Was ein Drainer für Krypto-Wallets im Jahr 2026 tatsächlich ist
Ein Wallet-Drainer ist eine Software, meist JavaScript, das von einer Phishing-Website geladen wird und einen Nutzer dazu bringt, eine oder mehrere On-Chain-Nachrichten oder -Transaktionen zu signieren, die einem Angreifer die Möglichkeit geben, bestimmte Vermögenswerte aus dieser Wallet zu übertragen. Der Begriff „Drainer“ löste um 2022 den älteren Begriff „Crypto Stealer“ ab, weil moderne Kits nur selten kryptografische Verfahren knacken oder in die Wallet-App selbst eindringen. Stattdessen bringen sie die Person an der Tastatur dazu, das Falsche zu signieren, und automatisieren anschließend den Diebstahl.
Im Jahr 2026 sind Drainer keine maßgeschneiderte Malware mehr. Sie sind Abonnementdienste. Betreiber mieten den Dashboard-Zugang für einige Hundert bis mehrere Tausend Dollar pro Woche und erhalten ein im Browser ausgeführtes Kit, einen Telegram-Supportkanal sowie einen Anteil an der Beute. Die am umfassendsten beobachtete Marke Inferno zog sich Ende 2023 öffentlich zurück, doch ihre Designvorlagen kursieren weiterhin in Form von Forks. Nachfolgemarken wie Pink, Angel und Venom dominieren die heutigen Foren.
Zwei Tatsachen sind für den Rest dieser Taxonomie entscheidend. Erstens basiert jeder heute im Umlauf befindliche Drainer auf einem oder mehreren „Autorisierungsmechanismen“, also den On-Chain-Mechanismen, die es einem Smart Contract erlauben, Token im Namen eines Nutzers zu übertragen. Zweitens läuft der Geldwäscheprozess nach der Signierung des Diebstahls fast vollständig automatisiert ab. Beide Aspekte erklären, warum eine Schutzmaßnahme, die 2022 funktionierte, nämlich „Widerrufe deine Autorisierungen danach einfach“, heute zu langsam und zu begrenzt ist.
Die Risiken: Was für Opfer tatsächlich schiefgeht
Das erste Risiko liegt auf der Hand: der vollständige Verlust der entwendeten Vermögenswerte. Bei ETH kann eine missbräuchliche Autorisierung sämtliche ERC-20- und ERC-721-Bestände in der Wallet leeren, die von ihr erfasst werden. Bei Smart Accounts kann ein Sitzungsschlüssel den gesamten Smart-Account-Vertrag innerhalb eines einzigen Blocks leeren. Angriffe auf SOL sind in der Regel enger begrenzt, da das Autorisierungsmodell von Solana für Token-2022 und das Systemprogramm stärker eingeschränkt ist. Kits zum Abgreifen von Seed-Phrasen löschen jedoch weiterhin native SOL- und SPL-Guthaben vollständig.
Das zweite Risiko betrifft die Folgen des Angriffs. Sobald der Betreiber eines Drainers die Kontrolle über eine Wallet hat, kann er sie als Zwischenstation für Geldwäsche nutzen und weitere Transaktionen signieren, die die Adresse des Opfers mit Betrugsfällen, Sanktionen oder sogar strafrechtlichen Ermittlungen in Verbindung bringen. Die Wallets von Opfern wurden bereits von zentralisierten Börsen gesperrt, nur weil ein Angreifer Gelder über sie weitergeleitet hatte, selbst wenn das Opfer die Gelder nie abgehoben hatte.
Das dritte Risiko betrifft den Ruf und die rechtliche Verantwortung. Das Signieren einer bösartigen Nachricht befreit einen Nutzer in den meisten Rechtsordnungen nicht von der Verantwortung für die daraus resultierenden Übertragungen. Bei mehreren Durchsetzungsmaßnahmen in den Jahren 2024–2025 wurden geleerte Wallets als Ursprungsadressen für nachgelagerte Betrugsaktivitäten behandelt. Wiederbeschaffungen sind selten. Entschädigungen von Herstellern von Hardware-Wallets decken nur eine kleine Auswahl von Angriffen auf Hardwareebene ab, nicht jedoch Social Engineering. Jede für einen Drainer geleistete Signatur sollte als On-Chain unumkehrbar betrachtet werden.
