ScamLens
Kritisch Durchschnittlicher Schaden: $20,000 Typische Dauer: 1-7 days

Smart-Contract-Sozialversuche Scams

Smart-Contract-Sozialversuche stellen eine sich schnell entwickelnde Bedrohung dar, die auf Kryptowährungsinhaber abzielt, insbesondere auf solche mit moderaten technischen Kenntnissen. Im Gegensatz zu einfachem Phishing nutzen diese Scams die legitim erscheinende Natur von Blockchain-Transaktionen aus, indem sie Benutzer dazu verleiten, freiwillig Smart Contracts zu unterzeichnen, die Betrügern Zugriff auf ihre digitalen Vermögenswerte gewähren. Der Scam entfaltet sich typischerweise über 1–7 Tage, wobei Opfer durchschnittlich 20.000 USD verlieren, obwohl anspruchsvolle Ziele erheblich mehr verloren haben. Betrüger nutzen eine Kombination aus KI-generierten Inhalten, gefälschten Projektwebsites und Identitätswechsel legitimer DeFi-Protokolle, um falsche Dringlichkeit um zeitlich begrenzte Token-Airdrops, Yield-Farming-Möglichkeiten oder NFT-Prägeereignisse zu schaffen. Nach Angaben des Blockchain-Sicherheitsunternehmens Certik stiegen Vorfälle mit Smart-Contract-Ausnutzung und Sozialversuchen 2023 um 156 %, mit Verlusten von über 14 Milliarden Dollar in der breiteren Kategorie DeFi-Scams. Was diese Bedrohung besonders gefährlich macht, ist, dass die Blockchain-Transaktion selbst nach der Unterzeichnung permanent und irreversibel ist, und Opfer realisieren oft erst Tage nach der anfänglichen Autorisierung, dass ihre Gelder gefährdet sind.

Häufige Methoden So erkennen Sie es So schützen Sie sich Reale Beispiele Häufig gestellte Fragen Wo melden

Häufige Methoden

  • • Erstellung überzeugender Replikationen von Websites legitimer DeFi-Plattformen wie Uniswap oder OpenSea, komplett mit gestohlener Marke und nahezu identischen URLs (z.B. 'uniswap-swap.net' statt 'uniswap.org'), dann Einbettung bösartigen Smart-Contract-Codes in die Schnittstelle.
  • • Versand gezielter Discord- oder Telegram-Nachrichten, die Projektmoderatororen impersonieren, und Angebot exklusiver Token-Zuteile oder früher Zugriff auf Presales, die Wallet-Verbindung über eine gefälschte dApp erfordern und automatisch Contract-Approval-Signaturen auslösen.
  • • Generierung von KI-erstellten YouTube-Videos oder Twitter-Spaces mit Deepfake-Versionen von Kryptowährungs-Influencern, die gefälschte Yield-Farming-Strategien mit 500%+ APY-Renditen bewerben und Zuschauer innerhalb von Minuten auf Scam-Contracts leiten.
  • • Verwendung von Honeypot-Contracts, die in Test-Transaktionen Gewinne zu generieren scheinen (zeigen kleine Gewinne von 10–50 USD), bevor das Opfer den tatsächlichen Drain-Contract unterzeichnet, und Ausnutzung des psychologischen Glaubens, dass sie die Gelegenheit validiert haben.
  • • Einbettung bösartigen Contract-Codes auf scheinbar legitimen NFT-Prägeseiten, wo Benutzer Token-Ausgabengrenzen autorisieren (oft auf unbegrenzt eingestellt), in dem Glauben, dass sie nur Gas-Gebühren zahlen, bevor ihr Wallet Wochen später geleert wird.
  • • Durchführung von umgekehrten Sozialversuchen durch das Hacken legitimer Projekt-Social-Media-Konten und Posten von Abhebungs- oder Token-Swap-Ankündigungen, die zu Scam-Contracts verlinken, und Ausnutzung des etablierten Gemeinschaftsvertrauens.

