Kurz erklärt: Ein Wallet-Drainer ist ein Schadskript, das eine verbundene Krypto-Wallet leert, indem es den Nutzer zur Signatur einer manipulierten Transaktion oder einer weitreichenden Token-Freigabe verleitet. Der Nutzer autorisiert den Abfluss dabei formal selbst — ein technischer Einbruch findet nicht statt. Drainer werden als fertige Dienstleistung vermietet und sind eine der verbreitetsten Ursachen für Verluste im Bereich dezentraler Anwendungen.
Funktionsweise
Der Angriff nutzt aus, dass Interaktionen mit dezentralen Anwendungen eine Signatur der Wallet erfordern und dass der Inhalt der Signatur für Laien nicht lesbar ist.
Der Nutzer gelangt auf eine präparierte Seite — vermeintlicher Airdrop, gefälschte Handelsoberfläche, angebliche Prägeseite für eine Sammlung. Er verbindet seine Wallet, was für sich genommen unkritisch ist: Das Verbinden erlaubt lediglich das Auslesen der Adresse.
Kritisch wird der nächste Schritt. Die Seite fordert eine Signatur an. Angezeigt wird eine harmlose Beschreibung, etwa eine Anmeldung oder eine Teilnahmebestätigung. Tatsächlich autorisiert die Signatur eine Token-Freigabe zugunsten einer Adresse der Täter — häufig in unbegrenzter Höhe und ohne Ablauf.
Danach genügt ein Aufruf, um die freigegebenen Bestände abzuziehen. Das kann sofort geschehen oder Wochen später. Genau diese Verzögerung erschwert die Zuordnung: Betroffene bringen den Verlust nicht mehr mit der Seite in Verbindung, die sie vor einem Monat besucht haben.
Fortgeschrittene Varianten prüfen vorab den Inhalt der Wallet und fordern gezielt Freigaben für die wertvollsten Positionen an, um bei einer einzigen Signatur den maximalen Schaden zu erzielen.
Signaturtypen und ihre Tragweite
Der wesentliche Punkt für das Verständnis: Nicht jede Signatur bewegt Mittel, aber manche erlauben es dauerhaft.
Reine Nachrichtensignatur. Bestätigt lediglich die Kontrolle über eine Adresse, etwa bei einer Anmeldung. Sie bewegt keine Mittel — allerdings können Angreifer diesen Mechanismus so gestalten, dass tatsächlich eine wirksame Erklärung unterzeichnet wird.
Token-Freigabe. Erlaubt einer fremden Adresse, Token bis zu einem festgelegten Betrag abzuziehen. Wird der Betrag auf ein Maximum gesetzt, gilt die Freigabe praktisch unbegrenzt und dauerhaft, bis sie ausdrücklich widerrufen wird. Dies ist der häufigste Angriffsweg.
Freigabe für ganze Bestände. Bei Sammlungen kann eine einzige Freigabe den Zugriff auf alle Objekte eines Vertrags eröffnen — nicht nur auf ein einzelnes.
Signaturbasierte Freigaben. Neuere Verfahren erlauben es, eine Freigabe allein durch Signatur zu erteilen, ohne eigene Transaktion. Für den Nutzer wirkt das besonders harmlos, weil keine Netzwerkgebühr anfällt und die Wallet keinen Transaktionsdialog zeigt.
Die praktische Folge: Der Satz „ich habe doch nur unterschrieben, nichts überwiesen“ beschreibt genau den erfolgreichen Angriff.
Drainer-as-a-Service
Wallet-Drainer werden nicht mehr individuell entwickelt, sondern als Dienstleistung vertrieben. Betreiber stellen fertige Skripte, Verwaltungsoberflächen und Unterstützung bereit; die Nutzer kümmern sich um die Verbreitung. Abgerechnet wird über eine Beteiligung an der Beute, die automatisch an die Adresse des Betreibers abgeführt wird.
Diese Arbeitsteilung senkt die Einstiegshürde erheblich — technische Kenntnisse sind für die Durchführung nicht mehr erforderlich. Europol beschreibt in seinen Lagebildern zur Cyberkriminalität diese Dienstleistungsmodelle als wesentlichen Treiber der Fallzahlen.
