🔍 Wie Wallet-Drainer funktionieren und warum sie gefährlich sind
Drainer, kurz für wallet drainers, sind bösartige Toolkits, die Nutzer dazu bringen, riskante Transaktionen zu signieren, und anschließend Tokens oder NFTs sofort auf Adressen der Angreifer abziehen. Gefälschte Websites, falsche Airdrops und dApp-Klone lassen die Aktion harmlos wirken; der Diebstahl passiert in dem Moment, in dem im Wallet auf „Bestätigen“ geklickt wird.
Dieser Artikel erklärt systematisch, wie Drainer funktionieren, welche Haupttypen es gibt (Ethereum, Solana und andere), welche Angriffsszenarien besonders häufig sind, welche realen Fälle wie Monkey, Inferno, Pink oder Angel Drainer bekannt wurden, welche rechtlichen Risiken Autoren und Affiliates tragen und wie Nutzer ihre Wallets praktisch schützen können. Fachbegriffe werden beim ersten Auftreten erklärt.
🧠 Was ein „Drainer“ ist und wie er funktioniert
Drainer (Wallet Drainer): ein Softwarepaket, das Wallets „leerzieht“. Meist ist es ein Skript auf einer Phishing-Seite und/oder ein Smart Contract, der nach deiner Signatur Vermögenswerte an eine vom Angreifer kontrollierte Adresse verschiebt. Er hackt nicht die Blockchain, sondern bringt dich dazu, die Transaktion zu autorisieren.
Phishing-dApp: eine Website, die sich als legitimer Web3-Dienst ausgibt, etwa Börse, Mint oder Airdrop. Sie verbindet dein Wallet und schiebt eine Falle unter, zum Beispiel ein pauschales approve/setApprovalForAll oder einen versteckten Transfer.
Ice Phishing: eine Phishing-Variante, bei der das Opfer die Aktionen des Angreifers selbst autorisiert, also Berechtigungen oder Transfers freigibt, ohne den Hinweis im Transaktionstext zu erkennen.
Fall: Diebstahl einer NFT-Sammlung mit einer einzigen Signatur. Betrüger führten einen Monat lang „Verhandlungen“ im Namen eines Produktionsstudios und boten an, einen Teil der NFTs zu „lizenzieren“. Der Link führte zu einem Pseudo-Dienst für die „Vertragsunterzeichnung“. Nach dem Verbinden des Wallets und der Bestätigung der „Lizenz“ übertrug der Drainer alle 14 NFTs; als „Gegenleistung“ blieb nur ein Tokenbetrag im Centbereich an die Adresse der Angreifer.
🧭 Typische Angriffsmuster
- Köder. Klon einer beliebten Website, „exklusiver Airdrop/Mint“, gefälschte Landingpage oder täuschend ähnliche Domain.
- Traffic. Such- und Social-Ads, Massenposts, Bots oder kompromittierte offizielle Projektkonten.
- Wallet-Verbindung. Die Phishing-dApp bittet darum, eine Aktion zu „bestätigen“, reicht aber tatsächlich ein approve/setApprovalForAll oder einen direkten Asset-Transfer ein.
- Diebstahl und Verschleierung. Gelder werden sofort aufgeteilt und auf neue Adressen bewegt; häufig wechseln die Täter Chains und Contracts, um die Analyse zu erschweren.
Häufig verwendete Techniken
- 🎁 Airdrop/NFT-Drop. „Hol dir deinen Bonus“ ist der klassische Dringlichkeitsauslöser.
- 🧑💻 Kompromittierte Social-Accounts. Ein „offizieller“ Link von einer Marke oder einem Influencer wirkt überzeugend.
- 🔎 Suchanzeigen. Gefälschte Seiten stehen bei heißen Suchanfragen oft über den Originalen.
- 🎭 Social Engineering. Lange „Verträge“, falsche Dokumente, „Verhandlungen“ und manuelle Vorarbeit senken die Wachsamkeit.
