>

Neuere Verfahren verlagern die Freigabe von der Transaktion in die Signatur. Nach ERC-2612 (permit) und im weit verbreiteten Permit2-Modell erzeugt der Nutzer eine strukturierte Signatur nach EIP-712, die eine Freigabe oder im Fall der Signature-Transfer-Variante sogar unmittelbar einen Transfer autorisiert. Eingel\u00f6st wird sie sp\u00e4ter on-chain durch eine andere Partei.<\/p>

F\u00fcr legitime Anwendungen spart das eine Transaktion und Geb\u00fchren. F\u00fcr Phishing entsteht daraus ein doppelter Vorteil:<\/p>

Keine Geb\u00fchr, kein Alarm.<\/strong> F\u00fcr das Opfer sieht die Anfrage wie eine harmlose Best\u00e4tigung aus, weil keine Transaktionskosten anfallen und die Wallet oft nur strukturierte Daten anzeigt.<\/p>

Zeitliche Entkopplung.<\/strong> Zwischen Signatur und Verm\u00f6gensabfluss k\u00f6nnen Stunden oder Tage liegen. Wie lange die Signatur verwertbar bleibt, h\u00e4ngt insbesondere von der hinterlegten Ablaufzeit, vom zugeh\u00f6rigen Nonce und vom jeweiligen Autorisierungsmechanismus ab. Das erschwert die Zuordnung von Ursache und Wirkung erheblich, auch f\u00fcr den Betroffenen selbst, der den Vorfall zeitlich falsch verortet.<\/p>

Forensisch ist die Konsequenz gravierend: Die Signatur selbst hinterl\u00e4sst keine Spur auf der Blockchain. Sichtbar wird ausschlie\u00dflich ihre Einl\u00f6sung durch den Spender. Der Nachweis, dass und wann das Opfer signiert hat, muss deshalb aus anderen Quellen kommen, aus Browser- und Ger\u00e4teartefakten, aus der Wallet-Historie der Anwendung oder aus der Kommunikation. Welche Nachweise f\u00fcr Strafanzeige und R\u00fcckforderung tragen, haben wir unter Kryptobetrug beweisen<\/a> zusammengestellt.<\/p>

Direkt signierte Transaktionen und B\u00fcndelung<\/h3>

Nicht jeder Drainer arbeitet \u00fcber Berechtigungen. In vielen F\u00e4llen wird schlicht eine Transaktion zur Best\u00e4tigung vorgelegt, die einen Contract des T\u00e4ters aufruft. \u00dcber Aggregator- oder Multicall-Muster lassen sich dabei mehrere Vorg\u00e4nge, etwa Freigabe, Transfer und Abzug nativer Coins, in einem einzigen Best\u00e4tigungsschritt b\u00fcndeln. Aus Sicht des Nutzers ist es ein Klick; aus Sicht der Chain sind es mehrere Verm\u00f6gensverf\u00fcgungen.<\/p>

Delegationsbasierte Angriffe nach EIP-7702<\/h3>

Mit dem Pectra-Upgrade (Aktivierung auf dem Ethereum-Mainnet am 7. Mai 2025) k\u00f6nnen externe Konten (EOAs) \u00fcber EIP-7702 Ausf\u00fchrungsrechte an einen Smart Contract delegieren. Vorgesehen ist das f\u00fcr Geb\u00fchren\u00fcbernahme durch Dritte, Ausgabenlimits und geb\u00fcndelte Transaktionen.<\/p>

F\u00fcr Drainer entsteht daraus eine neue Qualit\u00e4t: Statt einzelner Token-Freigaben wird dem Opfer eine Delegation zur Signatur vorgelegt, h\u00e4ufig getarnt als Sicherheits- oder Komfort-Upgrade der Wallet. Nach der Delegation f\u00fchrt das Konto bei entsprechenden Aufrufen den Code des hinterlegten Delegate-Contracts im Kontext des eigenen Accounts aus. Welche Verf\u00fcgungen dadurch m\u00f6glich werden, bestimmt allein dieser Code, bis hin zum Transfer nativer Coins. Die EIP-Spezifikation weist ausdr\u00fccklich darauf hin, dass fehlerhafte oder b\u00f6sartige Delegate-Contracts nahezu vollst\u00e4ndige Kontrolle \u00fcber das Konto erm\u00f6glichen k\u00f6nnen.<\/p>

Zur Gr\u00f6\u00dfenordnung: Wintermute Research ver\u00f6ffentlichte am 30. Mai 2025 eine Auswertung, wonach mehr als 97 Prozent der bis dahin registrierten Delegationen auf Contracts mit identischem Bytecode verwiesen. Die meistkopierte Variante wurde dekompiliert, als Solidity ver\u00f6ffentlicht und unter der Bezeichnung \u201eCrimeEnjoyor“ gekennzeichnet; der laufende Stand ist \u00fcber das Dune-Dashboard des Teams einsehbar.<\/p>

