KI-Deepfake-Krypto-Betrug: So schützt du dich

Was ein AI Deepfake Crypto Scam tatsächlich ist

Ein AI Deepfake Crypto Scam ist ein Betrug, der einen generativen AI-Klon einer realen Person nutzt, meist eines Gründers, Managers oder Influencers, um ein Opfer dazu zu bringen, Kryptowährung zu senden, eine schädliche Wallet-Signatur zu genehmigen oder eine Seed Phrase preiszugeben. Der Klon kann ein Video, eine Audiostimme oder beides sein und wird zunehmend in Echtzeit während eines Live-Gesprächs eingesetzt, statt als vorab aufgezeichneter Clip.

Diese Kategorie existiert theoretisch seit Jahren, hat sich aber 2024 und 2025 von Forschungsdemos zu echten Angriffen entwickelt. Zwei Dinge änderten sich gleichzeitig. Erstens wurden die Open-Source-Modelle für Face Reenactment und Sprachsynthese günstig und gut. Zweitens hinterließen Crypto Twitter, X Spaces, YouTube-Livestreams und Projekt-AMA-Calls riesige öffentliche Archive von sprechenden Gründern. Dieses Material ist die Trainingsgrundlage.

In diesem Artikel geht es nicht darum, dir allgemein Angst vor Deepfakes zu machen. Er erklärt den tatsächlichen Angriffsablauf, den echte Opfer beschrieben haben, zeigt, welche Signale leicht zu fälschen sind und welche nicht, und vermittelt dann eine prozedurale Gewohnheit, die diese ganze Kategorie gegen dich wirkungslos macht. Wenn du dir nur eine Sache merkst, dann die Regel der Out-of-Band-Verifizierung am Ende.

Die realen Risiken: Was Opfer tatsächlich verlieren

Vor den Mechanismen hilft es zu verstehen, was schiefgeht, wenn Menschen getäuscht werden. Das Muster ist konsistent, weil der Angriff auf Dringlichkeit, Autorität und eine einzige irreversible Handlung ausgerichtet ist.

Live-Einzelgespräche

Die teuerste Variante ist das Live-Einzelgespräch. Eine Zielperson, oft ein früher Mitwirkender an einem kleineren Projekt, erhält eine Direktnachricht von jemandem, der behauptet, ein bedeutender Gründer zu sein und Mentoring oder einen Deal anzubieten. Sie wechseln zu einem Zoom- oder Telegram-Anruf. Video und Stimme der anderen Partei sind ein Deepfake. Das Gespräch wird in Richtung einer Wallet-Signatur gelenkt, die wie eine normale Genehmigung aussieht, tatsächlich aber eine Token-Allowance leert. Die Zielperson signiert. Die Gelder sind innerhalb von Minuten weg, und On-Chain-Rückabwicklungen sind fast nie möglich.

Gefälschte Livestream-Giveaways

Die Massenmarkt-Variante ist ein gefälschter Livestream. Betrüger übernehmen entweder einen echten YouTube-Kanal, kaufen ein verifiziert wirkendes X-Konto oder senden eine gestohlene Aufnahme eines echten Gründers erneut. Der Gründer erscheint auf dem Bildschirm und sagt, dass jeder, der BTC oder ETH an eine Wallet-Adresse sendet, den doppelten Betrag zurückerhält. Die Adresse wird vom Betrüger kontrolliert. Berichte von Chainalysis und On-Chain-Ermittlern haben wiederholt gezeigt, dass solche Aktionen in einem einzigen mehrstündigen Stream fünf- bis siebenstellige Beträge einbringen können.

Reine Voice-Angriffe auf Teams

Voice Cloning wurde genutzt, um Mitarbeitende von Crypto-Projekten anzurufen, meist in Finanz- und Operations-Rollen, wobei ein Gründer oder ein Lead Investor imitiert wurde. Der Anrufer fordert eine dringende Überweisung, eine Treasury-Bewegung oder eine vorzeitige Token-Freigabe. Weil die Stimme stimmt und die Anfrage zu einem plausiblen internen Ablauf passt, handelt der Mitarbeiter. Solche Fälle wurden bei mindestens zwei börsennotierten crypto-nahen Unternehmen gemeldet, mit Verlusten in Millionenhöhe pro Vorfall.

