Der Betrug, der Copy-Paste ausnutzt
Die meisten Krypto-Betrügereien greifen Ihre Schlüssel oder Ihre Signaturen an. Address Poisoning greift etwas Weicheres an: Ihre Gewohnheiten. Der Angreifer berührt Ihr Wallet nie und bittet Sie nie, etwas zu signieren. Er arrangiert lediglich, dass eine täuschend ähnliche Adresse in Ihrer Transaktionshistorie auftaucht — und wartet auf den Tag, an dem Sie sie statt der echten kopieren. Ein unachtsames Einfügen, und eine Überweisung, die an Ihre eigene Adresse oder einen üblichen Empfänger gehen sollte, geht unumkehrbar an den Angreifer.
Wie das Poisoning tatsächlich abläuft
Der Angriff beginnt mit der Generierung. Krypto-Adressen sind lang genug, dass Angreifer günstig Vanity-Adressen erzeugen können, die in den ersten und letzten Zeichen mit Ihrer oder der eines Ihrer Kontakte übereinstimmen — exakt den Zeichen, die Wallet-Oberflächen anzeigen. Dann folgt das Säen: Der Angreifer sendet eine Transaktion, die die Lookalike-Adresse in Ihre Historie pflanzt. Manchmal ist es ein winziger „Dust“-Transfer von ein paar Cent an Ihre Adresse; auf vielen Chains kann es sogar ein Null-Wert-Token-Transfer sein, der den Angreifer nur Gas kostet und so konstruiert werden kann, dass Ihre Historie einen Eintrag mit der falschen Adresse zeigt. Ihre Explorer-Seite und Ihre Wallet-Aktivitätsliste enthalten nun einen überzeugenden Köder, der geduldig wartet.
Warum es funktioniert: Kürzung und Vertrauen in die Historie
Zwei UX-Konventionen machen die Falle wirksam. Erstens kürzen Oberflächen Adressen fast universell auf etwas wie 0x1a2b…9f8e — ein Lookalike, das genau auf diese sichtbaren Zeichen zugeschnitten ist, ist auf einen Blick nicht zu unterscheiden. Zweitens behandeln Menschen ihre eigene Transaktionshistorie wie ein vertrauenswürdiges Adressbuch: „Die Adresse, an die ich letzte Woche gesendet habe“ fühlt sich sicher zum Kopieren an. Poisoning macht genau dieses Vertrauen zur Waffe. Nichts am falschen Eintrag wirkt auffällig; er sitzt neben Ihren legitimen Transaktionen, identisch formatiert, oft die gekürzte Form eines echten Kontakts spiegelnd.
Was Poisoning kann — und was nicht
Es lohnt sich, das klar zu sagen: Eine Poisoning-Transaktion nimmt für sich genommen nichts. Dust zu empfangen kompromittiert Ihre Schlüssel nicht; ein Null-Wert-Transfer gewährt keinerlei Approval; der Angreifer gewinnt keine Macht über Ihr Wallet. Der gesamte Angriff ist eine Wette auf einen zukünftigen Fehler von Ihnen. Das ist die gute Nachricht — die Verteidigung ist rein verhaltensbasiert, und anders als bei einem Schlüsselkompromiss gibt es nichts zu sanieren. Ignorieren Sie den Dust (die Interaktion mit unbekannten „Geschenk“-Token ist eine eigene Betrugsfamilie), und der Köder bleibt für immer harmlos.
