Wallet-Drainer 2026: So hat sich das Phishing weiterentwickelt

Was ein Wallet-Drainer 2026 tatsächlich ist

Ein Wallet-Drainer ist ein bösartiger Code, meist ein Smart Contract plus eine Phishing-Webseite, der dich dazu bringen soll, ihm die Erlaubnis zu erteilen, Vermögenswerte aus deiner Wallet zu transferieren. Die alte Version dieses Betrugs, die gefälschte Airdrop-Seite, die nach deiner Seed-Phrase fragte, ist heute weitgehend obsolet, weil jahrelange Warnungen den Nutzern eingebläut haben, diese zwölf Wörter nirgends online einzutippen.

Was sie ersetzt hat, ist deutlich ausgefeilter. Moderne Drainer-Kits werden in Dark-Web-Foren als Abo-Dienste verkauft, mit monatlichen Gebühren, Dashboards und Kundensupport für die Kriminellen, die sie mieten. Die Betreiber erhalten ein komfortables Admin-Panel, mit dem sie auswählen können, welche Tokens und NFTs angegriffen werden sollen, Approval-Limits festlegen und Einnahmen in Echtzeit verfolgen. Einige dieser Kits wurden in einer einzigen Kampagne eingesetzt, um Summen im neunstelligen Bereich zu stehlen.

Der Wandel ist relevant, weil sich das Nutzererlebnis verändert hat. Du musst nicht mehr hereingelegt werden, um deine Schlüssel herauszugeben. Es reicht, dich dazu zu bringen, auf "Signieren" zu klicken, wenn eine routinemäßige Bestätigung erscheint. Bis die Wallet erklärt hat, was gerade passiert ist, hat der Drainer bereits eine Transaktion eingereicht, die deine Stablecoins, deine ETH, deine SOL oder deine wertvollsten NFTs abzieht.

Genau deshalb sieht die Bedrohungslandschaft 2026 anders aus als alles davor. Die Verteidigung lautet nicht mehr "Gib niemals deine Seed-Phrase weiter". Es ist eine längere, technischere Checkliste, die der Durchschnittsnutzer nie gelernt hat.

Warum alte Ratschläge nicht mehr schützen

Wenn dein mentales Modell von Krypto-Diebstahl lautet "jemand hat mich hereingelegt, meine Seed-Phrase einzutippen", verteidigst du dich gegen den Angriff von gestern. Drei Veränderungen haben diesen Rat unzureichend gemacht.

Erstens warnen Hardware-Wallets und moderne Software-Wallets inzwischen lautstark, wenn eine Seite Seed-Eingaben verlangt. Die Drainer-Ökonomie hat darauf reagiert, indem sie auf signaturbasierten Diebstahl umgestiegen ist, bei dem dein Gerät nie ein Geheimnis verlässt. Du signierst, was wie ein normaler Login oder Claim aussieht, und die Wallet zeigt eine vage Meldung über die "Interaktion mit einem Vertrag" an. Diese Vagheit ist der Angriff.

Zweitens nutzen die meisten legitimen Dapps inzwischen gebündelte Approvals, gaslose Signaturen und Off-Chain-Nachrichten, um das Nutzererlebnis reibungslos zu gestalten. Drainer nutzen dieselbe Infrastruktur. Aus Sicht der Wallet ist das Signieren einer Permit2-Nachricht nicht von der Signierung eines Uniswap-Angebots zu unterscheiden. Die Wallet kann ohne Einsicht in den Vertrag nicht erkennen, welche der beiden böswillig ist, und die meisten Wallets lesen den Vertrag nicht für dich.

Drittens haben die Angreifer ihre Social-Engineering-Maßnahmen Off-Chain verlagert. Die Phishing-Webseite ist nur die Eingangstür. Die eigentliche Manipulation passiert in DMs, Telegram-Gruppen, Discord-Servern und Suchmaschinenanzeigen, die dich auf einen überzeugenden Klon führen. Wenn du die bösartige Seite erreichst, bist du bereits darauf vorbereitet, ihr zu vertrauen.