Der gemeinsame Nenner in allen drei Fällen ist, dass das technische Erkennungsproblem schwierig ist und noch schwieriger wird. Die prozedurale Verteidigung ist dieselbe und wird einfacher. Darauf kommen wir zurück.

Wie Betrüger einen überzeugenden Imitator erstellen

Die technische Pipeline für einen Eins-zu-eins-Deepfake-Betrug ist zugänglicher, als die meisten Menschen erwarten. Man braucht keinen staatlichen Akteur. Man braucht Geduld, ein paar Open-Source-Tools und eine Zielperson, die seit ein paar Jahren öffentlich gesprochen hat.

Beschaffung des Trainingsmaterials

Der erste Schritt besteht darin, öffentliche Audio- und Videoaufnahmen der Zielperson zu sammeln. Die Liste der Quellen ist lang und Angreifern gut bekannt. X Spaces und Twitter Spaces-Audio, YouTube-Interviews und AMAs, Konferenzvorträge auf YouTube und Rumble, Podcast-Auftritte, alte Google Meet-Aufzeichnungen, die über einen öffentlichen Link hochgeladen wurden, sowie TikTok- oder Instagram-Clips. Selbst Podcasts, in denen der Gründer nur zehn Minuten auftritt, liefern nützliche Daten, weil Sprachmodelle mit Stunden trainieren, nicht mit Minuten, und jede zusätzliche Stunde die Genauigkeit erhöht.

Das Ergebnis ist, dass jeder Gründer, der seit zwei oder mehr Jahren öffentlich präsent ist, in der Praxis bereits über der Datenschwelle liegt, die für einen brauchbaren Klon nötig ist. Die Grenzkosten, um von brauchbar zu hervorragend zu kommen, bestehen hauptsächlich aus Rechenleistung und Zeit.

Pipeline für Stimmklonen

Mit etwa dreißig Sekunden sauberer Sprache kann moderne Sprachsynthese einen wiedererkennbaren Klon erzeugen. Mit drei bis fünf Stunden sauberer Sprache wird der Klon interaktiv, das heißt, er kann mit geringer Latenz auf Live-Eingaben reagieren. Open-Source-Projekte im Bereich offener Sprachsynthese plus eine einzelne Consumer-GPU reichen aus, um ein Modell feinzujustieren, das in einem normalen Telefonat standhält.

Interaktive Latenz ist wichtig, weil das Opfer bei einem Live-Angriff unerwartete Fragen stellen wird. Ein vorab aufgezeichneter Clip bricht in dem Moment zusammen, in dem das Opfer vom Skript abweicht. Ein interaktives Sprachmodell tut das nicht.

Echtzeit-Video-Deepfake in Live-Anrufen

Für Live-Video verwenden Angreifer Face-Reenactment-Pipelines, die das Gesicht einer Zielperson in Echtzeit anhand der Mimik eines anderen Darstellers steuern. Der Angreifer steuert die Puppe über seine eigene Webcam. Auf dem Bildschirm des Opfers spricht das geklonte Gesicht mit der geklonten Stimme, mit einer Lippensynchronität, die bei normaler Beleuchtung auf einer Laptopkamera gut genug ist.

Die Tools dafür erforderten früher eine leistungsstarke Workstation. Heute laufen sie auf einem Mittelklasse-Gaming-Laptop. Die verbleibenden Schwachstellen sind Beleuchtung, die nicht zur ursprünglichen sprechenden Person passt, gelegentliche Mundartefakte sowie Brillen oder Accessoires, auf die das Modell nicht trainiert wurde. Angreifer umgehen das meiste davon, indem sie Material mit gleichmäßiger Beleuchtung und ohne Accessoires auswählen.

