Address Poisoning: So funktioniert der Krypto-Betrug

Address Poisoning ist ein Krypto-Betrug, bei dem ein Angreifer eine täuschend ähnliche Wallet-Adresse in Ihrem Transaktionsverlauf platziert, in der Hoffnung, dass Sie diese kopieren und versehentlich Geld an ihn senden. Die gefälschte Adresse stimmt in den ersten und letzten Zeichen mit einer Adresse überein, die Sie tatsächlich nutzen, und taucht meist als Transfer mit Nullwert oder winzigem Betrag wenige Minuten nach einer echten Transaktion auf. Ihre Wallet wird dabei nicht gehackt: Die verlustbringende Transaktion signieren Sie selbst.

Das klingt plump, funktioniert aber in großem Maßstab. Eine begutachtete Studie zählte rund 270 Millionen Poisoning-Versuche auf zwei Blockchains innerhalb von zwei Jahren, und einzelne Opfer haben 50 Millionen US-Dollar oder mehr verloren. Dieser Leitfaden erklärt, wie der Angriff funktioniert, welche Varianten es gibt, welche großen Fälle bekannt sind und welche Gewohnheiten ihn verhindern.

So funktioniert ein Address-Poisoning-Angriff

Der Angriff nutzt eine menschliche Abkürzung aus: Man prüft Anfang und Ende einer Adresse und überspringt die Mitte. Krypto-Adressen sind lang. Eine Ethereum-Adresse besteht aus 40 Hexadezimalzeichen nach dem 0x, und eine Sui-Adresse ist eine 32-Byte-Kennung, die als 64 Hex-Zeichen geschrieben wird. Wie einer der CMU-Forscher hinter der größten Studie es formulierte, sind Wallet-Adressen „lange Hexadezimal-Zeichenketten, die man sich unmöglich merken kann“ (CMU CyLab, Januar 2026).

Ein typischer Angriff läuft so ab:

1. Der Angreifer beobachtet die Blockchain. Bots überwachen Transfers, oft von Stablecoins, zwischen einem Opfer und einer regelmäßigen Gegenpartei wie einer Einzahlungsadresse einer Börse.
2. Er erzeugt eine Doppelgänger-Adresse. Software berechnet per Brute Force eine neue Adresse, deren Anfangs- und Endzeichen mit denen der Gegenpartei übereinstimmen. Die USENIX-Studie stellte fest, dass eine ausgefeilte Gruppe dafür offenbar GPUs einsetzte, während andere auf CPUs setzten.
3. Er platziert sie in Ihrem Verlauf. Der Angreifer sendet eine Transaktion, die Ihre Adresse mit der Doppelgänger-Adresse verknüpft, meist innerhalb weniger Minuten. Die Forscher fanden heraus, dass Poisoning-Transfers „größtenteils innerhalb von 20 Minuten“ nach dem ursprünglichen Transfer eintreffen.
4. Sie kopieren die falsche Adresse. Wenn Sie diese Gegenpartei das nächste Mal bezahlen, öffnen Sie Ihre Wallet oder einen Block-Explorer, sehen oben im Verlauf scheinbar die vertraute Adresse, kopieren sie und senden.

Da der Transfer gültig und on-chain ist, lässt er sich nicht rückgängig machen. Genau darin besteht das Geschäftsmodell.

Die drei wichtigsten Varianten

Das USENIX-Security-2025-Paper „Blockchain Address Poisoning“ von Taro Tsuchiya und Nicolas Christin sowie die Hinweise von Etherscan beschreiben drei verbreitete Formen.

Transfers mit Nullwert

Der Angreifer erzeugt einen Transfer von null Token von Ihrer Adresse an die Doppelgänger-Adresse. In vielen verbreiteten ERC-20-Implementierungen erlaubt die öffentliche Funktion transferFrom jedem, einen beliebigen Absender anzugeben, wenn der Betrag null ist, erklärt das Paper. Das Ergebnis ist ein Eintrag im Verlauf, der so aussieht, als hätten Sie dem Angreifer früher schon Geld geschickt. Das Paper hält diese Variante für potenziell gefährlicher als die anderen, weil die Doppelgänger-Adresse als früherer, von Ihnen gewählter Empfänger erscheint.

