{"id":4551,"date":"2026-08-17T10:02:16","date_gmt":"2026-08-17T08:02:16","guid":{"rendered":"https:\/\/finanz-forensik.de\/?p=4551"},"modified":"2026-08-17T10:07:03","modified_gmt":"2026-08-17T08:07:03","slug":"sweeper-bots-compromised-wallet-forensics","status":"publish","type":"post","link":"https:\/\/finanz-forensik.de\/en\/sweeper-bots-kompromittierte-wallet-forensik\/","title":{"rendered":"Detecting Sweeper Bots: How to automatically empty compromised wallets"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Es ist eine der irritierendsten Konstellationen in der Krypto-Forensik: Die Wallet existiert noch, die Token werden weiterhin angezeigt, der Zugriff \u00fcber Seed Phrase oder Wallet-App funktioniert, und dennoch verschwindet jede neue Einzahlung innerhalb von Sekunden. Betroffene vermuten in dieser Situation h\u00e4ufig einen Fehler der Wallet-Software oder einen laufenden \u201eHack“ des Netzwerks.<\/p>

Tats\u00e4chlich liegt in solchen F\u00e4llen meist ein anderer Sachverhalt vor: Ein automatisiertes Skript, ein Sweeper Bot, \u00fcberwacht die betroffene Adresse und transferiert eingehende Verm\u00f6genswerte unmittelbar an eine vom T\u00e4ter kontrollierte Adresse. Der eigentliche Sicherheitsvorfall liegt dabei bereits in der Vergangenheit.<\/p>

Dieser Beitrag ordnet das Ph\u00e4nomen technisch ein, grenzt es von verwandten Angriffsmustern ab und beschreibt, welche Spuren ein Sweeper auf der Blockchain hinterl\u00e4sst und wie diese Spuren forensisch ausgewertet werden k\u00f6nnen. Er richtet sich an Rechtsanw\u00e4lte, Unternehmen und Ermittler, ist aber auch f\u00fcr unmittelbar Betroffene ohne technischen Hintergrund lesbar. Wer nur wissen will, was jetzt zu tun und zu lassen ist, findet die Handlungshinweise weiter unten.<\/p>

Sweeper Bot, Wallet Drainer und Approval-Exploit: die Abgrenzung<\/h2>

In der Berichterstattung werden die Begriffe h\u00e4ufig synonym verwendet. F\u00fcr eine belastbare Untersuchung ist die Unterscheidung jedoch zentral, weil sie \u00fcber die Ursache, \u00fcber die Rettungsoptionen und \u00fcber die Frage entscheidet, ob eine Wallet weiterhin genutzt werden kann.<\/p>

Kriterium<\/th>Sweeper Bot<\/th>Wallet Drainer (Approval-basiert)<\/th>Approval- oder Signature-Exploit<\/th><\/tr><\/thead>
Voraussetzung beim T\u00e4ter<\/td>Seed Phrase oder Private Key<\/td>Vom Opfer erteilte Signatur, Freigabe oder Delegation<\/td>Einzelne erteilte Berechtigung<\/td><\/tr>
Reichweite<\/td>Vollst\u00e4ndige Verf\u00fcgungsmacht \u00fcber alle ableitbaren Adressen<\/td>Auf das Autorisierte begrenzt, bei Delegation weitreichend<\/td>Nur der freigegebene Token oder Contract<\/td><\/tr>
Ausl\u00f6ser des Abflusses<\/td>Jeder Guthabenzugang, ohne Nutzerhandlung<\/td>Einl\u00f6sung der Autorisierung durch den T\u00e4ter<\/td>Einl\u00f6sung der Freigabe<\/td><\/tr>
Dauer<\/td>Dauerhaft, solange die Adresse genutzt wird<\/td>Einmalig oder bis zum Ablauf der Berechtigung<\/td>Bis zum Widerruf<\/td><\/tr>
Wirksame Gegenma\u00dfnahme<\/td>Adresse aufgeben, Assets migrieren<\/td>Berechtigungen widerrufen, Delegation zur\u00fccksetzen<\/td>Freigabe widerrufen<\/td><\/tr><\/tbody><\/table><\/div>