🧩 Varianten und Zielplattformen
💻 Ethereum-Drainer
- ⚙️ Mechanik: gefährliche approve/permit-Freigaben für ERC-20 oder setApprovalForAll für NFTs, wonach der Angreifer die Assets selbst abzieht.
- 🎯 Ziele: hochwertige Tokens, liquide NFTs und „Rechte an einer Sammlung“.
- 🧪 Ausprägungen: Multi-Chain-Kits für Ethereum, BSC, Polygon, Arbitrum und weitere Netzwerke.
✅ Stärken aus Sicht des Angreifers
- 🔹 Große Zahl potenzieller Opfer und viele Marken, die sich klonen lassen.
- 🔹 Viele „legitime“ Vorwände für Signaturen: Mints, Farming, Airdrops.
❌ Schwachstellen aus Sicht der Verteidigung
- 🔻 On-Chain-Nachverfolgbarkeit und die Möglichkeit, Berechtigungen schnell zu revoke.
- 🔻 Phishing-Filter in Wallets und Browser-Erweiterungen zur Transaktionsanalyse.
In EVM-Netzwerken ist das Risiko hoch, weil das Ökosystem reich und das Signieren alltäglich ist. Disziplinierte Revokes und „Transaktionsübersetzer“-Erweiterungen senken die Angriffsfläche deutlich.
⚡ Solana-Drainer
- 🔐 Signatur: Transaktionen für SOL- oder Token-Transfers; manche Varianten versuchen, die Seed Phrase abzufragen. Sie darf niemals außerhalb der offiziellen Wallet-App eingegeben werden.
- 🧰 Kits: fertige Generatoren für Phishing-Seiten, Mint-Vorlagen und Skripte zur „Berechtigungsprüfung“.
- 📉 Schaden: Der durchschnittliche Betrag ist niedriger als auf Ethereum, aber das Angriffsvolumen wächst mit der Popularität des Ökosystems.
Andere Transaktionsformate schützen nicht vor Social Engineering. Das Verhalten des Nutzers bleibt die wichtigste Verteidigung.
🌐 Wichtige Drainer-Services und ihre Größenordnung
Es hat sich ein ausgereifter Scam-as-a-Service-Markt gebildet: Entwickler verkaufen oder vermieten Drainer-Kits, während Affiliates Phishing-Kampagnen betreiben. Das Grundmodell besteht aus Einstiegsgebühr plus Anteil an jedem Diebstahl; alternativ werden modulare Kits einmalig verkauft.
| 📛 Name | 📆 Aktivitätszeitraum | 💰 Größenordnung | ⚙️ Modell | ⭐ Besonderheiten |
|---|---|---|---|---|
| 🐒 Monkey Drainer | 2022-2023 | Zehn Millionen USD und mehr tausende Opfer |
Affiliate-Provision | Einer der ersten „Drainer-as-a-Service“-Anbieter Fokus auf NFTs |
| 🔥 Inferno Drainer | 2023 | Sehr große Beutezüge hunderttausende Opfer |
20-30% Gebühr schlüsselfertiger Service |
Tausende Phishing-Domains Multi-Chain-Ansatz |
| 🎀 Pink Drainer | 2023-2024 | Gesamtsummen nahe 100 Mio. USD kumuliert |
Affiliate-Provision | Kompromittierte Brand- und Influencer-Accounts glaubwürdige Links |
| 👼 Angel Drainer | 2023-heute | Einzelfälle hunderttausende USD in wenigen Stunden |
Einstiegsgebühr + Revenue Share | Aktive Beteiligung des Teams an Angriffen kompromittierte Widgets und Integrationen |
| 💻 MS Drainer | 2023-2024 | Zehn Millionen USD und mehr zehntausende Opfer |
Kit-Verkauf Fixpreis + Module |
Massiver Missbrauch von Suchanzeigen bezahlter Traffic |
🧱 Die „Ökonomie“ des Drainer-Markts
- 💸 Finanzierung: Revenue Share aus der Beute motiviert Autoren, Infrastruktur für Affiliates bereitzustellen; Einmalverkäufe zu Festpreisen senken die Einstiegshürde.