Für die forensische Arbeit hat das einen nützlichen Nebeneffekt: Die automatische Abführung des Betreiberanteils erzeugt ein wiederkehrendes Zahlungsmuster. Über diese Sammeladressen lassen sich Vorfälle miteinander verknüpfen, die auf den ersten Blick nichts miteinander zu tun haben — ein Ansatz, der Einzelfälle zu einem verfolgbaren Komplex bündelt.
Verbreitungswege
- Gefälschte Airdrops. Ankündigung einer kostenlosen Zuteilung, verbunden mit der Aufforderung, die Wallet zu verbinden und eine Beanspruchung zu signieren.
- Übernommene Kanäle. Kompromittierte Konten bekannter Projekte auf sozialen Netzwerken oder in Chatdiensten verbreiten Links, denen Nutzer vertrauen, weil sie von der offiziellen Quelle zu stammen scheinen.
- Suchmaschinenwerbung. Bezahlte Anzeigen auf Markennamen bekannter Anwendungen, die auf eine nahezu identische Nachbildung führen.
- Direktansprache. Nachrichten mit Verweis auf ein angebliches Problem des Kontos und einem Link zur „Verifizierung“.
- Manipulierte Objekte. Unaufgefordert zugesandte Sammelobjekte, deren Anzeige oder Interaktion auf eine präparierte Seite führt.
Gemeinsam ist allen Wegen, dass sie zu einer Signatur führen sollen. Wer diesen Schritt konsequent hinterfragt, ist gegen die überwiegende Zahl der Varianten geschützt.
Schutzmaßnahmen
Trennung der Bestände. Eine gesonderte Wallet für Interaktionen mit Anwendungen, die nur kleine Beträge hält. Langfristige Bestände auf einer Adresse, die niemals mit einer Anwendung verbunden wird.
Hardware-Wallet mit Anzeige. Geräte, die den Inhalt einer Transaktion im Klartext darstellen, machen manipulierte Freigaben erkennbar. Wo nur ein Hashwert angezeigt wird, ist eine Prüfung nicht möglich — dieses Blindsignieren ist der eigentliche Risikofaktor.
Freigaben regelmäßig prüfen und widerrufen. Erteilte Token-Freigaben bleiben unbegrenzt bestehen. Ein regelmäßiger Widerruf nicht mehr benötigter Freigaben schließt Altlasten. Der Widerruf kostet Netzwerkgebühren, ist aber die einzige wirksame Nachsorge.
Freigabebeträge begrenzen. Wo die Wallet es zulässt, statt eines unbegrenzten Betrags den tatsächlich benötigten eintragen.
Keine Links aus Nachrichten. Anwendungen ausschließlich über selbst gespeicherte Lesezeichen aufrufen, nie über Links aus Chats, E-Mails oder Suchanzeigen.
Seed-Phrase niemals eingeben. Keine legitime Anwendung fragt die Seed-Phrase ab. Ihre Eingabe führt zum vollständigen Verlust aller Bestände, unabhängig von Freigaben.
Sofortmaßnahmen nach einem Vorfall
Verbleibende Bestände verlagern. Sind noch Werte auf der betroffenen Adresse, gehören sie auf eine neu erzeugte Wallet — und zwar vor allen weiteren Schritten. Bestehende Freigaben wirken fort.
Freigaben widerrufen. Alle erteilten Freigaben der betroffenen Adresse widerrufen. Ohne diesen Schritt können später eingehende Mittel unmittelbar wieder abfließen.
Adresse dauerhaft aufgeben. Eine kompromittierte Adresse sollte nicht weiterverwendet werden, auch nicht nach dem Widerruf. Wurde die Seed-Phrase preisgegeben, ist die gesamte Wallet mit allen abgeleiteten Adressen verloren.
Vorfall dokumentieren. Adresse der aufgerufenen Seite, Zeitpunkt, Transaktions-ID der Freigabe, Empfängeradresse und die Transaktionen des Abflusses sichern.