Wie ein solcher Angriff im Einzelnen abl\u00e4uft, von der Freigabe \u00fcber Permit-Signaturen bis zu delegationsbasierten Varianten, ist im Beitrag zu Wallet Drainern<\/a> ausf\u00fchrlich beschrieben.<\/p>

Der entscheidende Unterschied: Eine Freigabe l\u00e4sst sich widerrufen, eine kompromittierte Seed Phrase nicht. Sie ist kein Passwort, sondern das kryptografische Ausgangsmaterial, aus dem s\u00e4mtliche Schl\u00fcssel des Wallets deterministisch abgeleitet werden. Wer sie kennt, kann alle zugeh\u00f6rigen Adressen jederzeit und unabh\u00e4ngig von der verwendeten Wallet-Software rekonstruieren. Eine Neuinstallation, ein neues Ger\u00e4tepasswort oder ein Wallet-Wechsel \u00e4ndern daran nichts.<\/p>

Kein eigenst\u00e4ndiges Angriffsmuster, sondern eine \u00fcbergreifende Risikobedingung ist Blind Signing: das Signieren von Transaktionen oder Nachrichten, deren Inhalt und Konsequenzen dem Nutzer nicht vollst\u00e4ndig angezeigt oder verst\u00e4ndlich gemacht werden. Blind Signing ist der Umstand, der Signature Phishing und sch\u00e4dliche Freigaben praktisch erst erm\u00f6glicht, und deshalb eher unter Pr\u00e4vention als unter Angriffstypologie einzuordnen. Wie es mit Simulationsumgehung zusammenwirkt, behandelt der Abschnitt zu Blind Signing und Simulationsumgehung<\/a> im Drainer-Beitrag.<\/p>

Ein Hinweis zur Begriffsneutralit\u00e4t: \u201eSweeping“ ist als Verfahren nicht per se illegitim. B\u00f6rsen und Zahlungsdienstleister r\u00e4umen Einzahlungsadressen routinem\u00e4\u00dfig automatisiert in Sammelwallets. Der kriminelle Bezug ergibt sich erst aus der unbefugten Schl\u00fcsselkenntnis.<\/p>

Technische Funktionsweise eines Sweeper Bots<\/h2>

Voraussetzung: Der Schl\u00fcssel ist bereits abgeflossen<\/h3>

Ein Sweeper wird nicht \u201eauf der Wallet installiert“. Er l\u00e4uft in der Infrastruktur des T\u00e4ters. Im Kern ben\u00f6tigt er einen signierf\u00e4higen Private Key und Zugang zur Blockchain-Infrastruktur; je nach Ausbaustufe kommen eigene RPC-Anbindung, Mempool-Monitoring und automatisiertes Geb\u00fchrenmanagement hinzu.<\/p>

F\u00fcr die Ursachenanalyse ist deshalb nicht der Bot der Ausgangspunkt, sondern die Frage, wie und wann die Zugangsdaten abgeflossen sind. Typische Vektoren sind Phishing-Seiten mit Seed-Abfrage, manipulierte Wallet-Apps und Browser-Erweiterungen, Infostealer-Malware auf dem Endger\u00e4t, unverschl\u00fcsselte Cloud-Backups oder Fotos der Seed Phrase, gef\u00e4lschter Support sowie Social Engineering \u00fcber Messenger. Zur rechtlichen Zuordnung der auf diesem Weg entwendeten Werte siehe unsere Darstellung zur rechtlichen Zuordnung gestohlener Kryptow\u00e4hrungen bei Phishing<\/a>.<\/p>

\u00dcberwachung der Adresse in Echtzeit<\/h3>

Blockchains sind \u00f6ffentlich, und moderne Node-Schnittstellen erlauben eine \u00dcberwachung nahezu in Echtzeit:<\/p>