Diese Zahl ist allerdings sorgf\u00e4ltig zu lesen, und Wintermute hat wenige Tage sp\u00e4ter ausdr\u00fccklich klargestellt, wie sie zu verstehen ist: Der Anteil sagt nichts \u00fcber eine Schw\u00e4che des Standards und auch nichts \u00fcber die Sicherheit g\u00e4ngiger Wallets aus. Er beschreibt eine damals noch geringe Gesamtzahl an Delegationen, die von automatisierten Sweeper-Delegationen bei bereits kompromittierten Schl\u00fcsseln dominiert wurde. Seri\u00f6se Wallet-Implementierungen sollten Delegationen nur \u00fcber kontrollierte und gepr\u00fcfte Mechanismen erm\u00f6glichen; die Spezifikation selbst warnt davor, Nutzern eine beliebige Signaturschnittstelle f\u00fcr Autorisierungen bereitzustellen, weil der delegierte Code weitreichenden Zugriff auf das Konto erh\u00e4lt.<\/p>

Die f\u00fcr Drainer relevante Variante ist die andere: Delegationen, die das Opfer selbst \u00fcber eine T\u00e4uschungsoberfl\u00e4che autorisiert. Solche F\u00e4lle sind seit Mai 2025 dokumentiert, und etablierte Phishing-Bauk\u00e4sten haben Delegations-Payloads inzwischen in ihre Transaktionsvorlagen aufgenommen.<\/p>

Zwei Konstellationen sind auseinanderzuhalten:<\/strong><\/p>

Delegation durch Phishing.<\/strong> Das Opfer signiert die Delegation selbst. Das ist ein Drainer-Fall.<\/p>

Delegation nach Schl\u00fcsselabfluss.<\/strong> Der T\u00e4ter besitzt bereits den Private Key und setzt die Delegation ein, um eingehende Betr\u00e4ge automatisiert und geb\u00fcndelt abzuziehen. Das ist ein Sweeper-Fall<\/a> mit neuem technischen Unterbau.<\/p>

Beide erzeugen on-chain \u00e4hnliche Spuren. Die Unterscheidung ergibt sich erst aus der Frage, wer die Delegation autorisiert hat.<\/p>

Solana: Owner-Reassignment und Durable Nonces<\/h3>

Auf Solana existiert kein Approval-Modell im EVM-Sinne, daf\u00fcr funktional vergleichbare und teilweise weitreichendere Mechanismen:<\/p>

Delegation.<\/strong> \u00dcber die approve-Instruktion des Token-Programms kann ein Delegate f\u00fcr ein Token-Konto bestimmt werden.<\/p>

Wechsel der Owner-Autorit\u00e4t.<\/strong> \u00dcber die Instruktion SetAuthority l\u00e4sst sich die Owner-Autorit\u00e4t eines Token Accounts auf eine andere Adresse \u00fcbertragen. Wird das wirksam, verliert der bisherige Inhaber die Verf\u00fcgungsmacht \u00fcber diesen Token Account; sein Schl\u00fcssel bleibt f\u00fcr die \u00fcbrigen Konten der Wallet unver\u00e4ndert g\u00fcltig. Eine allgemeine Kompromittierung folgt daraus also nicht, wohl aber ein dauerhafter Verlust des betroffenen Bestands. Zu beachten ist die Terminologie: Gemeint ist die im Token-Account-Zustand hinterlegte Autorit\u00e4t, nicht das Programm, dem der Account zugeordnet ist.<\/p>

Ein solcher Autorit\u00e4tswechsel l\u00f6st f\u00fcr sich genommen keinen Transfer und keine Saldo\u00e4nderung aus. Oberfl\u00e4chen, die Autorit\u00e4ts\u00e4nderungen nicht klar aufl\u00f6sen und hervorheben, stellen den Vorgang deshalb unauff\u00e4lliger dar als einen sichtbaren Verm\u00f6gensabfluss. Das Muster entspricht dem von TRON bekannten stillen Umbau von Kontoberechtigungen.<\/p>

Durable Nonces.<\/strong> Regul\u00e4re Solana-Transaktionen verfallen nach kurzer Zeit, weil der referenzierte Blockhash abl\u00e4uft. Eine \u00fcber ein Nonce-Konto gebundene Transaktion bleibt dagegen g\u00fcltig, solange der verwendete Durable Nonce nicht verbraucht beziehungsweise weitergeschaltet wurde, sie kann also erheblich sp\u00e4ter eingereicht werden. Vorgesehen ist das f\u00fcr Offline-Signaturen und mehrstufige Freigaben.<\/p>