Wie Drainer-Kits 2026 ihre Opfer erreichen
Die Verbreitungsschicht hat sich konsolidiert. Telegram und X sind die beiden größten Kanäle, mit deutlichem Abstand gefolgt von YouTube-Kommentarbereichen und koordinierten Überfällen auf Discord. Das Vorgehen ist immer gleich: Ein gefälschtes Konto gibt sich als bekannter Journalist, Projektgründer oder VC aus, veröffentlicht einen „überraschenden Airdrop“, einen „heimlichen Mint“ oder eine „Claim-Seite“ und antwortet unter jedem beliebten Beitrag einer Kategorie, um Klicks abzugreifen.
Die Köder-Website ist so gestaltet, dass sie wie eine legitime dapp aussieht. Sie kann die Mint-Seite von OpenSea, die Swap-Benutzeroberfläche von Uniswap oder ein Memecoin-Launchpad nachbilden. Entscheidend ist, dass sie vollständig auf die Wallet abgestimmt ist. Die Website fordert den Nutzer auf, seine Wallet zu verbinden, erkennt die Chain und die Adressklasse und liefert den dazu passenden Drainer-Ablauf aus. Eine Ethereum-Adresse, auf der ein Safe-Vertrag läuft, der jetzt als Safe{'{Wallet}'} bekannt ist, sieht ein anderes Skript als eine EOA. Eine Solana-Adresse erhält ein anderes Skript als ein Phantom-Nutzer, dessen Ethereum-Vermögenswerte im selben Schlüssel verborgen sind.
Die Hosting-Schicht verändert sich schnell. Domains werden über Wochen gealtert, durch Cloudflare geschützt und stündlich ausgetauscht. Einige Kits enthalten einen „Landingpage-Generator“, der aus einer einzigen Vorlage Hunderte täuschend ähnliche Seiten erstellt, jeweils mit einem eigenen Titel und einer eigenen Meta-Beschreibung, um einfaches Brand-Protection-Scraping zu umgehen. Dadurch sind Sperrlisten immer einen Schritt im Rückstand. Deshalb ist die Skepsis der Nutzer wichtiger denn je.
Die Taxonomie der Freigabemechanismen im Jahr 2026
Drainer lassen sich am besten anhand des Freigabemechanismus verstehen, den sie ausnutzen. Nachfolgend finden Sie die vier derzeit relevanten Mechanismen, geordnet vom ältesten bis zum neuesten. Jeder Abschnitt beschreibt den genauen On-Chain-Mechanismus, den Köder, der den Nutzer zur Signatur verleitet, und was der Angreifer nach der Unterzeichnung damit tun kann.
Veraltetes setApprovalForAll bei ERC-721 und ERC-1155
Dies ist der klassische NFT-Diebstahl. ERC-721- und ERC-1155-Verträge stellen eine setApprovalForAll-Funktion bereit, die es einem Operator-Vertrag nach dem Aufruf durch einen Nutzer erlaubt, in dessen Namen sämtliche Token der betreffenden Sammlung zu übertragen. Der Köder sieht meist wie ein kostenloser Mint, eine Seite zum „Einfordern Ihres Airdrops“ oder ein gefälschtes OpenSea-Angebot aus. Das Opfer sieht eine Wallet-Aufforderung, die genauso wie eine normale Marktplatzfreigabe aussieht, und klickt auf „Bestätigen“. Anschließend ruft der Angreifer transferFrom in einer Schleife auf, bis jedes NFT aus dieser Sammlung verschwunden ist.
