Kurz erklärt: Ein Poisoned NFT (vergiftetes NFT) ist ein manipuliertes oder betrügerisches NFT, das unaufgefordert an eine Wallet-Adresse gesendet wird, um deren Inhaber über eingebettete Links, gefälschte Metadaten oder schädliche Smart-Contract-Interaktionen zu schädigen.
Herkunft und Zweck
Das Muster verbreitete sich ab etwa 2021 parallel zum starken Wachstum des NFT-Handels auf Marktplätzen wie OpenSea. Da NFTs nach Standards wie ERC-721 und ERC-1155 ohne Zustimmung des Empfängers an jede öffentliche Adresse übertragen werden können, eignen sie sich als Zustellvehikel für Betrug. Der Zweck eines Poisoned NFT ist es, Neugier oder die Erwartung eines Werts zu erzeugen und den Empfänger zu einer Interaktion mit einer betrügerischen Anwendung zu bewegen.
Poisoned NFTs sind eine Spielart des Malicious Airdrop, unterscheiden sich aber durch die visuelle Darstellung: Ein Bild, ein Titel oder eine Beschreibung kann Handlungsaufforderungen enthalten, die bei reinen Token weniger auffällig sind.
Technische Funktionsweise
Für die Manipulation kommen mehrere Techniken zum Einsatz:
- Eingebettete Links: Titel, Bild oder Metadaten (häufig über IPFS referenziert) verweisen auf eine Phishing-Webseite, etwa mit dem Versprechen, das NFT einzulösen oder zu verifizieren.
- Schädliche Freigaben: Beim Versuch, das NFT zu übertragen oder zu verkaufen, verlangt die verknüpfte Anwendung eine
setApprovalForAll-Signatur, die einem Angreifer den Zugriff auf die gesamte NFT-Kollektion oder Token-Bestände des Wallets gewährt. - Gefälschte Sammlungen: Nachahmungen bekannter Kollektionen sollen Käufer zu Zahlungen für wertlose Objekte verleiten.
Nach einer erteilten Freigabe kann ein Wallet-Drainer wertvolle Vermögenswerte automatisiert abziehen.
Verbreitung und Verbindungen
Poisoned NFTs werden häufig über dieselben Absenderadressen wie schädliche Token-Airdrops verteilt und teilen die Infrastruktur mit Drainer-as-a-Service-Angeboten. Sie treten oft in Kombination mit Address Poisoning auf. Marktplätze reagierten mit automatischer Ausblendung verdächtiger Objekte, Meldefunktionen und Warnhinweisen. Block-Explorer wie Etherscan kennzeichnen bekannte Betrugs-Contracts.
Schutzmaßnahmen
Empfohlen wird, unaufgefordert erhaltene NFTs nicht anzuklicken, verknüpfte Webseiten nicht aufzurufen und keine Signaturanfragen unbekannter Anwendungen zu bestätigen. Verdächtige Objekte lassen sich in den meisten Wallets und auf Marktplätzen als Spam markieren oder ausblenden. Zur Absicherung dienen die regelmäßige Überprüfung erteilter Token- und NFT-Freigaben sowie die Nutzung einer separaten Wallet ohne wertvolle Bestände für den Empfang unbekannter Objekte.
Häufige Fragen
Ist der bloße Besitz eines Poisoned NFT gefährlich?
Nein. Der reine Empfang und Besitz ist passiv und ungefährlich. Risiko entsteht erst, wenn der Nutzer die verknüpfte Webseite besucht und eine Transaktion oder Freigabe signiert.
Warum landet ein fremdes NFT in meinem Wallet?
NFTs können ohne Zustimmung des Empfängers an jede öffentliche Adresse gesendet werden. Angreifer nutzen dies, um Betrugs-Objekte massenhaft zu verteilen.
Kann ich ein Poisoned NFT löschen?
Ein direktes Löschen aus der Blockchain ist nicht möglich, da Übertragungen unveränderlich sind. In Wallets und auf Marktplätzen lässt sich das Objekt jedoch als Spam ausblenden.
Woran erkenne ich ein Poisoned NFT?
Typische Merkmale sind unaufgeforderter Empfang, Titel oder Bilder mit Webseiten-Adressen, Versprechen hoher Belohnungen sowie die Aufforderung, das Objekt zu verifizieren oder einzulösen.
Was passiert, wenn ich versehentlich eine Freigabe erteilt habe?
Bereits erteilte Freigaben sollten umgehend über eine Token-Approval-Prüfung widerrufen und wertvolle Bestände in eine unbelastete Wallet verschoben werden.
Zusammenfassung
Poisoned NFTs sind unaufgefordert zugesandte, manipulierte NFTs, die über eingebettete Links oder schädliche Freigaben Wallet-Vermögen abgreifen sollen. Sie sind eine visuelle Variante des Malicious Airdrops und teilen die Infrastruktur mit Wallet-Drainern. Der bloße Besitz ist ungefährlich, kritisch ist allein die aktive Interaktion.
Weiterführende Quellen
- OpenSea Help Center: Scams and safety: support.opensea.io
- Etherscan: Token Approvals Tool: etherscan.io
- BSI: Informationen und Empfehlungen für Verbraucher: www.bsi.bund.de