Welche Wirkung der Mechanismus entfalten kann, zeigte der Vorfall bei Drift Protocol am 1. April 2026: Durch T\u00e4uschung erlangte, vorab signierte Multisig-Transaktionen wurden zur\u00fcckgehalten und dann innerhalb weniger Slots zur \u00dcbernahme administrativer Rechte eingesetzt. Drift schl\u00fcsselte die entwendeten Verm\u00f6genswerte im Update vom 16. April 2026 auf insgesamt rund 295,7 Mio. US-Dollar auf und bezifferte die offenen Nutzerverluste auf rund 295 Mio. US-Dollar; unabh\u00e4ngige Analyseh\u00e4user hatten unmittelbar nach dem Vorfall etwa 285 bis 286 Mio. US-Dollar genannt. F\u00fcr den Relaunch k\u00fcndigte Drift unter anderem an, Durable Nonces f\u00fcr s\u00e4mtliche Signer zu deaktivieren. Der Fall war kein klassischer Wallet Drainer gegen einen Endnutzer, sondern eine Governance- und Multisig-Kompromittierung, er veranschaulicht aber exakt die forensisch relevante zeitliche Entkopplung von Signatur und Ausf\u00fchrung.<\/p>

F\u00fcr Betroffene und Ermittler bedeutet das: Auf Solana ist die Frage \u201eWann wurde signiert?“ von der Frage \u201eWann wurde ausgef\u00fchrt?“ noch st\u00e4rker entkoppelt als auf EVM-Ketten.<\/p>

Blind Signing und Simulationsumgehung als Risikobedingung<\/h2>

Blind Signing ist kein Angriffstyp, sondern die Risikobedingung, die die meisten der beschriebenen Vektoren erst praktikabel macht: Der Nutzer best\u00e4tigt eine Transaktion oder Nachricht, deren Inhalt und Konsequenzen ihm nicht vollst\u00e4ndig angezeigt oder nicht verst\u00e4ndlich dargestellt werden, etwa weil nur Rohdaten erscheinen, weil die aufgerufene Contract-Funktion nicht aufgel\u00f6st wird oder weil Warnhinweise routinem\u00e4\u00dfig weggeklickt werden.<\/p>

Ein Hardware Wallet sch\u00fctzt davor nur begrenzt. Der Private Key verl\u00e4sst das Ger\u00e4t nicht, aber eine sch\u00e4dliche Autorisierung wird ebenso korrekt signiert wie eine legitime. Entscheidend ist nicht allein, wo der Schl\u00fcssel liegt, sondern was autorisiert wird.<\/p>

Auch Transaktionssimulationen sind kein vollst\u00e4ndiger Schutz. Zwischen Pr\u00fcfung und Ausf\u00fchrung liegt eine L\u00fccke, die gezielt ausgenutzt wird: Contracts k\u00f6nnen erkennen, dass sie in einer Simulation ausgef\u00fchrt werden, und sich dort unauff\u00e4llig verhalten; aktualisierbare Contracts oder \u00fcber Proxy-Muster nachtr\u00e4glich umgeschriebene Logik k\u00f6nnen nach der Signatur eine andere Wirkung entfalten als davor; und Zieladressen lassen sich \u00fcber deterministische Deployment-Verfahren vorausberechnen, sodass der b\u00f6sartige Code zum Zeitpunkt der Pr\u00fcfung noch gar nicht existiert.<\/p>

Warum bei einem Wallet Drainer oft nur bestimmte Assets verschwinden<\/h2>

Bei einem berechtigungsbasierten Angriff wird nicht zwangsl\u00e4ufig die gesamte Wallet geleert. Betroffen ist genau das, was die erteilte Berechtigung erfasst: eine bestimmte Token-Art, eine bestimmte NFT-Collection, ein bestimmter Contract.<\/p>

Auf EVM-Ketten ist der native Coin, etwa ETH oder BNB, von einem klassischen ERC-20- oder NFT-Approval nicht erfasst, weil seine \u00dcbertragung eine eigene, mit dem Schl\u00fcssel signierte Transaktion voraussetzt. F\u00fcr Solana gelten die oben beschriebenen eigenen Autorisierungsmechanismen. Genau dieses Muster ist ein starkes Indiz gegen eine Schl\u00fcsselkompromittierung: Bleiben native Coins liegen, w\u00e4hrend einzelne Token verschwinden, spricht das f\u00fcr einen Approval- oder Permit-Fall.<\/p>