Die Gewohnheiten, die Sie immun machen
Vier Gewohnheiten schließen die Tür. Kopieren Sie Adressen nie aus der Transaktionshistorie — nehmen Sie sie aus der Oberfläche des Ziels, einer offiziellen Seite oder einem gespeicherten Kontakt. Prüfen Sie mehr als die Enden: Kontrollieren Sie vor dem Signieren auch einen mittleren Abschnitt der Adresse, denn Lookalikes werden auf die von Oberflächen angezeigten Enden hin erzeugt. Nutzen Sie das Adressbuch Ihres Wallets für wiederkehrende Empfänger, damit Routinesendungen gar kein Kopieren erfordern. Und bei großen oder erstmaligen Transfers senden Sie einen kleinen Testbetrag und bestätigen die Ankunft, bevor Sie den Rest freigeben. Kombinieren Sie das mit der breiteren Hygiene aus unseren Wallet-Sicherheits-Best-Practices — und denken Sie daran: Der Moment der Signatur ist immer die letzte Verteidigungslinie, wie wir in Wallet sicher mit einer dApp verbinden betonen.
Wo WATS ins Bild passt
Selbstverwahrung legt die Signaturentscheidung — und damit diese Verteidigung — vollständig in Ihre Hände, und WATS ist gebaut, um sie dort zu halten: vollständig non-custodial über EVM, Solana und TON, wo Sie Ihre Schlüssel halten und WATS niemals einen hält, mit gespeicherten Kontakten, damit Routineüberweisungen nie vom Kopieren aus der Historie abhängen. Was WATS beseitigt, ist die Reibung, die Menschen zur Eile verführt: Jede Aktion, auf jeder Chain, wird in einem Token abgerechnet, ATS, statt im nativen Gas der Chain — über einen ERC-4337-Paymaster auf EVM und einen gleichwertigen Fee-Payer/Relayer auf Solana und TON — sodass eine sorgfältige Testsendung nie daran scheitert, dass Ihnen auf diesem Netzwerk das Gas-Token fehlt. ATS ist ein LayerZero-OFT mit einem Guthaben über alle drei Ökosysteme, und gesammeltes ATS wird von 100M in Richtung eines 30M-Bodens verbrannt; WATS ist das erste und einzige Wallet, das ERC-4337- und OFT-Ein-Token-Gebühren mit diesem Burn kombiniert. Details auf der ATS-Gebührenseite.
Häufig gestellte Fragen
Was ist ein Address-Poisoning-Angriff?
Ein Betrug, bei dem ein Angreifer eine Lookalike-Adresse erzeugt, die in den sichtbaren ersten und letzten Zeichen mit einer von Ihnen genutzten übereinstimmt, und sie dann per Dust- oder Null-Wert-Transfer in Ihre Historie pflanzt. Der Angriff nimmt von sich aus nichts — er wartet darauf, dass Sie später die falsche Adresse aus Ihrer Historie kopieren und Gelder dorthin senden. Die Verteidigung ist verhaltensbasiert: Beziehen Sie Adressen nie aus der Historie und prüfen Sie über die gekürzten Enden hinaus.
Ich habe Dust oder einen seltsamen Token von einer unbekannten Adresse erhalten — bin ich kompromittiert?
Nein. Eingehende Transfers können keine Schlüssel stehlen, keine Approvals erzeugen und Ihr Wallet nicht kontrollieren — jeder kann alles an eine öffentliche Adresse senden. Das Risiko entsteht nur, wenn Sie später versehentlich die Adresse des Angreifers kopieren oder mit dem Vertrag eines unbekannten Tokens interagieren (ein eigenes Betrugsmuster — fassen Sie ihn schlicht nicht an). Ignorieren Sie den Dust, und Ihre Gelder bleiben exakt so sicher wie zuvor.
Wie sollte ich eine Adresse vor dem Senden verifizieren?
Prüfen Sie mehr als die Enden: Lookalikes werden gezielt auf die von Oberflächen angezeigten ersten und letzten Zeichen hin erzeugt — vergleichen Sie also auch einen mittleren Abschnitt. Noch besser: Vermeiden Sie manuellen Vergleich bei Routinezahlungen ganz, indem Sie gespeicherte Kontakte in Ihrem Wallet nutzen, und senden Sie bei großen oder erstmaligen Transfers einen kleinen Testbetrag und bestätigen dessen Ankunft, bevor Sie den Rest senden.