- 🧩 Module: Website-Klone, massenhafte Domain-Erzeugung, Integration populärer Wallets und automatische Auswahl der wertvollsten Assets.
- 🔄 Markenrotation: „Shutdowns“ bedeuten oft Rebranding und Umzug in neue Kanäle und auf neue Domains.
Das Drainer-Ökosystem ist widerstandsfähig, weil die Einstiegshürde für Affiliates niedrig ist und Autoren hohe Renditen sehen. Schutz muss daher dauerhafte Disziplin sein, keine einmalige Kampagne.
⚖️ Rechtsstatus und Haftung
Erstellung, Verbreitung und Nutzung von Drainer-Kits sind Straftaten, etwa Betrug, unbefugter Zugriff und Beihilfe. „Ich habe nur den Code geschrieben“ schützt nicht: Das Bereitstellen eines Werkzeugs für Diebstahl kann selbst eine Straftat darstellen.
- 🏛️ Praxis: Identitäten von Autoren und Affiliates werden ermittelt; Rechtshilfeersuchen, OSINT und On-Chain-Analysen kommen zum Einsatz.
- 🧑⚖️ Risiken für Affiliates: Administratoren von Domains und Kanälen, Hosting-Anbieter und Media Buyer können ebenfalls in den Haftungsbereich fallen.
- 🧾 Projekt-Compliance: Marken brauchen Anti-Phishing-Prozesse: Kontrolle über Domains und Socials, signierte Mitteilungen, Blocklisten und schnelle öffentliche Klarstellungen.
🛡️ So schützt du dich: praktische Tipps
Gib Seed Phrase und private Schlüssel nur in der offiziellen App deines Wallets ein. Jede Webform oder jeder „Supportdienst“, der nach einem Seed fragt, ist Betrug.
- 🧳 Getrennte Wallets. Ein Arbeits-Wallet für dApp-Experimente mit minimalem Guthaben für Gebühren und ein separates Spar-Wallet, idealerweise cold. Wertvolle Assets regelmäßig aus dem Arbeits-Wallet entfernen.
- 🔍 Adresse und Quelle prüfen. Nicht auf Anzeigen klicken; Adresse manuell eingeben oder Lesezeichen nutzen. Domain Buchstabe für Buchstabe prüfen, denn ähnlich aussehende Zeichen sind ein häufiger Trick.
- 📜 Anfrage lesen. Vor dem Signieren genau prüfen, was die Seite verlangt: pauschales approve, setApprovalForAll oder Transfer sind Warnsignale.
- 🧩 Transaktionsübersetzer. Erweiterungen nutzen, die in verständlicher Sprache erklären, was nach der Signatur passiert, und vor Phishing warnen.
- 🚫 Approvals widerrufen. Zuvor erteilte Token- und NFT-Berechtigungen regelmäßig prüfen und zurückziehen, besonders nach der Interaktion mit fragwürdigen dApps.
- 🔒 Gerätehygiene. Wallets und Browser aktuell halten, Anti-Phishing-Listen nutzen, Autorun von Inhalten und nicht vertrauenswürdige Erweiterungen vermeiden.
- 🧠 Psychologie. Nicht auf Dringlichkeit hereinfallen: „nur heute“ oder „erste 500“ sind Standardtricks. Pausieren und Nachrichten bei der Originalquelle prüfen.
❓ FAQ
Kann ein Antivirus einen Drainer auf einer Website erkennen?
Gibt es eine Chance, gestohlene Tokens oder NFTs zurückzubekommen?
✅ Fazit
Drainer-Services bilden ein reifes kriminelles Ökosystem des „Betrugs als Service“. Ihre Stärke liegt nicht darin, Smart Contracts zu brechen, sondern menschliche Eile und Vertrauen in bekannte Marken und Oberflächen auszunutzen.
Gegenmaßnahmen ruhen auf drei Säulen: Verhaltenshygiene durch Vorsicht und Prüfung, technische Werkzeuge wie Erweiterungen, Revokes und getrennte Wallets sowie Maßnahmen auf Projektseite wie Anti-Phishing-Disziplin und schnelle öffentliche Warnungen.