EVM-Ketten:<\/strong> WebSocket-Subscriptions (newHeads, newPendingTransactions, Log-Filter) oder schlichtes Polling der Balance im Sekundentakt. Der Bot kann einen Guthabenzugang bereits auf Node- beziehungsweise Mempool-Ebene erkennen, unabh\u00e4ngig davon, wann die Wallet-Oberfl\u00e4che des Betroffenen die \u00c4nderung anzeigt.<\/p>

Solana:<\/strong> accountSubscribe und logsSubscribe liefern Zustands\u00e4nderungen des Kontos unmittelbar nach Best\u00e4tigung durch den Leader.<\/p>

UTXO-Ketten (Bitcoin und vergleichbare):<\/strong> \u00dcberwachung eingehender UTXOs auf allen aus dem Seed ableitbaren Adressen, nicht nur auf der einen bekannten Adresse.<\/p>

Wichtig f\u00fcr die Auswertung: Ein Sweeper muss nicht ab dem ersten Cent aktiv werden. Viele Skripte reagieren erst ab einer Schwelle, ab der der Transfer nach Abzug der Netzwerkgeb\u00fchr wirtschaftlich sinnvoll ist. Eine kompromittierte Wallet kann deshalb \u00fcber l\u00e4ngere Zeit unauff\u00e4llig wirken.<\/p>

Warum Betroffene das Rennen um die Transaktion fast immer verlieren<\/h3>

Der Bot h\u00e4lt die Transaktion vorbereitet: korrekter Nonce, hohe Priority Fee, unmittelbarer Versand nach Erkennung des Eingangs. Entscheidend ist ein Umstand, der in Ratgebertexten meist fehlt: T\u00e4ter und Betroffener senden von derselben Adresse. Auf EVM-Ketten kann pro Adresse und Nonce jedoch nur eine Transaktion in die Chain gelangen.<\/p>

Zahlt der Betroffene also ETH ein, um seine Token zu retten, konkurrieren beide Transaktionen um denselben Nonce. Bei dieser Konstellation hat der Sweeper durch automatisierte Geb\u00fchrenanpassung und unmittelbare \u00dcbermittlung regelm\u00e4\u00dfig einen erheblichen Zeit- und Geb\u00fchrenvorteil. Sobald eine der konkurrierenden Transaktionen best\u00e4tigt ist, kann die andere mit derselben Nonce nicht mehr regul\u00e4r ausgef\u00fchrt werden.<\/p>

Zu beachten ist, dass die Aufnahme in einen Block nicht allein von der Priority Fee abh\u00e4ngt: Builder ber\u00fccksichtigen Bundles, private Orderflows und weitere \u00f6konomische Faktoren. F\u00fcr den Betroffenen \u00e4ndert das an der praktischen Ausgangslage wenig. Hinzu kommt, dass eine Ersetzung im Mempool typischerweise eine sp\u00fcrbare Geb\u00fchrenerh\u00f6hung voraussetzt. Ein manuelles \u00dcberbieten \u00fcber die Wallet-Oberfl\u00e4che ist deshalb kein realistischer L\u00f6sungsweg.<\/p>

Auf Solana stellt sich die Lage anders dar: Dort kann der Fee Payer ein anderes Konto sein als der Eigent\u00fcmer der zu transferierenden Assets. Eine Rettung erfordert also gerade keine SOL-Einzahlung auf die kompromittierte Adresse, die Kosten tr\u00e4gt ein separates Konto in derselben atomaren Transaktion.<\/p>

Der Gas-Kreislauf: die Honeypot-Konstellation<\/h3>

Aus dieser Mechanik entsteht das f\u00fcr Betroffene teuerste Muster: Gas einzahlen, Gas wird abgezogen, erneut einzahlen, erneuter Verlust.<\/p>

Der T\u00e4ter l\u00e4sst die wertvollen ERC-20-Token oder NFTs bewusst stehen, weil deren Transfer Gas kostet, das die Wallet nicht besitzt. Er wartet schlicht darauf, dass der Betroffene die Transaktionsgeb\u00fchren vorfinanziert. In besonders zynischen Varianten werden Wallets mit vermeintlich wertvollen Token gezielt best\u00fcckt und die Seed Phrase anschlie\u00dfend \u201egeleakt“, um Dritte zur Gaseinzahlung zu verleiten. Dass solche Token oft nicht einmal echt sind, zeigen wir unter Fake-Token in der Blockchain-Forensik<\/a>.<\/p>