Winzige Transfers („Dust“)

Die Doppelgänger-Adresse sendet Ihnen eine sehr kleine Menge eines Tokens, den Sie nutzen, sodass sie in Ihrem Eingangsverlauf erscheint. Etherscan stuft Transfers unter 0,01 $ in USDT, USDC oder DAI bzw. unter 0,00001 ETH als Dust ein, weist aber darauf hin, dass manche Dust-Transfers legitim sind.

Transfers gefälschter Token

Der Angreifer erstellt einen gefälschten Token und bewegt ihn zwischen Ihrer Adresse und der Doppelgänger-Adresse, oft mit genau dem Betrag, den Sie gerade gesendet haben. Da es bei ERC-20-Token keine Beschränkungen für Namen oder Symbole gibt, kann die Fälschung dem Original sehr ähnlich sehen, so das Paper.

Wie groß ist das Problem?

Die USENIX-Studie, die Ethereum und BNB Smart Chain vom 1. Juli 2022 bis 30. Juni 2024 abdeckt, fand rund 270 Millionen Poisoning-Versuche gegen etwa 17 Millionen Opfer. Sie bestätigte 6.633 erfolgreiche Vorfälle mit Verlusten von mindestens 83,8 Millionen US-Dollar, und ihre Zahl der Angriffe ist 13-mal höher als frühere Schätzungen (CMU CyLab).

Erfolge sind selten, nach der Messung des Papers etwa 0,01 % der Versuche auf Ethereum, doch die Angriffe lassen sich günstig automatisieren. „Es ist ein Zahlenspiel“, sagte Mitautor Nicolas Christin, und laut CMU verdienen manche organisierten Gruppen das 10- bis 20-Fache dessen, was sie für Gebühren und Infrastruktur ausgeben.

Die Forscher gehen davon aus, dass die tatsächlichen Verluste höher sind, da viele Opfer nie Meldung erstatten. Die Summe von 83,8 Millionen US-Dollar enthält zudem die beiden größten Einzelfälle unten nicht: Das Paper beobachtete den WBTC-Transfer, zählte ihn aber nicht als bestätigten Verlust, und der USDT-Fall ereignete sich später.

Bekannte Verluste durch Address Poisoning

1.155 WBTC, Mai 2024 (rund 68 Millionen US-Dollar)

Anfang Mai 2024 sandte ein Opfer 1.155 Wrapped Bitcoin, damals rund 68 Millionen US-Dollar wert, an eine vergiftete Doppelgänger-Adresse. Nach On-Chain-Verhandlungen, in denen das Opfer dem Angreifer anbot, 10 % zu behalten, begann der Angreifer am 10. Mai 2024 mit der Rückzahlung und schickte etwa 22.960 ETH im Wert von 65,7 Millionen US-Dollar zurück, mehr als 96 % des ursprünglichen Dollarwerts, berichtete Cointelegraph. Eine solche Rückgabe ist die Ausnahme. Mehr zum betroffenen Token erfahren Sie unter Was ist Wrapped Bitcoin (WBTC)?

49.999.950 USDT, Dezember 2025 (rund 50 Millionen US-Dollar)

Im Dezember 2025 sandte ein Opfer 49.999.950 USDT, nachdem es eine bösartige Adresse aus seinem Transaktionsverlauf kopiert hatte, berichtete Cointelegraph am 20. Dezember 2025. Das Opfer hatte zuvor eine kleine Testtransaktion an die richtige Adresse geschickt. Der Angreifer vergiftete daraufhin den Verlauf, und der volle Betrag ging wenige Minuten später an die Doppelgänger-Adresse. Die gestohlenen USDT wurden in Ether getauscht, auf mehrere Wallets verteilt und teilweise in Tornado Cash verschoben.