Der Umkehrschluss tr\u00e4gt allerdings nicht. Auch bei einem Drainer k\u00f6nnen native Coins abflie\u00dfen, wenn das Opfer eine unmittelbar wirksame Transfer-Transaktion signiert hat oder wenn eine Delegation nach EIP-7702 vorliegt. Der Befund \u201eauch ETH ist weg“ beweist deshalb keine Seed-Kompromittierung, er verschiebt lediglich die Beweislast auf die Frage, welche Autorisierung dem Abfluss zugrunde lag. Ergibt die Pr\u00fcfung dagegen, dass Schl\u00fcsselmaterial abgeflossen ist, gelten die Erkennungsmuster einer Schl\u00fcsselkompromittierung.<\/p>

Wallet Drainer und Sweeper Bot: die Abgrenzung<\/h2>
Kriterium<\/th>Wallet Drainer<\/th>Sweeper Bot<\/th><\/tr><\/thead>
Voraussetzung beim T\u00e4ter<\/td>Vom Opfer erteilte Signatur, Freigabe oder Delegation<\/td>Seed Phrase oder Private Key<\/td><\/tr>
Reichweite<\/td>Auf das Autorisierte begrenzt<\/td>Vollst\u00e4ndige Verf\u00fcgungsmacht \u00fcber die Adresse<\/td><\/tr>
Zeitpunkt<\/td>Einmalig oder bis zum Ablauf der Berechtigung<\/td>Dauerhaft, reagiert automatisiert auf jeden Zugang<\/td><\/tr>
Native Coins<\/td>Nur bei direkt signiertem Transfer oder Delegation<\/td>Regelm\u00e4\u00dfig betroffen<\/td><\/tr>
Wirksame Gegenma\u00dfnahme<\/td>Berechtigungen widerrufen, Delegation zur\u00fccksetzen<\/td>Adresse aufgeben, Assets migrieren<\/td><\/tr><\/tbody><\/table><\/div>

Der praktisch wichtigste Satz dieser Gegen\u00fcberstellung lautet: Eine Freigabe kann widerrufen werden, ein bekannt gewordener Schl\u00fcssel nicht.<\/p>

Beide Muster schlie\u00dfen einander jedoch nicht aus. Ein typischer Verlauf beginnt mit einer sch\u00e4dlichen Freigabe und setzt sich fort, wenn das Opfer anschlie\u00dfend \u00fcber einen gef\u00e4lschten Support oder ein angebliches Recovery-Angebot zus\u00e4tzlich seine Seed Phrase preisgibt. Aus einem begrenzten Drainer-Fall wird dann eine vollst\u00e4ndige Kompromittierung. Welche Anbieter und Strukturen hinter dieser zweiten Welle stehen, haben wir unter Recovery Scam nach Kryptobetrug<\/a> analysiert. In der Untersuchung sollte deshalb nie vorschnell von einem einzigen Mechanismus ausgegangen werden.<\/p>

Drainer-as-a-Service: arbeitsteilige T\u00e4terstrukturen<\/h2>

Professioneller Kryptobetrug ist arbeitsteilig organisiert. Entwickler stellen die Drainer-Software bereit, Betreiber unterhalten die Infrastruktur, Affiliates beschaffen Opfer \u00fcber Phishing-Seiten, Werbeanzeigen oder \u00fcbernommene Social-Media-Konten, weitere Akteure \u00fcbernehmen Weiterleitung und Auskehrung. Die Beute wird nach einem vorab festgelegten Schl\u00fcssel aufgeteilt, h\u00e4ufig unmittelbar und automatisiert. Die Struktur dieser Netzwerke beschreiben wir ausf\u00fchrlich im Whitepaper zur Anatomie professioneller Krypto-Betr\u00fcger<\/a>.<\/p>

F\u00fcr Ermittlungen ergeben sich daraus zwei Konsequenzen. Erstens: Die Person, die das Opfer kontaktiert hat, ist nicht notwendig die Person, die die Infrastruktur betreibt. Zweitens, und forensisch wertvoll: Die automatisierte Erl\u00f6saufteilung erzeugt ein charakteristisches On-Chain-Muster. Wiederkehrende prozentuale Splits an eine konstante Adresse \u00fcber viele voneinander unabh\u00e4ngige Opfer hinweg sind ein starker Hinweis auf eine Dienstleistungsstruktur und ein guter Ansatzpunkt f\u00fcr die Bildung von Adressclustern. Wie sich die dahinterstehenden Personen \u00fcber offene Quellen weiter eingrenzen lassen, zeigen wir unter OSINT bei Betrugsf\u00e4llen<\/a>.<\/p>

On-Chain-Erkennung: Indikatoren eines Drainer-Angriffs<\/h2>

Ein einzelner Verm\u00f6gensabfluss belegt keinen Drainer. Belastbar wird die Einordnung erst durch die Rekonstruktion der Ereigniskette. Typische Indikatoren:<\/p>

Freigabe unmittelbar vor Abfluss.<\/strong> Kurz vor dem Transfer wurde einem unbekannten Contract eine Berechtigung erteilt, erkennbar am entsprechenden Ereignisprotokoll der Freigabe.<\/p>