Verfolgung prüfen. Über eine On-Chain-Analyse lässt sich feststellen, wohin die Mittel geflossen sind. Erreichen sie eine regulierte Plattform, besteht ein Ansatzpunkt. Häufig zeigt sich zudem, dass dieselbe Empfängeradresse zahlreiche weitere Geschädigte hat — was für die Anzeige erheblich ist.
Häufige Fragen
Ich habe nur eine Signatur bestätigt, keine Überweisung. Wie konnte Geld abfließen?
Genau so funktioniert der Angriff. Die Signatur autorisiert eine Token-Freigabe zugunsten einer fremden Adresse, häufig unbegrenzt und ohne Ablauf. Der Abfluss erfolgt danach ohne weiteres Zutun — teilweise erst Wochen später.
Ist das Verbinden einer Wallet mit einer Seite schon gefährlich?
Nein. Das Verbinden erlaubt lediglich das Auslesen der Adresse und bewegt keine Mittel. Kritisch wird erst die anschließende Signatur, insbesondere wenn sie eine Token-Freigabe erteilt.
Warum floss das Geld erst Wochen nach dem Besuch der Seite ab?
Weil eine Freigabe unbegrenzt fortbesteht, bis sie widerrufen wird. Angreifer nutzen die Verzögerung bewusst — Betroffene bringen den Verlust dann nicht mehr mit der ursprünglichen Seite in Verbindung.
Schützt eine Hardware-Wallet vor Drainern?
Nur teilweise. Sie schützt den privaten Schlüssel, verhindert aber nicht, dass Sie eine schädliche Freigabe signieren. Wirksam ist sie erst dann, wenn das Gerät den Transaktionsinhalt im Klartext anzeigt und Sie ihn prüfen. Blindsignieren hebt den Schutz auf.
Wie widerrufe ich erteilte Freigaben?
Über Widerrufsfunktionen, die Freigaben je Adresse auflisten und einzeln zurücknehmen. Der Widerruf ist eine Transaktion und kostet Netzwerkgebühren. Er sollte regelmäßig erfolgen, nicht erst nach einem Vorfall.
Kann ich die betroffene Adresse nach dem Widerruf weiterverwenden?
Besser nicht. Wurde nur eine Freigabe erschlichen, ist die Adresse nach vollständigem Widerruf technisch wieder nutzbar — das Risiko übersehener Freigaben bleibt aber. Wurde die Seed-Phrase preisgegeben, ist die gesamte Wallet mit allen abgeleiteten Adressen verloren.
Lässt sich nachvollziehen, wohin die Mittel geflossen sind?
Ja, die Abflüsse sind on-chain dokumentiert. Häufig zeigt die Analyse, dass dieselbe Empfängeradresse zahlreiche weitere Geschädigte hat. Zudem führen Drainer-Dienstleister ihren Anteil automatisch an Sammeladressen ab, über die sich Vorfälle verknüpfen lassen.
Zusammenfassung
Ein Wallet-Drainer leert eine Wallet nicht durch Einbruch, sondern indem er den Nutzer zu einer Signatur verleitet, die eine unbegrenzte Token-Freigabe erteilt. Der Abfluss kann Wochen später erfolgen, was die Zuordnung erschwert. Verbreitet werden Drainer als Dienstleistung mit automatischer Gewinnbeteiligung — deren Sammeladressen sind forensisch nutzbar, um Einzelfälle zu verknüpfen. Wirksamster Schutz: getrennte Wallets, Prüfung des Transaktionsinhalts statt Blindsignieren, begrenzte Freigabebeträge und regelmäßiger Widerruf. Nach einem Vorfall zuerst verbleibende Bestände verlagern, dann Freigaben widerrufen.
Weiterführende Quellen
- Europol — IOCTA 2026: The evolving threat landscape: www.europol.europa.eu
- BSI — Blockchain sicher gestalten: www.bsi.bund.de
- Ethereum — Entwicklerdokumentation: ethereum.org
- BKA — Bundeslagebild Cybercrime: www.bka.de
- Polizeiliche Kriminalprävention der Länder und des Bundes — Betrug: www.polizei-beratung.de
- § 263 StGB — Betrug, Gesetze im Internet: www.gesetze-im-internet.de