Warum dies 2026 noch immer funktioniert: Viele Nutzer haben Marktplätze wie OpenSea, Blur oder LooksRare bereits früher freigegeben und prüfen inzwischen nicht mehr, was setApprovalForAll tatsächlich bewirkt. Drainer kombinieren dies außerdem in derselben Transaktion mit einer Token-Freigabe, sodass ein einziger Klick zwei oder drei verschiedene Abflüsse autorisiert.
Der Ablauf approval-setMax + transferFrom bei ERC-20
Dies ist der meistgenutzte Drainer-Ablauf für ETH und EVM-Chains. Das Opfer signiert einen approve-Aufruf, der einem bösartigen Spender für einen bestimmten ERC-20 „setMax“ gewährt, in der Praxis type(uint256).max, eine astronomisch große Zahl. Häufig handelt es sich dabei um Wrapped ETH, USDC, USDT oder einen Stablecoin in der Wallet. Die Wallet-Benutzeroberfläche kann die Freigabe in menschenlesbarer Form anzeigen, doch Menschen neigen dazu, sie nur zu überfliegen.
Sobald die Freigabe in einen Block aufgenommen wurde, ruft der Angreifer transferFrom für die Adresse des Opfers auf und überträgt das Guthaben an einen von ihm kontrollierten Vertrag. Dieser Ablauf steckt hinter dem Rat „Widerrufen Sie Ihre Freigaben“, der 2022–2023 vorherrschte. Für die damalige Zeit war dieser Rat richtig. Heute reicht er nicht mehr aus, weil neuere Mechanismen den Abfluss im selben Block wie die Signatur ermöglichen, bevor ein Mensch etwas widerrufen könnte.
Veraltete eth_sign-Fallen
eth_sign ist eine Signaturmethode aus der Zeit vor EIP-191, die beliebige Bytes mit einem Ethereum-Konto signiert. Sie enthält keine strukturierten Daten, sodass die Wallet keine menschenlesbare Zusammenfassung anzeigen kann. Drainer missbrauchen eth_sign, um Opfer Nachrichten signieren zu lassen, die wie gewöhnliche Login-Signaturen aussehen, etwa „Klicken Sie auf Signieren, um zu bestätigen, dass diese Wallet Ihnen gehört“, tatsächlich aber 32-Byte-Hashes strukturierter Genehmigungen oder Off-Chain-Aufträge sind.
Obwohl die meisten modernen Wallets eth_sign entfernt haben oder deutlich davor warnen, bieten Phishing-Kits diese Methode weiterhin an, weil sie noch von genügend Nischen-Wallets und Bridge-Frontends akzeptiert wird. Die Schutzmaßnahme ist einfach: Signieren Sie niemals eine eth_sign-Aufforderung, die Sie nicht selbst über eine vertrauenswürdige dapp ausgelöst haben. Behandeln Sie eth_sign wie „Signieren Sie alles, was der Angreifer will“.
Universelle Freigaben mit permit2
Permit2 ist ein von Uniswap populär gemachtes Vertragsmuster, das inzwischen bei vielen DEXes eingesetzt wird und einzelne approve-Aufrufe pro Token durch eine einzige signaturbasierte Freigabe für mehrere Token ersetzt. Die Köderseite fordert das Opfer auf, eine PermitSingle- oder PermitBatch-Nachricht zu signieren, häufig für einen Zeitraum von 30 Tagen oder unbegrenzt. Die meisten Wallets zeigen dies deutlich an, aber die Nachricht ist komplex, und Nutzer, die daran gewöhnt sind, sich durch Swaps zu klicken, bestätigen auch solche Genehmigungen.
Warum permit2 gefährlich ist: Die signierte Genehmigung kann eine Liste der Token enthalten, die der Nutzer hält und die der Drainer über öffentliche RPC-Aufrufe ermittelt hat. Nach der Signatur kann der Drainer transferFrom über permit2 aufrufen und alle freigegebenen Token in einer einzigen Transaktion abziehen, selbst wenn der Nutzer zuvor nicht mit diesen Token interagiert hat. „Widerrufen Sie danach die permit2-Freigabe“ ist technisch korrekt, doch der Abfluss erfolgt im selben Block wie der Klick auf den Phishing-Köder.