Missbrauch von Permit- und Permit2-Signaturen

Permit ist ein Ethereum-Token-Standard (EIP-2612), mit dem du einen Vertrag autorisieren kannst, deine Tokens auszugeben, ohne Gas für die Genehmigungstransaktion zu zahlen. Permit2, vorangetrieben von Uniswap, verallgemeinert dies, sodass eine einzige Off-Chain-Signatur weitreichende Rechte über viele Tokens gleichzeitig gewähren kann.

Für ehrliche Nutzer ist das bequem. Für Drainer ist es ein Geschenk. Eine einzelne signierte Permit2-Nachricht kann sagen: „Erlaube dem Spender, eine beliebige Menge der aufgeführten Tokens zu bewegen, ohne Ablaufdatum“. Das Wallet zeigt etwas wie „Nachricht signieren“ mit einem langen Textblock, den die meisten Nutzer nicht lesen werden. Wenn der Nutzer auf Bestätigen klickt, kann das Backend des Drainers später die Permit-Funktion aufrufen und jederzeit Gelder abziehen, auch Tage später.

Die Gefahr wird dadurch verstärkt, was Wallets nicht anzeigen. Viele Wallet-Oberflächen zeigen abgeschnittene oder vereinfachte Versionen von Signaturen und können eine Permit2-Nutzlast nicht immer in „das erlaubt einem Fremden, dein USDC abzuziehen“ übersetzen. Einige Wallets haben begonnen, Warnungen für bekannte Permit2-Muster hinzuzufügen, aber die Abdeckung ist uneinheitlich, besonders auf Solana, wo ähnliches Off-Chain-Nachrichtensignieren anders funktioniert.

Abwehrgewohnheiten sind hier mechanisch. Behandle jede „Nachricht signieren“-Aufforderung, die nicht von einer dapp kommt, die du absichtlich verbunden hast, als rotes Flaggenzeichen. Lies die dekodierte Nutzlast, wenn dein Wallet sie anbietet. Für große Guthaben bevorzuge On-Chain-Genehmigungen mit einem bestimmten Betrag und kurzem Ablaufdatum und widerrufe sie, wenn du fertig bist.

Adressvergiftung im industriellen Maßstab

Adressvergiftung nutzt die Tatsache aus, dass Blockchains jedem erlauben, Tokens an jeden anderen für eine winzige Gebühr zu senden. Ein Drainer-Betreiber erzeugt tausende Wallet-Adressen, wählt solche, deren erste und letzte Zeichen mit den Adressen übereinstimmen, mit denen du kürzlich Transaktionen hattest, und sendet dir eine Dusting-Transaktion, die im Grunde nichts wert ist.

Du bemerkst den eingehenden Dust nicht. Wenn du später eine Adresse kopierst, um Geld zu senden, nimmst du die vergiftete aus deinem Transaktionsverlauf, weil die ersten sechs und letzten vier Zeichen identisch mit dem echten Empfänger aussehen. Die Überweisung geht durch und das Geld landet im Wallet des Angreifers.

Auf Ethereum sind die Kosten für die Erzeugung tausender solcher nachgeahmten Adressen und das Dusting inzwischen niedrig genug, dass Betreiber das als Hintergrundinfrastruktur betreiben, nicht als gezielte Kampagne. Auf Solana ist die Wirtschaftlichkeit noch günstiger, weil die Basis-Transaktionsgebühren Bruchteile eines Cents betragen und SPL-Token-Transfers noch günstiger sein können.

Die Gegenmaßnahme ist meist prozessual. Überprüfe immer die vollständige Adresse, nicht nur Präfix und Suffix. Nutze die Adressbuchfunktion deines Wallets, damit du von einem beschrifteten Kontakt kopierst, nicht aus einer Transaktionsliste. Sende bei hohen Beträgen zuerst eine kleine Testtransaktion. Erwäge Wallets, die eingehenden Dust von unbekannten Quellen markieren.

Von KI erzeugte Support-Imitation

Die menschlichste Schicht moderner Drainer-Angriffe ist die Imitation von Kundensupport. Betreiber streuen Discord-Server, Telegram-Gruppen und sogar X-Antworten mit Konten, die legitim aussehen: Profilbilder, die von echten Teammitgliedern kopiert wurden, realistische Namensvarianten und eine Geschichte hilfreicher Kommentare in themenfremden Threads.