Social Engineering obendrauf

Nichts davon funktioniert ohne ein Skript. Die technische Seite beeindruckt Menschen, aber was den Betrug zum Abschluss bringt, ist Social Engineering. Der Angreifer wählt ein Ziel aus, studiert dessen öffentliche Beiträge und wählt einen plausiblen Vorwand. Der falsche Gründer braucht einen Grund, diese Person zu diesem Zeitpunkt wegen dieser Sache zu kontaktieren. Häufige Vorwände sind eine frühe Zuteilung für ein Stealth-Projekt, ein Treasury-Vorschlag, der eine Signatur benötigt, eine dringende Sicherheitsmeldung oder ein persönlicher Gefallen.

Der Vorwand ist der Teil, den die AI dem Angreifer nicht abnehmen kann. Er ist auch der Teil, der auf der Verteidigerseite am besten kontrollierbar ist, weil genau hier die Regel der Verifizierung über einen zweiten Kanal greift.

Wo man diesen Angriffen in freier Wildbahn begegnet

Die Auslieferungskanäle sind wichtig, weil jeder andere Erkennungseigenschaften und andere Plattformreaktionen hat.

Zoom, Google Meet und Telegram-Anrufe

Ende-zu-Ende-verschlüsselte Videoanrufe sind für Plattformen am schwersten zu überwachen, weil die Plattform die Pixel nie so sieht, wie ein externer Beobachter sie sehen würde. Ein Eins-zu-eins-Zoom zwischen zwei einwilligenden Teilnehmern ist für Zoom selbst im Wesentlichen undurchsichtig. Die Verteidigung liegt vollständig beim Menschen im Anruf.

X Spaces und Twitter Spaces-Audio

Audio-only Spaces sind zu einem Jagdrevier geworden. Spaces sind live, größtenteils unmoderiert und mit einem Stimmklon leicht zu fälschen, weil es kein Video zum Vergleich gibt. Betrüger treten legitimen Spaces als Co-Hosts mit einer geklonten Stimme bei, platzieren einen schädlichen Link als angehefteten Tweet oder in der Space-Beschreibung und verschwinden. Der Space endet und der angeheftete Link wird weiterhin in der Suche gelistet.

YouTube- und X-Livestreams

Livestream-Giveaways sind die Variante mit dem höchsten Volumen. Angreifer kaufen entweder einen Kanal, der zuvor ein legitimes Gründer-Event gestreamt hat, oder sie schneiden gestohlenes Material zusammen und senden es mit einem neuen Overlay erneut. Der angeheftete Kommentar und der QR-Code auf dem Bildschirm verweisen beide auf die Wallet des Betrügers. Die Erkennung durch YouTube und X ist reaktiv, das heißt, Streams werden erst entfernt, nachdem Zuschauer sie gemeldet haben. Deshalb klicken die meisten Opfer in der ersten Stunde eines Streams.

Direktnachrichten auf X und Telegram

DMs sind der Einstiegspunkt. Fast jeder Live-Call-Betrug beginnt mit einer DM, die das Konto eines Gründers nachahmt, manchmal durch einen subtilen Handle-Tausch, manchmal durch eine echte Kontoübernahme, manchmal durch eine bezahlte Promotion eines gefälschten Kontos. Von dort drängt der Angreifer das Ziel in einen privaten Kanal, in dem der Deepfake entscheidend wird.

Was Plattformen erkennen und was nicht

Es lohnt sich, bei Plattformschutzmaßnahmen konkret zu sein, denn sie zu überschätzen ist selbst ein Risiko.

Erkennung durch die Plattform

YouTube und X scannen hochgeladene und Live-Inhalte mit einer Mischung aus Hashing und modellbasierten Detektoren auf bekannte Deepfake-Artefakte. Sie entfernen gemeldete Imitator-Konten außerdem schnell, wenn sie gemeldet werden. Ihre Schwäche ist die Latenz. Ein Livestream, der um zwölf Uhr mittags startet, kann erhebliche Gelder einsammeln, bevor ein menschlicher Prüfer ihn um 12:40 entfernt.