Warum eine Testtransaktion Sie nicht schützt

Der Fall vom Dezember 2025 zeigt ein verbreitetes Missverständnis. Eine Testtransaktion beweist, dass die Adresse funktioniert, die Sie für den Test verwendet haben. Über die Adresse, die Sie als Nächstes einfügen, sagt sie nichts aus.

Der Test kann die Lage sogar verschlimmern. Er erzeugt genau das On-Chain-Ereignis, auf das Poisoning-Bots reagieren, und setzt einen neuen Eintrag ganz oben in Ihren Verlauf, kurz bevor Sie die Adresse für den eigentlichen Transfer kopieren. Wenn Sie testen, fügen Sie die zweite Adresse aus derselben vertrauenswürdigen Quelle ein wie beim ersten Mal, niemals aus Ihrem Verlauf, und prüfen Sie erneut jedes Zeichen.

So schützen Sie sich vor Address Poisoning

• Kopieren Sie niemals Adressen aus Ihrem Transaktionsverlauf. Die Hinweise von MetaMask sagen dasselbe. Kopieren Sie aus der Originalquelle, etwa der Einzahlungsseite der Börse.
• Nutzen Sie das Adressbuch Ihrer Wallet. Speichern Sie Adressen, die Sie einmal verifiziert haben, und senden Sie nur an gespeicherte Kontakte.
• Prüfen Sie die gesamte Adresse, besonders die Mitte. Angreifer kopieren die Enden, daher zeigt sich der Unterschied in den mittleren Zeichen. Vergleichen Sie blockweise.
• Bestätigen Sie auf dem Display einer Hardware-Wallet. Eine Hardware-Wallet lässt Sie das Ziel in der Regel direkt auf dem Gerät bestätigen, was Ihnen vor dem Signieren einen zweiten, unabhängigen Blick ermöglicht. Siehe Hot Wallet vs. Cold Wallet.
• Beachten Sie Warnungen der Wallet. MetaMask erkennt nach eigenen Angaben inzwischen, wenn ein Ziel einer bereits genutzten Adresse stark ähnelt, etwa bei übereinstimmenden ersten vier und letzten vier Zeichen, und zeigt eine blockierende Warnung an. Außerdem warnt es, wenn Sie zum ersten Mal an eine Adresse senden.
• Ignorieren Sie unerwartete Transfers mit Nullwert oder winzigem Betrag. Interagieren Sie weder mit ihnen noch mit unbekannten Token. Etherscan blendet Nullwert-Transfers standardmäßig aus und zeigt ein Pop-up, wenn Sie eine Adresse kopieren, die mit verdächtigen Aktivitäten verknüpft ist.
• Nutzen Sie Namen, wo sie unterstützt werden. Menschenlesbare Namen wie ENS auf Ethereum oder SuiNS auf Sui verringern Copy-Paste-Fehler, wobei Sie trotzdem prüfen sollten, ob der Name auf die richtige Adresse verweist.

Nichts davon ist auf eine einzelne Blockchain beschränkt. MultiversX-Adressen sind zum Beispiel bech32-kodierte öffentliche Schlüssel, die mit erd1 beginnen, und es gilt dieselbe Prüfung der vollständigen Adresse. Ob Sie EGLD zum Staking für JWLEGLD oder SUI zum Staking für JWLSUI übertragen: Prüfen Sie das Ziel, bevor Sie signieren.

Was tun, wenn Sie Geld an eine vergiftete Adresse gesendet haben?

Handeln Sie schnell, gehen Sie aber davon aus, dass das Geld verloren ist, sofern nichts Außergewöhnliches passiert.