Session-Key-Drains bei Smart Accounts
Smart Accounts, darunter Safe{'{Wallet}'} und ERC-4337-Kontoabstraktionen, unterstützen Sitzungsschlüssel: begrenzte, zeitlich befristete Autorisierungen, mit denen eine dapp im Namen des Nutzers eine festgelegte Reihe von Aktionen ausführen kann. Drainer, die auf Smart Accounts abzielen, versuchen Nutzer dazu zu bringen, eine Sitzungsschlüssel-Freigabe zu signieren, deren Umfang auf „alles für 24 Stunden“ oder „unbegrenzt für diese Sitzung“ gesetzt ist. Die Wallet-Benutzeroberfläche kann dies als lange Liste von Berechtigungen darstellen, die der Nutzer akzeptiert, um „die dapp zu verwenden“.
Der anschließende Abfluss ist verheerend: Eine einzige UserOperation kann die execute-Funktion des Smart Accounts in einer Schleife aufrufen und sämtliche darin gehaltenen Vermögenswerte aus allen Token-Klassen abziehen, noch bevor der Nutzer den Tab schließt. Wenn der Nutzer schließlich ein Widerrufstool öffnet, wurden die Vermögenswerte bereits über drei Bridges weitergeleitet.
So sieht die Spur der Geldwäsche aus
Der Diebstahl ist nur die Hälfte der Aufgabe eines Drainers. Die andere Hälfte besteht darin, die Gelder schnell unauffindbar zu machen, bevor Börsen sie einfrieren oder Analyseunternehmen sie kennzeichnen. Der Geldwäsche-Stack des Jahres 2026 besteht aus mehreren Schichten.
Die erste Schicht ist der Sprung über Verträge. Innerhalb weniger Sekunden nach dem Abfluss werden die gestohlenen ETH oder SOL durch eine Reihe vom Angreifer kontrollierter Verträge verschoben. Jeder Vertrag entpackt, tauscht und verpackt die Vermögenswerte neu, häufig über Uniswap v3, v4 oder einen Fork auf EVM-Chains sowie über Raydium oder Jupiter auf Solana. Jeder Sprung unterbricht die einfache Spur „Gelder flossen von A nach B“, der grundlegende Explorer folgen können.
Die zweite Schicht besteht aus einer Cross-Chain-Bridge oder einem Swap-basierten Mixer. Bridges wie Wormhole, LayerZero und Stargate sind trotz ihrer eigenen On-Chain-Analysen weiterhin verbreitet. Swap-basierte Mixer, die durch wiederholte kleine Swaps über viele Pools hinweg die Nachverfolgbarkeit erschweren, haben Tornado Cash bei SOL-Drains weitgehend ersetzt. Einige Drainer nutzen gezielt THORChain oder ähnliche Cross-Chain-Swap-Protokolle, weil diese auf verschiedenen Chains in unterschiedlichen Vermögenswerten abrechnen, was die Zuordnung erschwert.
Die dritte Schicht ist die Auszahlung. Letztlich landen die Gelder bei OTC-Desks, zentralisierten Börsen ohne KYC oder direkt bei Stablecoin-Bankauszahlungsdiensten mit laxen KYC-Prüfungen. Ein erheblicher Anteil der Erlöse aus Drainer-Angriffen von 2024–2025 gelangte zu außerbörslichen Dienstleistern in Rechtsordnungen mit schwacher AML-Durchsetzung und anschließend auf Fiat-Bankkonten in Rechtsordnungen mit strengeren KYC-Vorgaben, wo die Gelder nicht mehr von rechtmäßig erworbenem Vermögen zu unterscheiden sind.