Zoom und Google Meet führen keine Deepfake-Erkennung in privaten Anrufen durch. Sie verlassen sich auf Meldungen der Teilnehmer und forensische Analysen nach dem Vorfall. Verschlüsselte Peer-to-Peer-Anrufe geben der Plattform schlicht keine Möglichkeit einzugreifen.

Kontoverifizierung schützt dich nicht

Ein blauer Haken oder ein anderes Verifizierungsabzeichen einer Plattform ist keine Garantie dafür, dass die Person hinter dem Konto die ist, die sie vorgibt zu sein. Verifizierung sagt dir, dass das Konto einmal bemerkenswert war. Sie beweist nicht, dass der Mensch an der Tastatur der Mensch auf dem Foto ist. Kontoübernahmen echter verifizierter Konten passieren regelmäßig. Bezahlte Verifizierung auf X hat Imitation in der Praxis leichter gemacht, nicht schwerer.

AI-Wasserzeichen sind noch keine zuverlässige Verteidigung

Mehrere Modellanbieter betten unsichtbare Wasserzeichen in ihre generierten Ausgaben ein. Wasserzeichen sind nützlich, um Entfernung nachträglich durchzusetzen, aber sie schützen dich nicht während eines Live-Angriffs. Ein motivierter Angreifer kann ein Wasserzeichen entfernen, ein Open-Source-Modell verwenden, das keines einbettet, oder das Modell einfach lokal ausführen. Betrachte Wasserzeichen als forensisches Werkzeug für Plattformen, nicht als Schutzschild für Nutzer.

Die Regel der Verifizierung über einen zweiten Kanal

Hier ist die Gewohnheit, die diese gesamte Angriffskategorie neutralisiert. Sie ist prozedural, kostet dich pro Anfrage etwa sechzig Sekunden und funktioniert unabhängig davon, wie gut der Deepfake wird.

Die Regel

Wenn dich jemand über einen Kanal kontaktiert, egal ob X DM, Telegram, Zoom, E-Mail oder Telefon, und dich auffordert, etwas zu tun, das Geld bewegt oder eine Transaktion signiert, behandle diesen Kanal standardmäßig als kompromittiert. Handle nicht auf die Anfrage in diesem Kanal. Lege auf, verlasse den Chat oder beende den Anruf. Nimm dann über einen zweiten Kanal Kontakt auf, dem du bereits vertraust, und nutze eine Kontaktmethode, die du schon hattest, bevor die Anfrage einging.

Wenn dir ein Gründer auf X eine DM schickt und dich auffordert, einen Treasury-Vorschlag zu signieren, beendest du die DM und schreibst an die bekannte Arbeitsadresse des Gründers, rufst seine bekannte Telefonnummer an oder sendest eine Nachricht an seinen verifizierten Telegram-Handle aus deiner bestehenden Kontaktliste. Wenn dich ein sogenannter Lead-Investor auf Telegram anruft, legst du auf und rufst die Nummer auf der Website seiner Firma an.

Wenn du die Person nicht unabhängig über einen zweiten Kanal erreichen kannst, scheitert die Anfrage. Das ist die ganze Regel.

Warum sie selbst gegen perfekte Deepfakes funktioniert

Der Angreifer kann ein Gesicht, eine Stimme und einen Schreibstil klonen. Er kann nicht gleichzeitig auf zwei voneinander unabhängigen Kanälen sein und sich als dieselbe Person ausgeben, ohne beide Seiten vorher vorzubereiten. Wenn du immer Kontakt über einen Kanal verlangst, den der Angreifer nicht initiiert hat, ist der Angreifer gezwungen, auch diesen zweiten Kanal zu kompromittieren. Das ist ein viel schwierigeres Problem und erfordert normalerweise entweder das Stehlen deiner Kontaktliste oder das Kompromittieren eines Geräts, beides lässt sich separat erkennen.

