Wallet-Drainer-Kits: Die Scam-as-a-Service-Wirtschaft

Ein Wallet-Drainer ist Schadcode, der als fertiges Kit verkauft wird und die Wallet eines Opfers in dem Moment leert, in dem es auf einer Phishing-Seite eine manipulierte Transaktion oder Token-Freigabe signiert. Du wirst nicht im klassischen Sinne gehackt. Du signierst etwas, und die Signatur tut genau das, wofür sie gebaut wurde.

Das ist die kurze Antwort. Der Rest dieser Seite erklärt, warum Drainer zu einer Industrie geworden sind, wie ein Leeren tatsächlich abläuft und wo deine Schutzmaßnahmen halten oder versagen.

---

Drainer-as-a-Service: das Geschäftsmodell

Der Grund, warum Drainer überall sind, ist, dass der Diebstahl von Krypto in ein Franchise verwandelt wurde. Es gibt drei Rollen.

Der Kit-Entwickler schreibt und pflegt die Drainer-Software: die bösartigen Verträge, die Logik zum Erzeugen von Signaturen, das Dashboard, das Opfer verfolgt und gestohlene Gelder umleitet. Er führt das Phishing nicht selbst durch.

Die Affiliates mieten das Kit und führen die eigentlichen Betrügereien durch — sie bauen gefälschte Mint-Seiten, kaufen Anzeigen, kapern Social-Media-Konten, leiten Traffic um. Sie behalten den Großteil der Beute.

Die Umsatzbeteiligung macht es funktionsfähig. Der Kit-Betreiber nimmt automatisch einen Anteil an allem Geleerten, oft im Bereich von 20-30%, on-chain abgeschöpft in dem Moment, in dem Gelder fließen. Keine Rechnungen, kein Vertrauen nötig — der Smart Contract teilt den Diebstahl auf.

Diese Struktur senkte die Einstiegshürde auf nahezu null. Ein Affiliate braucht keine Programmierfähigkeiten, nur eine überzeugende Phishing-Seite und Traffic. Tracker wie Scam Sniffer und andere On-Chain-Forscher schrieben Wallet-Drainern über 2023 und 2024 Verluste in Höhe von Hunderten Millionen Dollar zu, und die Zahlen steigen weiter, da neue Kits die abgeschalteten ersetzen.

---

Wie ein Leeren tatsächlich abläuft

Ein Drainer stiehlt nicht deine Seed-Phrase. Er bringt dich dazu, einen Transfer freiwillig zu autorisieren, indem er verschleiert, was du signierst. Die üblichen Techniken:

• Bösartige Token-Freigabe — du signierst einen approve-Aufruf, der dem Vertrag des Angreifers die Erlaubnis gibt, einen bestimmten Token zu bewegen, dann bewegt er das Maximum.
• Permit- / Permit2-Signatur — eine gaslose Off-Chain-Signatur, die Ausgaben autorisiert. Sie sieht aus wie eine harmlose „Signieren zum Anmelden"-Aufforderung, überträgt aber ein Ausgabelimit ohne eine On-Chain-Transaktion, die du bemerken würdest.
• setApprovalForAll — eine Signatur, die Kontrolle über eine ganze NFT-Sammlung in deiner Wallet gewährt, nicht über ein einzelnes Objekt.
• Gefälschter Claim, Mint oder Migration — der Button sagt „Airdrop einlösen" oder „Mint", aber die dahinterliegende Transaktion transferiert deine Assets oder setzt eine Freigabe.

Der verbindende Trick ist die Irreführung. Die sichtbare Bezeichnung verspricht etwas, das du willst; die tatsächlichen Aufrufdaten autorisieren den Drainer. Viele Kits verketten auch Schritte — erst Freigabe, Sekunden später das Leeren in einer skriptgesteuerten Abfolge, manchmal zuerst die wertvollsten Assets.

---

Wie Opfer erreicht werden

Die Verteilung ist die Aufgabe des Affiliates und sie ist unerbittlich:

• Gekaperte X- (Twitter-) Konten — verifizierte oder reichweitenstarke Konten werden kompromittiert und posten einen „Überraschungs-Mint"- oder „Claim"-Link an ein vertrauendes Publikum.
• Gefälschte und imitierende Anzeigen — Such- und Social-Anzeigen ahmen echte Protokolle nach und stehen über dem echten Ergebnis.
• Discord und Telegram — kompromittierte Admin-Konten platzieren Links in offiziell wirkenden Kanälen.
• Geklonte Websites — pixelgenaue Kopien echter dApps auf ähnlich aussehenden Domains, erreicht über Anzeigen, DMs oder Tippfehler-Domains.