Abfluss durch einen Dritten.<\/strong> Der Transfer erfolgt nicht als eigenh\u00e4ndige Transaktion des Opfers, sondern als Aufruf eines fremden Spenders, der die Berechtigung einl\u00f6st. Der Gasverbrauch geht dann zulasten des T\u00e4ters, nicht des Opfers.<\/p>

Einl\u00f6sung ohne passende Freigabe-Transaktion.<\/strong> Fehlt in der unmittelbar vorausgehenden Historie eine passende On-Chain-Freigabe, obwohl ein fremder Spender \u00fcbertr\u00e4gt, ist unter anderem eine off-chain erzeugte Permit- oder Signature-Autorisierung zu pr\u00fcfen. Ebenso in Betracht kommen \u00e4ltere Allowances, Operatorrechte, abweichende Tokenlogik oder eine bestehende Delegation.<\/p>

B\u00fcndelung.<\/strong> Mehrere Assets werden in einer oder wenigen aufeinanderfolgenden Transaktionen an dieselbe oder an verbundene Adressen \u00fcbertragen.<\/p>

Delegationsmarker.<\/strong> Bei EIP-7702 ist am Konto ein Delegationsverweis hinterlegt; das Konto verh\u00e4lt sich trotz EOA-Charakter wie ein Contract. Ein Abgleich der hinterlegten Zieladresse mit bekannten Sweeper-Bytecode-Familien ist ein schneller und aussagekr\u00e4ftiger Test.<\/p>

Selektivit\u00e4t.<\/strong> Native Coins bleiben unber\u00fchrt, w\u00e4hrend bestimmte Token verschwinden.<\/p>

Wiederkehrende Strukturen.<\/strong> Mehrere Gesch\u00e4digte interagieren mit denselben Contracts, Spender- oder Zieladressen; die Beute wird nach konstanten Quoten aufgeteilt.<\/p>

Sofortige Weiterleitung.<\/strong> Eingehende Mittel werden ohne Verweildauer an Sammelwallets weitergereicht.<\/p>

Auf Solana treten daneben spezifische Marker: eine Instruktion, die den Owner eines Token-Kontos \u00e4ndert, ohne dass eine Guthabenbewegung stattfindet, sowie die Verwendung eines Nonce-Kontos, das auf eine erheblich fr\u00fcher erzeugte Signatur hindeutet.<\/p>

Wie sich solche Ketten \u00fcber Layer-2-Netzwerke und Bridges hinweg auswerten lassen, zeigen unsere Analysen zu Polygon in der Krypto-Forensik<\/a> und zur forensischen Analyse eines Arbitrum-Swaps<\/a>.<\/p>

Forensische Vorgehensweise bei Drainer-F\u00e4llen<\/h2>

R\u00fcckw\u00e4rts arbeiten.<\/strong> Ausgangspunkt ist der Abfluss, Untersuchungsgegenstand ist die Kette davor: Contract-Interaktionen, Freigaben, Delegationen, ungew\u00f6hnliche Signaturzeitpunkte. Die Chronologie, nicht der Einzelbefund, tr\u00e4gt die Schlussfolgerung. Die methodischen Grundlagen und Grenzen dieser Arbeit beschreiben wir unter Krypto-Forensik in der Praxis<\/a>.<\/p>

Die Off-Chain-L\u00fccke schlie\u00dfen.<\/strong> Der Autorisierungsakt ist bei Permit- und Signature-Phishing on-chain unsichtbar. Browserverlauf, Cache, Wallet-Aktivit\u00e4tsprotokolle, aufgerufene Domains, Werbe- und Verweisketten sowie Kommunikationsverl\u00e4ufe sind deshalb keine Nebensache, sondern h\u00e4ufig die entscheidenden Beweismittel f\u00fcr Zeitpunkt und Kontext der Signatur. Sie sollten fr\u00fch und unver\u00e4ndert gesichert werden.<\/p>

Beweise sichern.<\/strong> Zu dokumentieren sind mindestens: betroffene Adresse, Transaktions-Hashes, Blockh\u00f6hen und Zeitstempel in UTC, Token- und Contract-Adressen, Freigabe- und Delegationsvorg\u00e4nge, Ziel- und Weiterleitungsadressen, verd\u00e4chtige Domains sowie Screenshots und Kommunikation. Ein potenziell kompromittiertes Endger\u00e4t sollte f\u00fcr sensible Vorg\u00e4nge nicht weiterverwendet und vor einer Bereinigung fachgerecht gesichert werden.<\/p>