Was es dich kostet

Es kostet dich einen zusätzlichen Schritt pro sensibler Anfrage. Bei Routineanfragen, etwa einer DM von einem Kollegen, der Hallo sagt, ist das in Ordnung. Bei allem, was eine Wallet-Signatur, eine Überweisung, eine Treasury-Bewegung, eine frühe Zuteilung oder eine Seed Phrase umfasst, ist der zusätzliche Schritt der Eintrittspreis. Die meisten Menschen, die durch Deepfake-Betrug geschädigt werden, haben diesen Schritt übersprungen, weil sich die Anfrage dringend anfühlte.

Praktische Gewohnheiten, die auf der Regel aufbauen

Die Out-of-Band-Regel ist die tragende Gewohnheit. Ein paar kleinere Gewohnheiten erleichtern es, sie konsequent anzuwenden.

Führen Sie eine private Kontaktliste

Bewahren Sie eine kleine Offline-Liste mit verifizierten Kontaktmöglichkeiten für Personen auf, die Sie auffordern können, Geld zu bewegen oder Transaktionen zu signieren. Das kann ein Eintrag in einem Passwortmanager, eine verschlüsselte Notiz oder ein Notizbuch aus Papier sein. Entscheidend ist, dass Sie den Kontakt eines Founders niemals aus der DM entnehmen, die er Ihnen geschickt hat. Sie entnehmen ihn Ihren eigenen Aufzeichnungen.

Verwenden Sie Hardware-Wallets und explizites Signieren

Auf Wallet-Seite sollten Sie eine Hardware-Wallet verwenden und jede Signatur wie eine Transaktion behandeln, die Sie autorisieren möchten. Lesen Sie die menschenlesbare Nachricht auf dem Gerätebildschirm. Legen Sie Limits für Allowances fest. Ein Drainer kann nicht mehr bewegen als die Allowance, die Sie gewährt haben. Behandeln Sie unbegrenzte Genehmigungen genauso, wie Sie einen Fremden behandeln würden, der nach den Schlüsseln zu Ihrem Haus fragt.

Legen Sie eine persönliche Verzögerung für hochwertige Aktionen fest

Die meisten Deepfake-Betrugsmaschen hängen von Dringlichkeit ab. Der Anrufer sagt, die Treasury-Transaktion müsse sofort erfolgen, der Launch sei in einer Stunde, die Sicherheitsmeldung sei zeitkritisch. Machen Sie es zu Ihrer persönlichen Regel, dass alles oberhalb eines kleinen Schwellenwerts nicht innerhalb derselben Stunde stattfinden darf, in der es angefordert wurde. Dringlichkeit ist ein Merkmal des Angriffs, nicht eine Eigenschaft der legitimen Aufgabe.

Sprechen Sie offen mit Ihrem Team

Wenn Sie ein Projekt leiten, halten Sie öffentlich schriftlich fest, was Ihre Founder tun und was sie nicht tun werden. Wird Vitalik Buterin Ihnen jemals eine DM wegen eines Giveaways schicken? Nein. Wird ein CEO einer großen Exchange Sie auf Telegram anrufen, um einen persönlichen OTC-Trade zu arrangieren? Nein. Veröffentlichen Sie diese Normen, damit Ihr Team etwas hat, worauf es verweisen kann, statt sich auf ein Bauchgefühl zu verlassen.

Bleiben Sie KI-Imitationsversuchen einen Schritt voraus

KI-Deepfake-Krypto-Betrugsmaschen entwickeln sich schnell weiter, weil sich die zugrunde liegenden Modelle schnell weiterentwickeln und weil die öffentliche Präsenz von Krypto-Foundern Angreifern ein praktisch unbegrenztes Trainingsset liefert. Manuelle Wachsamkeit auf einem einzelnen Kanal ist ein verlorenes Spiel, denn bis Sie gelernt haben, ein bestimmtes Erkennungsmerkmal zu bemerken, hat die nächste Modellversion es bereits beseitigt. Zippfeed verfolgt Sicherheitsnachrichten und Berichte zu Betrugsmustern im gesamten Kryptobereich in Echtzeit, mit Sentiment-Scoring und einer Wichtigkeitsbewertung für jede Schlagzeile, damit Sie sehen können, welche Imitationstaktiken diese Woche kursieren, bevor sie Ihre DMs erreichen.