1. Dokumentieren Sie alles. Sichern Sie den Transaktions-Hash, die Adresse des Angreifers und den Zeitpunkt.
2. Kontaktieren Sie den Token-Emittenten und jede beteiligte Börse. Manche Stablecoin-Emittenten können Token auf einer bestimmten Adresse einfrieren, daher zählt Schnelligkeit.
3. Erstatten Sie Anzeige bei der Polizei und melden Sie den Fall der nationalen Stelle für Betrugsmeldungen. Meldungen helfen Ermittlern, Wallets miteinander zu verknüpfen.
4. Vorsicht vor Rückholangeboten. Opfer großer, öffentlich bekannter Verluste werden von falschen „Fund Recovery“-Diensten ins Visier genommen. Lesen Sie unseren Leitfaden zu Krypto-Recovery-Betrug, bevor Sie irgendjemanden bezahlen.

Ihre Wallet selbst wird durch Poisoning nicht kompromittiert, Sie brauchen also keine neue Seed Phrase. Wenn Sie eine Token-Freigabe signiert oder sich mit einer unbekannten Website verbunden haben, handelt es sich um einen anderen Angriff: siehe Wallet Drainer und Approval-Phishing.

Häufig gestellte Fragen

Was ist ein Address-Poisoning-Angriff?

Es ist ein Betrug, bei dem ein Angreifer einen Transfer mit Nullwert, einem winzigen Betrag oder einem gefälschten Token sendet, damit eine Doppelgänger-Adresse in Ihrem Transaktionsverlauf erscheint. Wenn Sie später diese Adresse statt der echten kopieren, geht Ihr Geld an den Angreifer.

Kann Address Poisoning ohne meine Signatur Geld stehlen?

Nein. Der Poisoning-Transfer kann Ihre Token nicht bewegen. Verluste entstehen nur, wenn Sie selbst einen Transfer an die Doppelgänger-Adresse signieren, weshalb die Prüfung der vollständigen Adresse den Angriff verhindert.

Warum habe ich einen Nullwert-Transfer von meiner eigenen Adresse erhalten?

Manche ERC-20-Token erlauben es jedem, einen Transfer über null mit beliebigem Absender zu erfassen. Angreifer nutzen das, um den Anschein zu erwecken, Sie hätten Geld an ihre Doppelgänger-Adresse gesendet. Ignorieren Sie ihn und kopieren Sie niemals Adressen daraus.

Reicht eine Testtransaktion, um Address Poisoning zu vermeiden?

Nein. Ein Test beweist nur die Adresse, die Sie für den Test verwendet haben. In einem Fall vom Dezember 2025 schickte ein Opfer einen Test, kopierte dann eine vergiftete Adresse aus seinem Verlauf und verlor fast 50 Millionen US-Dollar in USDT.

Wie viel Geld wurde durch Address Poisoning verloren?

Eine Studie von USENIX Security 2025 bestätigte Verluste von mindestens 83,8 Millionen US-Dollar auf Ethereum und BNB Smart Chain zwischen Juli 2022 und Juni 2024. Zu den Einzelfällen gehören ein WBTC-Verlust von 68 Millionen US-Dollar im Jahr 2024, der größtenteils zurückgegeben wurde, und ein USDT-Verlust von 50 Millionen US-Dollar im Jahr 2025.

Bekomme ich meine Kryptowährung nach Address Poisoning zurück?

In der Regel nicht, da Blockchain-Transfers endgültig sind. Kontaktieren Sie schnell den Token-Emittenten und jede beteiligte Börse und erstatten Sie Anzeige bei der Polizei, seien Sie aber vorsichtig bei allen, die kostenpflichtige Rückholdienste anbieten.

Weiterlesen

• Wallet Drainer und Approval-Phishing
• Betrug mit gefälschten Wallets 2026
• Krypto-Betrug 2026
• Was ist eine Seed Phrase?
• Smart-Contract-Audits erklärt

Dieser Artikel dient der Information und stellt keine Finanz- oder Rechtsberatung dar. Zahlen und Falldetails entsprechen dem Stand vom 17. Oktober 2026 und stammen aus den oben verlinkten Studien und Berichten; Wallet-Funktionen ändern sich im Laufe der Zeit.