Pfad rekonstruieren.<\/strong> Ein typischer Verlauf: T\u00e4uschungsseite, Wallet-Verbindung, Autorisierung, Abfluss, Drainer-Adresse, Sammelwallet, Swap oder Bridge, Off-Ramp. Erreichen die Mittel eine regulierte B\u00f6rse, entsteht ein realistischer Ansatzpunkt f\u00fcr Auskunfts- und Sicherungsersuchen der Strafverfolgungsbeh\u00f6rden. Bei Stablecoins kommt zus\u00e4tzlich eine Sperre durch den Emittenten in Betracht, wie wir unter USDC einfrieren<\/a> darstellen.<\/p>

Attribution diszipliniert f\u00fchren.<\/strong> Die erste Empf\u00e4ngeradresse ist nicht der T\u00e4ter. Sie kann ein automatisierter Drainer-Contract, eine Sammel- oder Zwischenadresse oder die Wallet eines weiteren Beteiligten sein. Zwischen technischer Beobachtung, analytischer Hypothese und personenbezogener Zuordnung ist strikt zu trennen, und diese Trennung geh\u00f6rt auch sichtbar in den Bericht.<\/p>

Rechtliche Einordnung.<\/strong> Je nach Sachverhalt kommen insbesondere Betrug (\u00a7 263 StGB), Computerbetrug (\u00a7 263a StGB), Aussp\u00e4hen von Daten (\u00a7 202a StGB) und Datenver\u00e4nderung (\u00a7 303a StGB) in Betracht; die jeweiligen Tatbestandsvoraussetzungen sind im Einzelfall zu pr\u00fcfen. Eine Strafanzeige sollte zeitnah erfolgen, f\u00fcr Unternehmen \u00fcber die Zentralen Ansprechstellen Cybercrime der Landeskriminal\u00e4mter. Zur zivilrechtlichen Zuordnung entwendeter Kryptowerte siehe unsere Darstellung zur rechtlichen Zuordnung gestohlener Kryptow\u00e4hrungen bei Phishing<\/a>, zu den Verj\u00e4hrungsaspekten das Whitepaper zu Fristen bei Krypto- und Kapitalanlagebetrug<\/a>. Dies ist eine Orientierung, keine Rechtsberatung.<\/p>

Sofortma\u00dfnahmen f\u00fcr Betroffene nach einem Wallet-Drainer-Angriff<\/h2>

Keine weiteren Signaturen.<\/strong> Weder auf der betreffenden Seite noch auf angeblichen Pr\u00fcf- oder Rettungsdiensten.<\/p>

Schadensbegrenzung nach Mechanismus planen.<\/strong> Je nach festgestelltem Angriffsmuster verbleibende Verm\u00f6genswerte auf neu erzeugtes Schl\u00fcsselmaterial \u00fcbertragen und\/oder sch\u00e4dliche Berechtigungen und Delegationen widerrufen. Die Reihenfolge ist nicht universell: Ein Transfer erfordert selbst wieder Interaktionen, w\u00e4hrend eine noch aktive Berechtigung weiterhin nutzbar ist. Sie sollte deshalb aus dem konkreten Befund abgeleitet werden.<\/p>

Berechtigungen pr\u00fcfen und widerrufen.<\/strong> Bestehende Token- und NFT-Freigaben zur\u00fccksetzen, bei EIP-7702 zus\u00e4tzlich die Delegation aufheben. Ein Widerruf kostet Netzwerkgeb\u00fchren und wirkt nur f\u00fcr die Zukunft.<\/p>

Beweise sichern<\/strong>, bevor Browserdaten oder Ger\u00e4te bereinigt werden.<\/p>

Ursache kl\u00e4ren.<\/strong> Die entscheidende Frage ist, ob ausschlie\u00dflich eine Berechtigung missbraucht wurde oder ob zus\u00e4tzlich Schl\u00fcsselmaterial abgeflossen ist. Davon h\u00e4ngt ab, ob ein Widerruf gen\u00fcgt.<\/p>

Keine Recovery-Angebote annehmen.<\/strong> Nach einem Vorfall folgt regelm\u00e4\u00dfig eine zweite Betrugswelle. Kein seri\u00f6ser Dienstleister ben\u00f6tigt jemals eine Seed Phrase oder einen Private Key. Eine strukturierte Ersteinordnung eines solchen Angebots erm\u00f6glicht unser Krypto Recovery Scam Check<\/a>.<\/p>

Der Widerruf einer Berechtigung sch\u00fctzt nur vor deren k\u00fcnftiger Nutzung. Bereits abgeflossene Verm\u00f6genswerte werden dadurch nicht zur\u00fcckgeholt. Und er hilft \u00fcberhaupt nicht, wenn zus\u00e4tzlich der Schl\u00fcssel bekannt, das Endger\u00e4t kompromittiert oder eine Delegation weiterhin aktiv ist.<\/p>