Erkennungsmuster: Woran ein Sweeper Bot on-chain erkennbar ist<\/h2>

Ein einzelner schneller Transfer beweist noch keine Automatisierung. Belastbar wird die Hypothese erst durch die Kombination mehrerer Indikatoren:<\/p>

Latenz.<\/strong> Zwischen Eingang und Abfluss liegen konstant wenige Sekunden beziehungsweise ein bis zwei Bl\u00f6cke. Aussagekr\u00e4ftig ist weniger der Absolutwert als die geringe Streuung \u00fcber viele Vorg\u00e4nge hinweg.<\/p>

Konstanz der Zieladresse.<\/strong> S\u00e4mtliche Abfl\u00fcsse f\u00fchren zu derselben Adresse oder zu einem kleinen, stabilen Adresskreis.<\/p>

Betragsheuristik.<\/strong> Der transferierte Betrag entspricht exakt dem Guthaben abz\u00fcglich der Netzwerkgeb\u00fchr, die Adresse wird also rechnerisch auf null gefahren. Manuelle Transfers zeigen typischerweise gerundete Betr\u00e4ge.<\/p>

Selektivit\u00e4t.<\/strong> Native Coins verschwinden, Token oder NFTs bleiben stehen, siehe Gas-Kreislauf. Bleiben umgekehrt Token und NFTs stehen, w\u00e4hrend native Coins verschwinden, ist auch der andere Fall zu pr\u00fcfen: warum bei einem Drainer oft nur bestimmte Assets verschwinden<\/a>.<\/p>

Fehlender Tagesrhythmus.<\/strong> Menschliches Handeln folgt einem zirkadianen Muster. Reagiert eine Adresse rund um die Uhr gleichm\u00e4\u00dfig, auch nachts und an Feiertagen, spricht das deutlich f\u00fcr ein Skript.<\/p>

Geb\u00fchrenverhalten.<\/strong> Auff\u00e4llig hohe oder algorithmisch nachgezogene Priority Fees, teilweise deutlich \u00fcber dem Netzwerkdurchschnitt des jeweiligen Blocks.<\/p>

Persistenz.<\/strong> Die Adresse reagiert auch Wochen oder Monate nach dem urspr\u00fcnglichen Vorfall unver\u00e4ndert auf Einzahlungen.<\/p>

Fehlende Interaktion.<\/strong> Zwischen den Abfl\u00fcssen finden keine dApp-Interaktionen, Swaps oder sonstigen typischen Nutzerhandlungen statt.<\/p>

Ein Hinweis zur Attributionsdisziplin: Nicht jede eingehende Kleinstbewegung an einer betroffenen Adresse geh\u00f6rt zum Angriffsmuster. Gezielt gestreute Kleinstbetr\u00e4ge k\u00f6nnen die Zuordnung sogar verf\u00e4lschen, wie wir unter Dust Attack in der Blockchain-Forensik<\/a> darstellen.<\/p>

Forensische Vorgehensweise bei Sweeper-F\u00e4llen<\/h2>

Beweissicherung zuerst<\/h3>

Vor jeder Aktion an der Wallet: vollst\u00e4ndiger Export der Transaktionshistorie, Sicherung der Transaktions-Hashes, Blockh\u00f6hen und Zeitstempel einheitlich in UTC, Screenshots mit Zeitbezug, Dokumentation von Wallet-Software und Version, installierten Browser-Erweiterungen sowie, soweit rekonstruierbar, des Zeitpunkts und Kontexts der mutma\u00dflichen Seed-Preisgabe. Parallel sollte das Endger\u00e4t nicht vorschnell bereinigt werden: Ein Infostealer-Fund kann die Ursachenkette schlie\u00dfen und ist f\u00fcr Anzeige und Versicherungsfragen relevant. Welche Nachweise f\u00fcr Strafanzeige und R\u00fcckforderung tragen, haben wir unter Kryptobetrug beweisen<\/a> zusammengestellt.<\/p>

