Neue Betrugsmasche: Fake AML-Checker erleichtern Kriminelle
In der Kryptowährungscommunity macht eine neue Betrugsmasche die Runde: Scammer impersonieren vertrauenswürdige Compliance- und AML-Services (Anti-Money-Laundering), um Nutzer zur Genehmigung von Transaktionen zu verleiten, die ihre Wallets gefährden können.
Wie der Betrug funktioniert
Das Vorgehen ist trickreicher als klassische Phishing-Attacken. Statt einfach nur gefälschte Websites zu erstellen, nutzen die Betrüger ein psychologisches Element: Sie geben vor, dass der Nutzer eine Compliance-Überprüfung durchführen müsse. Dies klingt seriös und wird oft als notwendige Sicherheitsmaßnahme wahrgenommen.
Die Attacke läuft typischerweise so ab:
- Täuschung durch Vertrautheit: Der Nutzer wird über Social Media, Discord, Telegram oder gefälschte E-Mails kontaktiert
- Dringlichkeit erzeugen: Die Nachricht suggeriert, dass eine sofortige AML-Überprüfung notwendig ist, um das Konto nicht zu sperren
- Autorisierung erbeuten: Der Nutzer wird aufgefordert, auf einen Link zu klicken oder eine Transaction zu genehmigen
- Zugriffsrechte absahnen: Die Genehmigung erteilt den Scammern Zugriff auf Token oder erlaubt ihnen, Transaktionen im Namen des Nutzers durchzuführen
Das Kernproblem: Token-Approval-Mechanik
Die technische Grundlage dieses Betrugs liegt in der Art, wie Kryptotransaktionen funktionieren. Bevor ein Smart Contract mit deinen Token interagieren kann, musst du der DApp oder dem Contract eine sogenannte "Approval" erteilen. Das ist ein Genehmigungsschritt, der dem Contract erlaubt, bis zu einem bestimmten Limit auf deine Token zuzugreifen.
Diese Approval-Mechanik ist eigentlich ein wichtiger Sicherheitsfeature – ohne sie könnten Smart Contracts unendlich viele deiner Token abheben. Doch genau hier setzen die Betrüger an: Sie verstecken eine gefährliche Approval-Anfrage in einem scheinbar harmlosen Compliance-Check.
Warum diese Masche so wirksam ist
Drei Faktoren machen diesen Betrug besonders gefährlich:
1. Psychological Hacking: AML-Checks werden mit Autorität und Legalität verbunden. Ein Nutzer, der glaubt, dass sein Konto blockiert wird, handelt schnell und denkt weniger nach.
2. Technische Obskurität: Viele Nutzer verstehen nicht, was ein Token Approval bedeutet. Sie sehen nur einen Button zum Bestätigen – und klicken.
3. Mangelnde Verifizierungsmöglichkeiten: Es ist schwer zu prüfen, ob ein "AML-Service" echt ist. Auf der Blockchain gibt es keine zentrale Instanz, die Services beglaubigt.
Erkennungsmerkmale eines Betrugs
Es gibt mehrere Warnsignale, auf die Nutzer achten sollten:
- Unsolicited Kontakt: Legitime Services kontaktieren dich nicht unangefordert per DM
- Verdächtige Links: URLs, die nicht von der offiziellen Domain stammen
- Timeouts und Druck: "Du musst das sofort tun, sonst wird dein Konto gesperrt"
- Zu einfache Prozesse: Eine echte AML-Überprüfung erfordert KYC-Daten, keine Token Approval
- Unbekannte Wallets: Die Adresse, an die du freigeben sollst, ist nicht die des Services
Schutzmaßnahmen für Nutzer
Wie kann man sich schützen?
Verifizierung: Besuche nur offizielle Websites und überprüfe URLs akribisch. Im Zweifelsfall navigiere manuell zur Domain, anstatt Links aus Messages zu folgen.
Approval-Management: Nutze Tools wie Etherscan oder Revoke.cash, um bestehende Token-Approvals zu prüfen und zu widerrufen. Viele erfahrene Nutzer geben nur begrenzte Approvals.
Limit setzen: Wenn eine DApp eine Approval erfordert, gib nicht das Maximum frei, sondern nur die Menge, die du momentan brauchst. Moderne DApps unterstützen Custom Limits.
Trockenübungen: Kenne deine Sicherheitsschritte – was ist eine Approval, was unterscheidet Transaktionen von Genehmigungen?
Ein größeres Problem für die Industrie
Dieser Betrugsansatz verdeutlicht ein fundamentales Problem in der Krypto-Industrie: Es gibt keine standardisierten, verifizierten Compliance-Services. Das schafft eine Lücke, die Betrüger ausnutzen.
Es gibt zwar echte AML-Provider wie Chainalysis oder TRM Labs, die von Exchanges genutzt werden. Doch diese Services wurden nie für einzelne Nutzer konzipiert. Eine sichere, dezentralisierte Identitätsverifizierung auf der Blockchain wäre ein möglicher Lösungsansatz – es existiert aber derzeit kein Standard, den alle vertrauen würden.
Fazit
Dieser Betrug ist ein klassisches Beispiel dafür, wie kriminelle Energie und technisches Wissen zusammentreffen. Die Masche funktioniert nicht, weil die Technologie schlecht ist, sondern weil Vertrauen, Druck und fehlende Standards ausgenutzt werden.
Das Wichtigste: Sei skeptisch bei unrequested Kontakt, überprüfe immer offizielle Quellen und verstehe, was du freigibst – denn auf der Blockchain gibt es keinen Kundensupport, der Fehler rückgängig macht.