Ein Risiko wird in dieser Lage regelm\u00e4\u00dfig untersch\u00e4tzt: Wer nach dem Vorfall Zahlungen weiterleitet oder Konten zur Verf\u00fcgung stellt, kann selbst in ein Geldw\u00e4scheverfahren geraten. Diese Konstellation beschreiben wir unter Betrugsopfer als unfreiwillige Geldw\u00e4scher<\/a>.<\/p>

Pr\u00e4vention: Wallet Drainer wirksam vermeiden<\/h2>

Wallets nach Zweck trennen.<\/strong> Eine Wallet f\u00fcr langfristige Verwahrung sollte nicht dieselbe sein, die mit neuen Anwendungen interagiert.<\/p>

Freigaben begrenzen<\/strong> und nicht mehr ben\u00f6tigte Berechtigungen regelm\u00e4\u00dfig widerrufen; unbegrenzte Allowances vermeiden.<\/p>

Signaturanfragen lesen.<\/strong> Unerwartete oder nicht aufl\u00f6sbare Anfragen, insbesondere Delegationen und strukturierte Signaturen ohne erkennbaren Anlass, nicht best\u00e4tigen.<\/p>

Herkunft der Oberfl\u00e4che verifizieren.<\/strong> Keine Aufrufe \u00fcber Links aus Direktnachrichten, Kommentaren oder Werbeanzeigen.<\/p>

Hardware Wallet f\u00fcr werthaltige Best\u00e4nde<\/strong>, mit bewusster Pr\u00fcfung der Signaturinhalte auf dem Ger\u00e4t.<\/p>

F\u00fcr Unternehmensbest\u00e4nde<\/strong> Multisig- oder MPC-Verwahrung mit dokumentiertem Vier-Augen-Prinzip; bei Governance-Rechten zus\u00e4tzlich die Handhabung vorab signierter Transaktionen regeln. Wie wir Unternehmen bei Pr\u00e4vention und Aufkl\u00e4rung unterst\u00fctzen, beschreiben wir unter Finanz Forensik f\u00fcr Unternehmen<\/a>.<\/p>

Was Wallet Drainer f\u00fcr Kanzleien, Unternehmen und Privatpersonen bedeuten<\/h2>

F\u00fcr Rechtsanw\u00e4lte ist die Unterscheidung zwischen Berechtigungsmissbrauch und Schl\u00fcsselkompromittierung mandatsentscheidend, weil sie \u00fcber Umfang der Schadensersatzforderung, Reichweite der Beweisf\u00fchrung und Erfolgsaussichten eines Sicherungsersuchens bestimmt. Wie wir Kanzleien zuarbeiten, beschreiben wir unter Finanz Forensik f\u00fcr Rechtsanw\u00e4lte<\/a>; die Unterst\u00fctzung laufender Ermittlungsverfahren stellen wir unter f\u00fcr Staatsanw\u00e4lte<\/a> dar.<\/p>

Privatpersonen, die zun\u00e4chst eine Ersteinsch\u00e4tzung ihres Falls ben\u00f6tigen, finden unter unserer Marke Krypto Investigation<\/a> den passenden Einstieg. Einen \u00dcberblick \u00fcber unsere Analyseleistungen geben unsere Leistungen<\/a>.<\/p>

Fazit: Nicht die Blockchain wird angegriffen, sondern die Autorisierung<\/h2>

Wallet Drainer greifen nicht die Blockchain an, sondern die Schnittstelle zwischen Nutzer und Autorisierung. Ihre Wirksamkeit beruht darauf, dass eine Signatur technisch bindend ist, ihre Bedeutung f\u00fcr den Signierenden aber h\u00e4ufig nicht erkennbar. Die aktuelle Entwicklung von Permit-Signaturen \u00fcber EIP-7702-Delegationen bis zu Solana-Autorit\u00e4tswechseln verschiebt diese L\u00fccke immer weiter zugunsten des Angreifers, weil die sch\u00e4dliche Wirkung zunehmend unsichtbar, zeitversetzt und weitreichend eintritt.<\/p>

F\u00fcr Betroffene ist deshalb eine einzige Frage entscheidend: Wurde eine Berechtigung missbraucht oder wurde die Wallet als Ganzes kompromittiert? Davon h\u00e4ngt ab, ob ein Widerruf gen\u00fcgt oder ob s\u00e4mtliche Verm\u00f6genswerte auf neues Schl\u00fcsselmaterial migriert werden m\u00fcssen.<\/p>