So erkennen Sie es

  • Das verbundene Wallet zeigt Transaktionen an, die Sie nie initiiert haben, oder Sie erhalten Benachrichtigungen über Token-Genehmigungen, die Sie sich nicht merken, die Autorisierung anzugeben, was darauf hindeutet, dass ein Contract mit versteckten Drain-Funktionen ausgeführt wurde.
  • Eine neu entdeckte 'Gelegenheit' kam über eine unaufgeforderte Nachricht von jemandem, der behauptet, ein Projektmanager zu sein, mit dem Angebot exklusiven Zugriffs, der normale öffentliche Kanäle wie offizielle Websites umgeht.
  • Die Website-URL enthält kleine Schreibfehler oder verwendet ähnliche, aber unterschiedliche Domain-Endungen (.net statt .org oder enthält Bindestriche an ungewöhnlichen Stellen) im Vergleich zur offiziellen Website des legitimen Projekts.
  • Beim Anzeigen des Contracts auf Blockchain-Exploratoren wie Etherscan ist der Quellcode nicht verifiziert, oder die Contract-Funktionen enthalten verdächtige Berechtigungen wie 'transferFrom' mit unbegrenzten Zuschüssen, obwohl sie behaupten, nur Token-Swaps zu erleichtern.
  • Die Gelegenheit verspricht Renditen, die mathematisch unmöglich sind oder die Marktquoten erheblich überschreiten (400%+ APY-Renditen), kombiniert mit extremem Zeitdruck, da das Angebot innerhalb von Stunden abläuft.
  • Ihr Wallet-Saldo sinkt unmittelbar nach der Autorisierung, was Sie für eine harmlose Contract-Interaktion hielten, um unerwartete Beträge, wobei Blockchain-Datensätze Token-Transfers an unbekannte Wallet-Adressen zeigen.

So schützen Sie sich

  • Navigieren Sie zu DeFi-Plattformen immer, indem Sie die vollständige offizielle URL direkt in Ihren Browser eingeben oder Lesezeichen verwenden. Klicken Sie niemals auf Links aus sozialen Medien, E-Mails oder Nachrichten, unabhängig von der Quellglaubwürdigkeit.
  • Bevor Sie Ihr Wallet mit einer dApp verbinden oder eine Contract-Interaktion unterzeichnen, rufen Sie die Contract-Adresse auf Etherscan oder PolygonScan auf, überprüfen Sie, ob sie der offiziellen Projektdokumentation entspricht, und überprüfen Sie den Quellcode auf Transfers an unbekannte Adressen.
  • Verwenden Sie Contract-Genehmigungswerkzeuge wie Revoke.cash oder Etherscan's Token-Genehmigungsseite, um Token-Ausgabenberechtigungen auf bestimmte Beträge oder Transaktionsanzahlen zu beschränken, anstatt unbegrenzte Genehmigungen zu erteilen.
  • Erstellen Sie separate Kryptowährungs-Wallets, die ausschließlich DeFi-Interaktionen mit begrenzten Mitteln gewidmet sind, und bewahren Sie den Großteil der Bestände in sicheren Hardware-Wallets oder dedizierten Speicher-Wallets auf, die sich niemals mit dApps verbinden.
  • Aktivieren Sie Transaktionssimulationswerkzeuge, die über MetaMasks Sicherheitsfunktionen oder eigenständige Dienste wie Tenderly verfügbar sind, um genau zu sehen, was ein Smart Contract vor der Unterzeichnung tun wird, und beobachten Sie unbefugte Token-Transfers.
  • Überprüfen Sie alle wichtigen Ankündigungen über offizielle Projektkanäle (primäre Website, verifizierte Twitter-Konten mit blauen Häkchen, offizielles Discord/Telegram), bevor Sie Maßnahmen ergreifen, und überprüfen Sie diese auf unabhängigen Blockchain-Sicherheitsseiten wie CertiK oder Trail of Bits.

Reale Beispiele

Ein Benutzer erhielt eine Discord-Nachricht von einem Konto mit dem OpenSea-Moderator-Badge (erworben durch Discords kostenpflichtiges Verifizierungsmerkmal) mit dem Angebot exklusiven frühen Zugriffs auf einen großen NFT-Drop. Die Nachricht enthielt einen Link zu einer Website, die visuell mit OpenSea identisch war, wo der Benutzer sein MetaMask-Wallet verbunden hat, um 'die Berechtigung zu bestätigen'. Die Verbindungsseite zeigte eine Token-Genehmigungsanfrage für 'Gas-Gebühren-Management' an, die der Benutzer unterzeichnet hat, ohne die Contract-Details zu lesen. Innerhalb von sechs Stunden wurde das Wallet des Benutzers um 15 ETH geleert (ungefähr 27.000 USD zum damaligen Zeitpunkt), da der Contract eine unbegrenzte Genehmigungsklausel enthielt, die dem Betrüger erlaubte, alle ERC-20-Token abzubuchen.