Das bedeutet ausdr\u00fccklich nicht, das Ger\u00e4t weiter zu nutzen. Ein potenziell kompromittiertes System sollte f\u00fcr sensible Vorg\u00e4nge, insbesondere Wallet-, Banking- und E-Mail-Zugriffe, nicht mehr eingesetzt und vor einer Bereinigung oder Neuinstallation fachgerecht forensisch gesichert werden.<\/p>

Hypothesenbildung statt Schlussfolgerung<\/h3>

Ausgangspunkt ist die Frage, welcher Mechanismus tats\u00e4chlich vorliegt. In Betracht kommen unter anderem: kompromittierte Seed Phrase, kompromittierter Einzelschl\u00fcssel, sch\u00e4dliche Token-Freigabe, Blind Signing, Wallet Drainer, manuelle Transfers durch einen T\u00e4ter mit Ger\u00e4tezugriff, kompromittiertes Endger\u00e4t sowie, nicht zu vernachl\u00e4ssigen, Handlungen aus dem pers\u00f6nlichen Umfeld des Betroffenen. Jede Hypothese wird gegen die on-chain beobachtbaren Muster gepr\u00fcft, statt sie aus der Schadensbeschreibung abzuleiten. Die methodischen Grundlagen und Grenzen dieses Vorgehens beschreiben wir unter Krypto-Forensik in der Praxis<\/a>.<\/p>

Chronologie und Pfadrekonstruktion<\/h3>

Die eigentliche Ermittlungsarbeit beginnt nicht beim ersten Abfluss, sondern bei der Frage, wohin die Mittel anschlie\u00dfend weitergeleitet wurden. Ein typischer Pfad f\u00fchrt von der Opfer-Wallet \u00fcber die Sweeper-Adresse und ein Sammelwallet zu Zwischenwallets, Bridges oder Mixern und schlie\u00dflich an einen Off-Ramp.<\/p>

Auswertbar sind dabei Absender- und Empf\u00e4ngeradressen, Transaktions-Hash, Betrag und Token, Zeitpunkt und Blockh\u00f6he, Gasparameter, Smart-Contract-Aufrufe sowie das Folgeverhalten der Empf\u00e4ngeradresse. \u00dcber Clustering-Heuristiken, bei UTXO-Ketten insbesondere Common-Spend, bei kontenbasierten Ketten Verhaltens- und Zeitmuster sowie Einzahlungsadress-Zuordnungen, l\u00e4sst sich h\u00e4ufig eine Adressgruppe statt einer Einzeladresse bilden.<\/p>

F\u00fcr die Rechtsverfolgung entscheidend ist die Identifikation regulierter Off-Ramps: Erreichen Mittel eine B\u00f6rse mit KYC-Pflichten, entsteht ein realistischer Ansatzpunkt f\u00fcr Auskunfts- und Sicherungsersuchen der Strafverfolgungsbeh\u00f6rden. Bei Stablecoins kommt zus\u00e4tzlich eine Sperre durch den Emittenten in Betracht, siehe USDC einfrieren<\/a>. Kommen Mixing-Dienste ins Spiel, sind Aufkl\u00e4rungsgrenzen und Rechtsentwicklung gesondert zu bewerten, dazu Krypto-Mixer im Compliance- und Forensikkontext<\/a>.<\/p>

Wichtig ist eine saubere Zurechnungsdisziplin: Eine Adresse ist ein technisches Objekt. Die Verkn\u00fcpfung zu einer nat\u00fcrlichen Person ist eine eigenst\u00e4ndige, gesondert zu begr\u00fcndende Feststellung und im Bericht auch als solche zu kennzeichnen. Welche M\u00f6glichkeiten offene Quellen dabei er\u00f6ffnen, zeigen wir unter OSINT bei Betrugsf\u00e4llen<\/a>.<\/p>