Forensisch ist die Ausgangslage gleichzeitig g\u00fcnstiger, als sie wirkt. Freigaben, Delegationen, Contract-Interaktionen, Transfers und Weiterleitungen sind dauerhaft dokumentiert und chronologisch auswertbar. Wo der Autorisierungsakt off-chain liegt, tritt die Sicherung von Ger\u00e4te- und Kommunikationsspuren an seine Stelle. Aus der Kombination beider Ebenen und aus sauber getrennter Attribution entstehen die Ansatzpunkte, auf die es ankommt: Drainer-Strukturen, Sammelwallets und regulierte Off-Ramps. Welche Gesamtstrategie sich daraus ableiten l\u00e4sst, beschreiben wir unter gestohlene Kryptow\u00e4hrungen zur\u00fcckholen<\/a>. F\u00fcr die Einordnung eines konkreten Falls nehmen Sie Kontakt mit uns auf<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\tKontakt<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

FAQs: Wallet Drainer<\/h2>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tIst meine Wallet nach einem Drainer-Angriff vollst\u00e4ndig kompromittiert?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Nicht zwangsl\u00e4ufig. Betrifft der Vorfall nur eine konkrete Freigabe oder Signatur, bleibt das Schl\u00fcsselmaterial unber\u00fchrt. Das ist jedoch eine Feststellung, die gepr\u00fcft und nicht vermutet werden sollte, insbesondere dann, wenn auch native Coins abgeflossen sind.<\/p>

\u00a0<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tKann man einen Wallet Drainer entfernen?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

In der Wallet selbst befindet sich nichts, was entfernt werden k\u00f6nnte. Widerrufen lassen sich Berechtigungen; zur\u00fccksetzen l\u00e4sst sich eine Delegation. Die Infrastruktur des T\u00e4ters bleibt davon unber\u00fchrt.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tReicht es, die Verbindung zur Webseite zu trennen?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Nein. Das beendet nur die Sitzung in der Anwendung. On-Chain erteilte Freigaben und Delegationen bestehen unver\u00e4ndert fort.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tWarum ist Geld erst Tage nach dem verd\u00e4chtigen Klick verschwunden?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Bei Permit-Signaturen und bei vorab signierten Transaktionen mit Durable Nonce ist der Zeitpunkt der Einl\u00f6sung vom Zeitpunkt der Signatur entkoppelt. Der auff\u00e4llige Vorgang liegt dann deutlich vor dem Abfluss.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tSch\u00fctzt ein Hardware Wallet vor einem Wallet Drainer?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Vor Schl\u00fcsseldiebstahl ja, vor Fehlautorisierung nein. Was der Nutzer best\u00e4tigt, wird korrekt signiert.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tReicht ein Revoke der Berechtigung?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Nur, wenn ausschlie\u00dflich Berechtigungen betroffen sind. Bei kompromittiertem Schl\u00fcssel, aktiver Malware oder bestehender Delegation ist die Adresse als verloren zu behandeln. Wann ein Widerruf gen\u00fcgt und wann nicht, behandeln wir vertieft im Beitrag zu Sweeper Bots (in Vorbereitung)<\/em>.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tWoran unterscheide ich einen Wallet Drainer von einem Sweeper Bot?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Am Umfang des Abflusses und an der Frage, ob Schl\u00fcsselmaterial betroffen ist. Bleiben native Coins liegen und verschwinden nur einzelne Token, spricht das f\u00fcr einen Drainer. Eine ausf\u00fchrliche Gegen\u00fcberstellung liefert der Sweeper-Beitrag<\/a>.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tSind meine NFTs bei einem Drainer-Angriff mitbetroffen?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Wenn eine Operatorberechtigung nach ERC-721 oder ERC-1155 erteilt wurde, k\u00f6nnen s\u00e4mtliche NFTs der betroffenen Collection ohne erneute Zustimmung \u00fcbertragen werden.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tKann eine Blockchain-Analyse die abgeflossenen Werte zur\u00fcckholen?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Nein. Sie rekonstruiert den Mittelfluss und liefert die Grundlage f\u00fcr Auskunfts- und Sicherungsersuchen. \u00dcber eine Sicherung entscheiden B\u00f6rsen, Emittenten, Beh\u00f6rden und Gerichte.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t\t<\/i><\/span>\n\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tWas sollte im ersten Schritt geschehen?<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t

Keine weiteren Signaturen leisten, Beweise unver\u00e4ndert sichern, den Mechanismus kl\u00e4ren lassen und erst danach \u00fcber Widerruf oder Migration entscheiden.<\/p><\/span>\t\t\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall. Die Finanz Forensik GmbH ist ein forensisches Dienstleistungsunternehmen und keine Rechtsanwaltskanzlei.<\/em><\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

Wallet drainers are not caused by a breach or security vulnerability, but rather by a formally authorized transaction. This article explains how approvals, permit signatures, and EIP-7702 delegations empty wallets, why often only parts of the holdings disappear, and what traces can be analyzed on-chain.<\/p>","protected":false},"author":2,"featured_media":4546,"menu_order":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-4545","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"acf":[],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t