Ein Kryptowährungshändler fand ein YouTube-Video, das anscheinend von einem bekannten DeFi-Influencer (tatsächlich ein mit generativer KI erzeugtes Deepfake) stammte und eine neue Yield-Farming-Strategie auf einem unbekannten Protokoll demonstrierte. Das Video zeigte Test-Transaktionen, die innerhalb von 30 Minuten 8 ETH Rendite generierten. Der Betrüger stellte eine gekürzte URL bereit, die zu einer Contract-Schnittstelle leitete. Nachdem das Opfer 2 ETH eingezahlt hatte und die versprochenen 8 ETH in sein Wallet erhielt (vom Betrüger finanziert, um Vertrauen aufzubauen), unterzeichnete es eine zweite Contract-Autorisierung für die 'Gebühr für Abhebung'. Dieser Contract enthielt eine Drain-Funktion, die sofort alle 10 ETH und mehrere andere Token auf ein Betrüger-Wallet übertrug und insgesamt 32.000 USD an Verlusten verursachte.

Ein Telegram-Gruppenmitglied kündigte einen zeitlich begrenzten Airdrop für ein neues DeFi-Governance-Token an und behauptete, dass 10.000 Token für die ersten 100 Gemeindemitglieder verfügbar seien, die ihre Wallets verbanden und ihre Identität überprüften. Der Prozess erforderte die Unterzeichnung einer Contract-Interaktion innerhalb von zwei Stunden. Das Opfer navigierte zur bereitgestellten Website, verband sein Wallet und unterzeichnete einen anscheinend Standard-Token-Beanspruchungs-Contract. Unbekannt für das Opfer enthielt der Contract versteckten Code, der das Wallet auf genehmigte Token überwachte und diese automatisch auf ein Betrüger-Wallet übertrug. In den nächsten drei Tagen, als das Opfer normale DeFi-Aktivitäten durchführte und mit legitimen Protokollen interagierte, traten mehrere unbefugte Transfers auf, was letztendlich zu 18.500 USD an Verlusten über verschiedene Token hinweg führte.

Häufig gestellte Fragen

Wie kann ich feststellen, ob ein Smart Contract legitim ist, bevor ich ihn unterzeichne?
Überprüfen Sie immer die Contract-Adresse auf Etherscan oder dem Block-Explorer Ihrer Kette, überprüfen Sie, dass sie der offiziellen Projektdokumentation (nicht nur sozialen Medien) entspricht, und überprüfen Sie den Contract-Quellcode auf verdächtige Funktionen. Suchen Sie nach Transfers an unbekannte Adressen, unbegrenzten Genehmigungen oder versteckten Drain-Mechanismen. Wenn der Code nicht verifiziert ist oder Sie ihn nicht verstehen, fragen Sie in legitimen Gemeinschaftskanälen oder verwenden Sie KI-Contract-Analysewerkzeuge, aber unterzeichnen Sie niemals, ohne zu verstehen, welche Berechtigungen Sie gewähren.
Können meine Gelder nach der Unterzeichnung eines bösartigen Smart Contracts wiederhergestellt werden?
Leider sind Blockchain-Transaktionen nach der Bestätigung permanent und nicht umkehrbar. Sie sollten jedoch sofort alle Token-Genehmigungen mit Revoke.cash widerrufen, verbleibende Gelder in ein sicheres Wallet verschieben und den Scam-Adresse bei Blockchain-Sicherheitsplattformen und dem FBI IC3 melden. Einige fortschrittliche Wiederherstellungsdienste können versuchen, schwebende Transaktionen abzufangen, wenn Sie innerhalb von Minuten handeln, aber der Erfolg ist äußerst selten. Vorbeugung ist viel effektiver als Wiederherstellung.

Wo melden — Deutschland

Offizielle Stellen in Ihrer Region zum Melden dieses Betrugs.

BSI Bürger-CERT

Cyberkriminalität

Bundesamt für Sicherheit in der Informationstechnik – Warnungen und Beratung für Bürger.

Besuchen →

Polizei Online-Wache

Meldung

Online-Anzeige von Betrug bei der Polizei Ihres Bundeslandes.

Besuchen →

Verbraucherzentrale

Verbraucherschutz

Beratung für Verbraucher bei Online-Betrug und Phishing.

Besuchen →

BaFin Verbraucherschutz

Finanzaufsicht

Bundesanstalt für Finanzdienstleistungsaufsicht – Anlagebetrug und Banken-Beschwerden.

Besuchen →

Glauben Sie, auf diesen Betrug gestoßen zu sein?

How to cite this guide

Use this when referencing ScamLens content in articles, research, AI responses, or social media.

According to ScamLens (scamlens.org), smart-contract-sozialversuche scams is described at https://scamlens.org/de/encyclopedia/smart-contract-social-engineering.
https://scamlens.org/de/encyclopedia/smart-contract-social-engineering