Was sich 2025 und 2026 geändert hat, ist der Einsatz generativer KI. Stimmklone von Gründern wurden in Live-Telegram-Anrufen eingesetzt, um Nutzer zu überzeugen, dass ein „Support-Mitarbeiter“ echt ist. KI-generierte Video-Avatare erschienen in privaten DMs und gaben sich als Compliance-Personal großer Börsen aus. KI-Chatbots führen lange, geduldige Gespräche mit Opfern und begleiten sie durch den „Verifizierungs“-Prozess, der auf einer Drainer-Seite endet.

Der Grund, warum das funktioniert, ist, dass die Imitation geduldig ist. Der Angreifer muss dich nicht in dreißig Sekunden durch einen schlechten Link hetzen. Er kann Tage damit verbringen, in einem Discord-Server Vertrauen aufzubauen, dir dann per DM von einem falschen Airdrop erzählen und dich dann durch einen „Claim“-Prozess führen, der eine Permit2-Nachricht signiert. Wenn du die bösartige Seite erreichst, glaubst du, mit einem echten Mitarbeiter zu sprechen.

Die Verteidigung besteht darin, alle unaufgeforderten DMs standardmäßig als feindlich zu behandeln. Echte Support-Teams großer Projekte nehmen fast nie per DM Kontakt auf; sie verweisen dich auf ein Ticket-System oder eine offizielle E-Mail-Adresse. Wenn dich jemand zuerst anschreibt und behauptet, vom Support-Team eines Projekts zu sein, ist es mit überwältigender Wahrscheinlichkeit ein Betrug. Verifiziere über einen Kanal, den du selbst geöffnet hast, nicht über einen, den der Kontakt angegeben hat.

Bösartige Browser-Erweiterungen und Wallet-Schädlinge

Browser-Erweiterungen sind ein leiserer, aber wachsender Vektor. Das Muster ist einfach. Ein Angreifer klont oder skinnt eine legitime Wallet-Erweiterung, listet sie im Chrome- oder Firefox-Store mit ähnlichem Namen und Icon und wartet, bis Nutzer sie versehentlich installieren. Einmal installiert, kann die Erweiterung Adressen auf Webseiten umschreiben, Transaktionsdetails im Wallet-Popup austauschen oder Phishing-Verträge aufrufen, sobald der Nutzer sich verbindet.

Eine subtilere Variante schmuggelt sich in legitime Erweiterungen ein. Einige Drainer-Betreiber kaufen bestehende Erweiterungen mit wenigen Installationen, spielen ein bösartiges Update auf und lassen die bestehende Nutzerbasis automatisch in eine kompromittierte Version aktualisieren. Die Erweiterung scheint weiterhin normal zu funktionieren, sammelt aber nun signierte Nachrichten und leitet sie an vom Angreifer kontrollierte Server weiter.

Mobile Wallets stehen vor einem parallelen Risiko. Gefälschte Wallet-Apps erscheinen in App-Stores, manchmal kurzzeitig durch bezahlte Promotion ganz oben in den Suchergebnissen, und sie erzeugen Seed-Phrasen, die der Angreifer bereits kennt. Sobald der Nutzer die Wallet finanziert, werden die Vermögenswerte innerhalb weniger Minuten herausgeleitet.

Die Abwehr hier ist umgebungsbezogen. Installiere Wallet-Erweiterungen nur von den offiziellen Webseiten der Projekte, die du nutzen willst. Prüfe die Berechtigungen, die eine Erweiterung anfordert, und widerrufe alles, was nicht für Wallet-Operationen nötig ist. Verifiziere auf Mobilgeräten den Namen des Entwicklers, die Installationszahl und das Datum des letzten Updates, bevor du eine neue Wallet-App finanzierst.

Erste Hilfe: Was in den fünf Minuten nach einer schadhaften Signatur zu tun ist

Wenn Sie vermuten, etwas Schädliches signiert zu haben, entscheiden die nächsten Minuten darüber, wie viel Sie verlieren. Schnelligkeit ist wichtig, weil viele Drainer minuten- oder stundenlang abwarten, bevor sie auszahlen, in der Hoffnung, dass Sie es nicht bemerken.

