Angriffsvektoren — und wie du sie entschärfst
Self-Custody macht dich zur Bank — und Banken werden angegriffen. Das sind die Methoden, die heute tatsächlich gegen Bitcoin-Besitzer eingesetzt werden, mit konkreten Gegenmaßnahmen für jede.
Phishing & Social Engineering
E-Mails, Ads und DMs, die sich als Ledger/Trezor/Support ausgeben, Fake-Seiten mit „Firmware-Update erforderlich“, Discord-/Telegram-„Helfer“, sogar Anrufe von „Security-Teams“. Ein Ziel: dich deine Seed-Phrase irgendwo eintippen lassen.
- Regel null: Seed-Wörter werden nirgends eingegeben — außer bei Recovery auf einem Hardware-Gerät
- Keine seriöse Firma ruft, schreibt oder mailt dich zuerst an — Kontakt beenden, selbst über offizielle Kanäle melden
- Offizielle Seiten bookmarken; nie auf Ads für Wallet-Software klicken
- Dringlichkeit („binnen 24 h handeln!“) ist per Definition eine Red Flag
Malware: Clipboard-Hijacker & Keylogger
Viren überwachen deine Zwischenablage und tauschen kopierte Bitcoin-Adressen unbemerkt aus; Keylogger zeichnen Passwörter und Passphrasen auf; Screen-Capture-Trojaner fotografieren deine „versteckten“ Wallet-Daten.
- Jede Adresse auf dem Bildschirm des Hardware-Wallets verifizieren — das Gerät ist die Wahrheit
- Passphrasen/PINs nach Möglichkeit auf dem Gerät eingeben
- Den Rechner für Transaktionen minimal halten: keine Raubkopien, keine beliebigen Browser-Erweiterungen
- Erste UND letzte Zeichen eingefügter Adressen vergleichen
USB-basierte Angriffe
BadUSB-Geräte und „Rubber Ducky“-Sticks geben sich als Tastatur aus und führen Befehle in Sekunden aus; bösartige Ladekabel (O.MG) enthalten versteckte Wi-Fi-Implants; ein manipuliertes Kabel kann zudem versuchen, Firmware über USB anzugreifen.
- Nie unbekannte USB-Sticks oder „gefundene“ Kabel einstecken — der klassische Köder-Angriff
- Eigenes Kabel nutzen, zum Laden idealerweise Data-Blocker-Adapter
- Voll air-gapped signieren (QR oder microSD), damit das Wallet die USB-Datenleitungen nie berührt
- Hardware-Wallets nur beim Hersteller kaufen und Anti-Tamper-Siegel prüfen
Fake-Software & vergiftete Updates
Typosquatting-Wallet-Apps, falsche Ledger-Live-Klone, kompromittierte Download-Spiegel und bösartige „Update“-Popups ersetzen deine Wallet-Software durch eine Version, die Schlüssel stiehlt oder Adressen ändert.
- Nur von offiziellen Seiten/GitHub-Releases laden; GPG-Signaturen oder Checksummen prüfen, wo angeboten
- Das Hardware-Gerät verifiziert, was der Computer zeigt — niemals umgekehrt
- Unaufgeforderte „obligatorische Sicherheitsupdates“ sind verdächtig — erst den offiziellen Kanal des Herstellers prüfen
- App Stores: Publisher-Namen exakt verifizieren; Klone missbrauchen Lookalike-Namen
Address Poisoning & Dusting
Angreifer schicken dir Mini-Transaktionen von einer Adresse, die fast identisch aussieht wie eine aus deiner Historie (gleiche erste/letzte Zeichen). Später kopierst du „deine“ Adresse aus der Historie — und es ist ihre.
- Nie Adressen aus der Transaktionshistorie kopieren — immer frische Empfangsadressen erzeugen
- Die volle Adresse auf dem Gerätebildschirm prüfen, nicht nur erste/letzte Zeichen
- Unbekannte Kleinsteingänge ignorieren; Dust nicht zusammen mit echten UTXOs ausgeben
SIM-Swap & Account-Übernahme
Angreifer portieren deine Rufnummer über sozial manipulierten Carrier-Support, setzen Exchange-/E-Mail-Passwörter per SMS zurück und räumen ab, was noch auf Custodial-Konten liegt — dann phishen sie tiefer.
- Beste Verteidigung: keine Guthaben dort, wo SMS irgendetwas zurücksetzen kann (siehe: warum Self-Custody)
- TOTP oder Hardware-Security-Keys nutzen, niemals SMS-2FA
- Carrier-PIN/Port-out-Sperre beim Mobilfunkanbieter setzen
- Eine dedizierte, unveröffentlichte E-Mail für Finanzkonten verwenden