Die Seite selbst ist bewusst überzeugend. Die einzige Lüge ist die Transaktion, die sie dich signieren lässt.

---

Spickzettel der Drainer-Techniken

---

Wie du dich schützt

Drainer nutzen eine Entscheidung aus, die du triffst, daher besteht die Verteidigung vor allem darin, zu kontrollieren, wann und was du signierst.

1. Signiere niemals auf einer Seite, die du nicht selbst aufgerufen hast. Tippe die URL ein oder nutze ein gespeichertes Lesezeichen. Klicke keine Links aus DMs, Anzeigen oder „Du hast gewonnen"-Posts — das ist die gesamte Angriffsfläche.
2. Lies, was du tatsächlich signierst. Wenn eine „Login"- oder „Claim"-Aufforderung in Wahrheit ein approve, Permit oder setApprovalForAll ist, halte an. Ein Login sollte keine Ausgabeerlaubnis gewähren.
3. Nutze Wallets mit Warnungen und Simulation. Moderne Wallets und Add-ons zeigen eine Vorschau der Transaktionswirkung („dies erlaubt X, dein gesamtes USDC auszugeben") und markieren bekannte Drainer-Verträge. Klicke dich nicht durch eine rote Warnung.
4. Halte den Großteil deiner Gelder in einer separaten Cold Wallet, die niemals unbekannte Seiten berührt. Nutze eine kleine, wegwerfbare „Hot"-Wallet für Mints und Interaktionen mit neuen dApps.
5. Widerrufe Freigaben, die du nicht mehr brauchst. Überprüfe aktive Erlaubnisse regelmäßig und entferne offene. Eine widerrufene Freigabe kann später nicht geleert werden.

---

Ehrliche Grenzen

Zwei Dinge werden oft falsch verstanden.

Eine Hardware-Wallet stoppt keine freiwillige Signatur. Sie schützt den privaten Schlüssel vor Extraktion, aber wenn du eine bösartige Freigabe auf dem Gerät bestätigst, signiert die Hardware-Wallet sie getreu. Die Sicherheitsgrenze ist dein Verständnis der Aufforderung, nicht das Gerät.

Und sobald eine bösartige Transaktion signiert und die Wallet geleert ist, ist es unumkehrbar. Es gibt keine Rückbuchung, keine Support-Stelle, kein Einfrieren. Prävention ist die einzige echte Kontrolle — deshalb zählt die Disziplin, niemals auf unaufgeforderten Seiten zu signieren, mehr als jedes einzelne Werkzeug.

---

FAQ

Was ist ein Wallet-Drainer? Schadcode, meist als Kit verkauft, der deine Assets in dem Moment transferiert, in dem du eine manipulierte Transaktion oder Freigabe auf einer Phishing-Seite signierst. Er beruht darauf, dich zur Autorisierung des Diebstahls zu verleiten, nicht auf dem Brechen von Kryptografie.

Wie verdienen Drainer-Kits Geld? Der Kit-Entwickler lizenziert die Software an Affiliates, die das Phishing betreiben, und nimmt einen automatischen Anteil an jedem Leeren — üblicherweise 20-30% — on-chain vom Vertrag aufgeteilt. Die Affiliates behalten den Rest. Es ist ein Franchise-Modell, deshalb skaliert es so schnell.

Kann ein Drainer meine Wallet ohne meine Seed-Phrase leeren? Ja. Er braucht deine Seed-Phrase nie. Eine einzige Freigabe- oder Permit-Signatur genügt, um den Vertrag des Angreifers zu autorisieren, deine Token oder NFTs zu bewegen. Das macht Drainer selbst für vorsichtige Selbstverwahrungs-Nutzer gefährlich.

Wie schütze ich mich vor Drainern? Signiere nur auf Seiten, die du selbst aufgerufen hast, prüfe genau, was jede Aufforderung autorisiert, nutze eine Wallet, die Transaktionen simuliert und warnt, halte den Großteil der Gelder in einer separaten Cold Wallet und widerrufe Freigaben, die du nicht brauchst.

---

Es lohnt sich, die Mechanik der bösartigen Freigabe selbst tiefer zu verstehen — siehe Token-Freigabe-Phishing. Um die gefälschten Seiten zu erkennen, die diese Drainer hosten, lies über geklonte Phishing-Websites und überprüfe die breiteren Warnsignale für Krypto-Betrug, die gelten, bevor du überhaupt die Signatur erreichst.