Seed-Phrase-Diebstahl

Kurze Definition

Seed-Phrase-Diebstahl bezeichnet den Fall, dass Angreifer die Seed Phrase beziehungsweise Wiederherstellungsphrase einer Krypto-Wallet erlangen – etwa über Phishing-Websites, Schadsoftware, falschen Kundensupport, geleakte Screenshots, kompromittierte Cloud-Backups oder durch Mitlesen im direkten Umfeld. Mit dieser Phrase können sie die Wallet wiederherstellen, die privaten Schlüssel kontrollieren und Krypto-Assets auf der Blockchain übertragen.

Bei einer nicht-verwahrten Wallet ist die Seed Phrase in der Regel der „Generalschlüssel“ zu den Vermögenswerten in der Wallet. Sobald eine andere Person die vollständige Seed Phrase besitzt, benötigt sie normalerweise weder das Passwort einer Börse noch SMS-Codes oder Zugriff auf ein E-Mail-Konto, um Token oder NFTs aus der Wallet zu transferieren.

Wie Seed-Phrase-Diebstahl funktioniert

Viele Krypto-Wallets erzeugen beim Einrichten 12 oder 24 englische Wörter als Seed Phrase. Nutzer können diese Wortfolge später verwenden, um ihre Wallet in einer kompatiblen Wallet-App wiederherzustellen. Die Grundlogik sieht so aus:

Wichtig ist die Abgrenzung: Eine Seed Phrase ist nicht dasselbe wie das Login-Passwort einer Kryptobörse. Wenn Sie Vermögenswerte auf einer zentralisierten Börse halten, verwahrt die Plattform in der Regel die privaten Schlüssel. Bei einer nicht-verwahrten Wallet verwalten Sie die Seed Phrase normalerweise selbst. Nach Verlust oder Offenlegung lässt sich der Schaden oft nur sehr eingeschränkt rückgängig machen.

Häufige Szenarien

1. Phishing-Websites: Angreifer fälschen Wallet-Websites, Airdrop-Seiten oder Staking-Portale und fordern Nutzer auf, ihre Seed Phrase zur „Wallet-Verifizierung“ einzugeben. Seriöse Wallets oder Blockchain-Anwendungen sollten normalerweise keine Seed Phrase auf einer Website verlangen, um Belohnungen zu erhalten.
2. Falscher Support oder private Nachrichten in Communitys: Personen geben sich als Projektteam, Börse oder Wallet-Support aus und behaupten, sie könnten eine Wallet „reparieren“ oder Vermögenswerte „wiederherstellen“, wenn die Seed Phrase bereitgestellt wird.
3. Schädliche Browser-Erweiterungen oder Apps: Gefälschte Wallets, Trading-Tools oder bösartige Erweiterungen können die Zwischenablage auslesen, Screenshots erstellen oder Tastatureingaben protokollieren.
4. Cloud-Synchronisation und Datenlecks: Wer Screenshots, Fotos oder Dokumente mit der Seed Phrase in Cloudspeichern, E-Mail-Postfächern oder Chats ablegt, riskiert bei einem kompromittierten Konto auch den Verlust der Seed Phrase.
5. Offline-Offenlegung: Eine auf Papier notierte Seed Phrase kann fotografiert werden, verloren gehen oder beim Eingeben in der Öffentlichkeit von Dritten beobachtet werden.

Einfaches Beispiel

Ein Einsteiger sieht in sozialen Medien einen Link zu einem angeblich kostenlosen Token-Airdrop. Die Seite sieht aus wie die Oberfläche einer bekannten Wallet und fordert dazu auf, „12 Wörter zur Wallet-Verifizierung“ einzugeben. Nachdem der Nutzer die Seed Phrase eingegeben hat, stellt der Angreifer die Wallet auf seinem eigenen Gerät wieder her und überträgt die darin liegenden Stablecoins an eine andere Adresse. Da On-Chain-Transaktionen in der Regel nicht rückgängig gemacht werden können, ist es für den Nutzer schwierig, die Mittel allein über Blockchain-Mechanismen zurückzuholen.

Dieses Beispiel ist keine Aussage über Renditen oder Anlageentscheidungen. Es zeigt lediglich: Jede Seite, die außerhalb einer legitimen Wallet-Wiederherstellung zur Eingabe der Seed Phrase auffordert, sollte als starkes Warnsignal gelten.