Rechtliche Einordnung als Orientierung<\/h3>

In Deutschland kommen je nach Sachverhalt insbesondere das Aussp\u00e4hen von Daten (\u00a7 202a StGB), Computerbetrug (\u00a7 263a StGB), Betrug (\u00a7 263 StGB) sowie Datenver\u00e4nderung (\u00a7 303a StGB) in Betracht. Eine Strafanzeige sollte zeitnah erfolgen; die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminal\u00e4mter sind f\u00fcr Unternehmen die geeignete Anlaufstelle. Zivil- und steuerrechtliche Fragen, etwa zur Verlustber\u00fccksichtigung, geh\u00f6ren in die Hand einer Rechtsanw\u00e4ltin beziehungsweise eines Steuerberaters; zur steuerlichen Seite siehe unsere Darstellung zu Kryptoverlusten bei Betrug und der BFH-Rechtsprechung<\/a>. Zu den Verj\u00e4hrungsaspekten informiert das Whitepaper zu Fristen bei Krypto- und Kapitalanlagebetrug<\/a>. Dies ist eine Orientierung, keine Rechtsberatung.<\/p>

K\u00f6nnen verbliebene Assets aus einer kompromittierten Wallet gerettet werden?<\/h2>

Manchmal ja, aber nur mit Strategie, nie durch wiederholte Testeinzahlungen.<\/p>

EVM-Ketten:<\/strong> Der etablierte Ansatz ist die B\u00fcndelung von Finanzierung und Rettungstransfer in einem atomaren Paket, das \u00fcber einen privaten Relay direkt an Block-Builder \u00fcbermittelt wird und den \u00f6ffentlichen Mempool umgeht. Der Sweeper sieht die Gaseinzahlung dadurch nicht als schwebende Transaktion, und beide Transaktionen landen im selben Block, es entsteht kein Zeitfenster. MyCrypto hat entsprechende Rettungsszenarien f\u00fcr Ethereum dokumentiert. Grenzen: Das Verfahren ist technisch anspruchsvoll, nicht auf allen Ketten verf\u00fcgbar, scheitert bei fehlender Builder-Aufnahme und ist bei laufender Beobachtung durch den T\u00e4ter nicht garantiert.<\/p>

Solana:<\/strong> \u00dcber einen separaten Fee Payer lassen sich Assets in einer einzigen Transaktion herausbewegen, ohne SOL auf die kompromittierte Adresse einzuzahlen.<\/p>

UTXO-Ketten:<\/strong> Hier existiert das Gas-Problem in dieser Form nicht, eingehende UTXOs k\u00f6nnen unmittelbar ausgegeben werden. Rettungsversuche sind bei aktiv \u00fcberwachten Adressen jedoch regelm\u00e4\u00dfig besonders schwierig, weil T\u00e4ter und rechtm\u00e4\u00dfiger Schl\u00fcsselinhaber um die Ausgabe desselben UTXO konkurrieren; die Erfolgsaussichten h\u00e4ngen von Netzwerk, Mempool-Zustand und Transaktionsaufbau ab. Zuk\u00fcnftige Zahlungen sollten in jedem Fall unverz\u00fcglich auf eine neue, nicht kompromittierte Adresse umgestellt werden.<\/p>

In Smart Contracts gebundene Werte wie Staking-, LP- oder Vesting-Positionen erfordern eine Einzelfallpr\u00fcfung: Ist ein Abzug an eine frei w\u00e4hlbare Zieladresse m\u00f6glich, ist das die bessere Option als der Umweg \u00fcber die kompromittierte Adresse.<\/p>

In jedem Fall gilt: Die Rettung ist ein einmaliger, sorgf\u00e4ltig vorbereiteter Vorgang, kein Versuch-und-Irrtum-Prozess. Was von Versprechen zur nachtr\u00e4glichen R\u00fcckholung bereits abgeflossener Werte zu halten ist, ordnen wir unter gestohlene Kryptow\u00e4hrungen zur\u00fcckholen<\/a> ein.<\/p>

Was Betroffene nach einem Sweeper-Vorfall vermeiden sollten<\/h2>