Der erste Schritt ist, keine weiteren Interaktionen mit der Dapp vorzunehmen, die die Signatur erzeugt hat. Schließen Sie den Tab, trennen Sie Ihre Wallet von der Seite, falls diese Option noch verfügbar ist, und signieren Sie keine weiteren Transaktionen von der kompromittierten Wallet. Die nächste Signatur, die Sie leisten, könnte eine zweite Stufe sein, die Ihre Freigaben weiter aushebelt.

Der zweite Schritt ist, Ihre verbliebenen Vermögenswerte in eine saubere Wallet zu transferieren, die nie mit der verdächtigen Seite interagiert hat. Verwenden Sie, wenn möglich, eine Hardware-Wallet oder eine frisch eingerichtete Wallet, deren Seed-Phrase offline erzeugt wurde. Tun Sie dies aus der kompromittierten Wallet heraus und signieren Sie eine normale Übertragung (keine Freigabe) an die neue Adresse. Falls der Drainer bestimmte Token bereits entleert hat, priorisieren Sie diejenigen, die noch nicht abgezogen wurden.

Der dritte Schritt ist, Freigaben zu widerrufen. Auf Ethereum können Dienste wie revoke.cash jede jemals erteilte Freigabe Ihrer Wallet auflisten und On-Chain-Widerrufe ausführen lassen. Tun Sie dies aus der kompromittierten Wallet, bevor Sie sie in einen reinen Beobachtungsmodus überführen. Beachten Sie, dass das Widerrufen Gas kostet und Drainer manchmal den Mempool nach Widerrufen beobachten; transferieren Sie also zuerst Guthaben und widerrufen Sie anschließend.

Der vierte Schritt ist, die tatsächliche Transaktion oder die signierte Nachricht zu prüfen. Suchen Sie auf Etherscan oder Solscan die letzte Transaktion Ihrer Wallet und prüfen Sie, ob sie mit einem bekannten Drainer-Vertrag interagiert hat. Wenn Sie eine Permit2-Nachricht signiert haben, aber noch keine On-Chain-Transaktion erschienen ist, wartet der Drainer möglicherweise noch auf die Einreichung. Behandeln Sie jede unbestätigte signierte Nachricht als scharfe Munition.

Der fünfte Schritt ist, die betroffenen Projekte zu informieren. Falls der Drainer als bekanntes Protokoll aufgetreten ist, kontaktieren Sie dieses Protokoll über einen offiziellen Kanal, damit es andere Nutzer warnen kann. Melden Sie die schädliche Seite an Google Safe Browsing, den Wallet-Anbieter und an Chain-Analytics-Firmen, die Scam-Adressen veröffentlichen.

Wie Sie die neue Welle der Drainer-Berichterstattung kritisch lesen

Drainer-Berichte aus dem Jahr 2026 gibt es meist in zwei Ausprägungen. Die erste sind reißerische Schlagzeilen über eine einzelne Kampagne, die zig Millionen erbeutet, oft mit alten Screenshots und aufgeblähten Zahlen. Die zweite sind hochtechnische Post-Mortems von Sicherheitsfirmen, die Verträge benennen, aber das Social Engineering, das zur Signatur führte, nicht erklären.

Achten Sie auf die entscheidenden Details: Welcher Signaturtyp wurde missbraucht, welche Dapp wurde imitiert, welche Chain war betroffen und ist die Kampagne noch aktiv. Ignorieren Sie glatte Verlustsummen, sofern sie nicht aus einer verifizierbaren On-Chain-Wallet stammen, und ignorieren Sie Versprechen, ein „neues Tool“ mache Sie immun. Kein Tool ersetzt die grundlegende Disziplin, genau zu lesen, was Sie signieren.

Mit Zippfeed Wallet-Drainern einen Schritt voraus

Wallet-Drainer-Taktiken entwickeln sich wöchentlich weiter, und zu verfolgen, welche Signaturen, Chains und Imitationsmanöver gerade aktiv sind, ist eine Aufgabe für sich. Zippfeed zieht Krypto-Schlagzeilen aus dem gesamten Web zusammen, bewertet jede als bullish, neutral oder bearish und stuft sie nach Wichtigkeit ein, damit Sie neue Phishing-Muster und Sicherheitswarnungen erkennen, bevor sie Ihre Wallet erreichen. Nutzen Sie es, um den Puls der Krypto-Welt im Blick zu behalten, ohne jedem Forum-Thread hinterherjagen zu müssen.