Schutzmaßnahmen für Einsteiger

• Geben Sie Ihre Seed Phrase niemals an andere weiter: Das gilt auch für Personen, die sich als Support, Administrator, Projektmitarbeiter oder Börsenangestellte ausgeben.
• Geben Sie die Seed Phrase nicht auf Websites, in Community-Formularen oder unbekannten Apps ein: Verwenden Sie sie nur, wenn Sie die Wallet bewusst wiederherstellen müssen und die Quelle der Software zuverlässig geprüft haben.
• Bevorzugen Sie Offline-Backups: Schreiben Sie die Phrase auf Papier oder nutzen Sie robuste Metall-Backups, die gegen Feuer und Wasser widerstandsfähig sind. Vermeiden Sie Screenshots, Fotos, E-Mails, Cloudspeicher und Messenger.
• Prüfen Sie offizielle Websites und Downloadquellen: Laden Sie Wallet-Apps über offizielle Kanäle herunter und achten Sie auf Suchmaschinenanzeigen, ähnlich geschriebene Domains und gefälschte Erweiterungen.
• Schützen Sie die Seed Phrase auch bei Hardware-Wallets: Eine Hardware-Wallet reduziert das Risiko, dass private Schlüssel online offengelegt werden. Wird jedoch die Seed Phrase bekannt, können Vermögenswerte trotzdem gestohlen werden.
• Verwalten Sie Vermögenswerte getrennt und abgestuft: Wallets für tägliche Interaktionen sollten nicht dauerhaft große Beträge halten. Für höherwertige Bestände können strengere Cold-Storage- oder Multisig-Lösungen sinnvoll sein.
• Prüfen Sie regelmäßig Berechtigungen: Seed-Phrase-Diebstahl ist nicht dasselbe wie ein Risiko aus Smart-Contract-Genehmigungen. Beide können jedoch zu Verlusten führen. Bei häufig genutzten Wallets kann es sinnvoll sein, nicht mehr benötigte Contract Approvals zu überprüfen und zu widerrufen.

Was tun, wenn die Seed Phrase möglicherweise offengelegt wurde?

Wenn Sie glauben, dass Ihre Seed Phrase von Dritten gesehen oder auf einer verdächtigen Seite eingegeben wurde, sollten Sie davon ausgehen, dass die Wallet nicht mehr sicher ist. Häufige Schritte sind:

1. Erstellen Sie sofort eine komplett neue Wallet und verwenden Sie die alte Seed Phrase nicht weiter.
2. Übertragen Sie noch kontrollierbare Vermögenswerte so schnell wie möglich auf die neue Wallet. Beachten Sie dabei Netzwerkgebühren und mögliche Überlastung der Blockchain.
3. Nutzen Sie die alte Wallet nicht weiter für Smart-Contract-Interaktionen, um keine weiteren Vermögenswerte zu gefährden.
4. Sichern Sie Beweise, zum Beispiel verdächtige URLs, Chatverläufe oder Transaktions-Hashes, um den Vorfall an Plattformen, Strafverfolgungsbehörden oder Sicherheitsteams zu melden.
5. Seien Sie vorsichtig bei Angeboten wie „bezahlte Rückholung“ oder „garantierte Wiederherstellung“. Die Rückgewinnung von On-Chain-Vermögenswerten hängt stark vom Einzelfall, der Zusammenarbeit beteiligter Plattformen und rechtlichen Verfahren ab. Eine verlässliche allgemeine Garantie gibt es nicht.

Abgrenzung zu ähnlichen Risiken

Verwandte Begriffe

• Seed Phrase
• Privater Schlüssel
• Nicht-verwahrte Wallet
• Hardware-Wallet
• Phishing-Angriff
• Smart-Contract-Genehmigung
• Multisig-Wallet
• Cold Wallet

Quellen

• https://consumer.ftc.gov/articles/what-know-about-cryptocurrency-and-scams
• https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
• https://ethereum.org/en/wallets/
• https://bitcoin.org/en/secure-your-wallet
• https://support.metamask.io/start/user-guide-secret-recovery-phrase-password-and-private-keys/