Für das Opfer ist die praktische Folge verheerend: Das 30-Sekunden-Fenster zwischen der Signatur der bösartigen Nachricht und dem Zeitpunkt, an dem die Vermögenswerte nicht mehr nachverfolgbar sind, ist kürzer als die Zeit, die man benötigt, um eine Schaltfläche zum „Widerrufen“ zu finden und anzuklicken. Bis ein Mensch reagieren kann, sind die Gelder bereits gewaschen.
Praktische Konsequenzen für Ihre Wallet
Die erste Konsequenz lautet, dass „danach widerrufen“ inzwischen nur noch der letzte Ausweg und keine primäre Schutzmaßnahme ist. Betrachten Sie jede Wallet-Signatur und nicht nur jede On-Chain-Freigabe als den gefährlichen Moment. Wenn Sie nicht verstehen, was ein Wallet-Pop-up von Ihnen zur Signatur verlangt, schließen Sie den Tab. Ein verpasster Mint kostet nichts. Eine falsche Signatur kostet Sie Ihre Wallet.
Die zweite Konsequenz lautet, dass Wallets nicht alle gleich gut vor Drainern schützen. Hardware-Wallets und moderne Smart-Contract-Wallets, die jede Signatur simulieren und menschenlesbare Zusammenfassungen typisierter EIP-712-Daten anzeigen, also des strukturierten Signaturformats, das von permit, permit2 und den meisten dapps verwendet wird, erkennen mehr Drainer als ältere Wallets, die rohe Transaktions-Calldata anzeigen. Bevorzugen Sie bei ETH Wallets, die EIP-712 in klarer Sprache entschlüsseln. Bevorzugen Sie bei SOL Wallets, die das Zielprogramm und alle Token-Konten anzeigen, auf die eine Transaktion zugreifen wird.
Die dritte Konsequenz lautet, dass Transaktionssimulationen nicht mehr optional sind. Die führenden Wallets simulieren inzwischen jede Transaktion anhand eines geforkten Zustands und warnen, wenn die Simulationsergebnisse von der sichtbaren Absicht abweichen, etwa „Sie sind dabei, einem Vertrag, der nicht USDC ist, unbegrenzten Zugriff auf USDC zu gewähren“. Nutzer, die Simulationswarnungen aktivieren, erkennen einen erheblichen Teil der Drainer vor der Signatur. Nutzer, die diese Warnungen ignorieren, tun dies nicht.
Die vierte Konsequenz lautet, dass Disziplin im Umgang mit Köderseiten wichtiger denn je ist. Die Phishing-Websites sind gut gemacht. Sie sehen wie die echten dapps aus. Die einzigen zuverlässigen Signale ergeben sich aus dem Kontext: Wurde dieser Link von einem verifizierten Konto geteilt, haben Sie die URL selbst aufgerufen und ist die Domain der dapp eine, die Sie bereits verwendet haben? Skepsis ist eine Funktion, kein Fehler.
So verfolgen Sie Nachrichten über Wallet-Drainer auf intelligente Weise
Drainer-Kits entwickeln sich rasant weiter. Jedes Quartal kommen neue Genehmigungsmechanismen, neue Lockmuster und neue Geldwäscherouten hinzu. Der Zeitraum zwischen „Kit veröffentlicht“ und „erste Opfer ausgeraubt“ wird inzwischen in Tagen gemessen. Dies über Telegram-Kanäle, X-Feeds, GitHub-Repositories und On-Chain-Analyse-Dashboards hinweg manuell zu verfolgen, ist für einzelne Nutzer ein aussichtsloses Unterfangen. Zippfeed stellt Schlagzeilen zu Krypto-Wallet-Drainern und Sicherheit mit einer Stimmungsbewertung (bullish, neutral oder bearish) sowie einer Wichtigkeitsbewertung bereit. So können Sie den nächsten Exploit eines Genehmigungsmechanismus erkennen, bevor er in Ihrer Timeline auftaucht.
CoinDesk
CoinTelegraph
Crypto Rank News
