Fake Startups rauben Krypto Wallets, Eternal Decay im Fokus

Die systematische Ausplünderung von Krypto-Wallets durch vermeintliche Startups ist kein Einzelfall, sondern ein wachsendes, organisiertes Problem. In diesem Artikel untersuchen wir, wie Gruppen hinter Namen wie „Eternal Decay” Social Engineering, manipulierte Software und Vertrauensaufbau nutzen, um Nutzer zur Installation schädlicher Anwendungen zu bewegen und damit digitale Vermögenswerte zu entwenden. Wir beleuchten Taktiken, erkennbare Signale, technische Angriffswege sowie konkrete Präventions- und Reaktionsstrategien für Privatanwender, Unternehmen und Plattformbetreiber. Ziel ist es, Praktikern klare, umsetzbare Hinweise zu geben, damit Angriffe früh erkannt, gestoppt und finanzielle Schäden minimiert werden können.

Wie Fake-Startups Krypto-Wallets gezielt angreifen

Angreifer organisieren sich zunehmend professionell: Sie gründen Fake-Startups, bauen glaubwürdig erscheinende Online-Auftritte auf und kombinieren technische Manipulation mit psychologischem Druck. Ziel ist meistens das Abziehen von Seed-Phrasen, Private Keys oder das Einbauen von Backdoors in Wallet-Software. Die Methode von Gruppen wie „Eternal Decay” folgt oft einem klaren Muster:

• Aufbau von Vertrauen: Fake-Websites, LinkedIn-/Twitter-Profile, teamähnliche Darstellungen und aufgebaute Roadmaps suggerieren Legitimität.
• Open-Source-Deckmantel: Recycelte öffentliche Codes oder Forks bekannter Wallet-Projekte werden leicht angepasst und als eigener Client angeboten, wodurch technikaffine Nutzer getäuscht werden.
• Direkte Ansprache: Opfer werden in Messengern, Foren oder per E-Mail kontaktiert – oft mit dem Versprechen einer finanziellen Belohnung für das Testen oder Betatesten der Software.
• Social Engineering: Angreifer geben sich als Teammitglieder, Influencer oder Mitarbeitende bekannter Firmen aus und nutzen FOMO (Fear of Missing Out) sowie Belohnungen, um schnelle Entscheidungen zu erzwingen.
• Technische Kompromittierung: Installierte Software enthält Payloads, die Seed-Phrasen abfragen, Clipboard-Hooks setzen, Transaktionen signalisieren oder Remote-Access-Tools aktivieren.

Das Ergebnis ist oft eine automatische Überweisung von Krypto-Assets an Adressen der Angreifer oder ein schrittweiser Abfluss über Mixern und Chain-Hopping, um Spuren zu verwischen.

Erkennungsmerkmale: Was sofort alarmieren sollte

Viele Angriffe bleiben nicht technisch komplex, sondern nutzen Fehler im Verhalten der Nutzer. Folgende Indikatoren sind wiederkehrend und sollten unmittelbar geprüft werden:

• Unerwartete Direktnachrichten mit Testangeboten oder Belohnungen.
• Angebote, die zur Installation exotischer Wallet-Clients auffordern.
• Webseiten mit neuem Domain-Registrierungsdatum, fehlender Impressumsangabe oder fragwürdigen Zertifikaten.
• Teams mit gefälschten Profilen, Stockfotos oder identischen Beschreibungen auf unterschiedlichen Plattformen.
• Binärdateien, die auf bekannte Open-Source-Repos verweisen, aber modifizierten Code enthalten.

Diese Indikatoren lassen sich systematisch prüfen. Nachfolgend eine kompakte Übersicht mit Handlungsempfehlungen.

Indikator	Beschreibung	Empfohlene Aktion
Unaufgeforderte Testangebote	Direktnachrichten mit Belohnungen für Installationen oder Tests	Nie private Keys oder Seed-Phrasen eingeben; Kommunikation prüfen; Official Channels konsultieren
Neue/fragwürdige Domain	Kurzlebige Domains, fehlendes TLS-Setup oder King-of-the-Hill Namen	WHOIS prüfen; Zertifikate validieren; auf bekannte Domains zurückgreifen
Gefälschte Teamprofile	Stockfotos, identische Biografien, keine nachweisbaren Beiträge	Profile verifizieren; LinkedIn/Twitter Cross-Check; Kontakt per offiziellem Firmenkanal
Modifizierte Open-Source Builds	Quellcode stimmt, Binär unterscheidet sich; Obfuscation vorhanden	Builds selbst kompilieren oder verifizierte Releases nutzen; Signaturen prüfen
Clipboard/Browser Hooks	Malware ersetzt Wallet-Adressen oder injiziert Skripte in Browser	Antiviren-Scan; Browser-Extensions prüfen; Hardware-Wallet verwenden

Prävention: Konkrete Massnahmen für Nutzer und Unternehmen

Gute Prävention ist mehrschichtig und beginnt beim Individuum. Wichtigste Grundregel: Private Keys und Seed-Phrasen bleiben offline. Darauf aufbauend folgende praktikable Massnahmen:

• Hardware-Wallets einsetzen: Private Keys werden nie an ein Online-Gerät übertragen; Transaktionsfreigaben erfolgen physisch.
• Offizielle Releases verwenden: Software nur von verifizierten Projektseiten, GitHub-Releases und mit Signatur prüfen.
• Sandboxing und Virtualisierung: Neue Software zuerst in isolierter Umgebung testen.
• Multi-Signatur-Lösungen: Für grössere Bestände Multi-Sig und zeitverzögerte Transaktionen nutzen, um Abflüsse zu erschweren.
• Sicherheitsprozesse im Unternehmen: Onboarding-Checks, Kommunikationsrichtlinien (kein Klicken auf Links aus DMs) und regelmässige Schulungen für Social-Engineering-Abwehr.
• Endpoint-Security: EDR/AV mit Verhaltenserkennung, Hash- und Signaturanalyse für nicht vertrauenswürdige Binaries.
• Verifizierte Identitäten: Prüfen Sie, ob angebliche Teammitglieder echte Beiträge haben oder ob Konten frisch erstellt sind.
• Bug-Bounties und Audits: Open-Source-Projekte sollten unabhängige Audits und Bug-Bounty-Programme fördern, damit Schwachstellen früh aufgedeckt werden.

Diese Massnahmen reduzieren die Angriffsfläche deutlich; gegen social-engineering allein helfen sie jedoch nur, wenn Nutzer geschult sind, Alarmzeichen zu erkennen.

Reaktion und Wiederherstellung nach einem Angriff

Schnelles, koordiniertes Handeln kann den Schaden begrenzen. Nach einem kompromittierten Wallet sollten folgende Schritte unverzüglich erfolgen:

• Netzwerk- und Geräteisolation: Gerät vom Netz trennen, forensische Images erstellen.
• Seed-Phrase als kompromittiert betrachten: Sofort neue Wallets auf sicheren Geräten einrichten und betroffene Konten leeren, falls noch möglich.
• Blockchain-Analyse: Transaktionen protokollieren, Adressen melden, Chain-Analysis-Firmen kontaktieren, um Flusswege zu verfolgen.
• Meldung an Anbieter: Exchanges und CEXs kontaktieren mit den betroffenen Adressen und Anfragen zur Sperrung oder Beobachtung.
• Strafanzeige und Meldung an CERT: Lokale Strafverfolgung informieren; relevante CERTs und Plattformen (GitHub, Telegram) über die Fake-Startup-Profile informieren.
• Kommunikation: Stakeholder transparent informieren, um weitere Opfer zu verhindern.

Die Erfolgsrate bei der Rückholung von Krypto hängt stark von der Geschwindigkeit, Kooperation mit Börsen und der Nachverfolgbarkeit der Mittel ab. Häufig werden Vermögenswerte jedoch in Mixer-Systeme geleitet und so schwer zurückzuholen.

Regulatorische und Plattformverantwortung: Was sich ändern muss

Die Kombination aus pseudonymer Technologie und offenen Plattformen schafft ein Umfeld, in dem Fake-Startups florieren. Effektive Gegenstrategien benötigen sowohl technische als auch regulatorische Antworten:

• Plattformpflichten: Git-Hosting-Plattformen, Social-Media- und Messaging-Dienste sollten schnellere Meldemechanismen, bessere Identitätsprüfungen und automatisierte Flagging-Algorithmen für verdächtige Projekte implementieren.
• Kooperation mit Exchanges: Schnelle Kontaktwege zwischen Strafverfolgung, Chain-Analysis-Firmen und Exchanges können das Einfrieren gestohlener Mittel erleichtern.
• Aufklärungspflicht: Projekte sollten verpflichtende Sicherheitshinweise, signierte Releases und Auditverlinkungen anzeigen.
• Datenschutz vs. Sicherheit: Regulierer müssen das Gleichgewicht wahren: KYC kann helfen, Missbrauch zu verringern, darf aber nicht die Grundprinzipien von Dezentralität und Privatsphäre untergraben.

Eine Kombination aus Plattformverantwortung, besseren Prüfprozessen und gezielter Aufklärung reduziert den Raum für professionelle Scam-Operateurinnen und -Operatoren.

Schlussfolgerung

Fake-Startups wie „Eternal Decay” nutzen eine Mischung aus sozialer Manipulation, gefälschten Identitäten und technisch modifizierten Open-Source-Builds, um Krypto-Wallets systematisch zu plündern. Der Schutz dagegen ist mehrschichtig: individuelle Vorsicht (nie Seed-Phrasen teilen, Hardware-Wallets verwenden), organisatorische Massnahmen (Multi-Sig, Security-Awareness, Audits) und technische Kontrollen (Signaturprüfung, Sandbox-Tests) sind essenziell. Im Anschluss an einen Vorfall sind schnelle Isolierung, Blockchain-Analyse und Kooperation mit Exchanges und Strafverfolgung entscheidend, auch wenn die Rückholung gestohlener Mittel oft schwierig bleibt. Langfristig brauchen wir kombinierte Lösungen aus Plattformverantwortung, regulatorischer Klarheit und breiter Aufklärung, damit Nutzerinnen und Nutzer sowie Unternehmen nicht weiterhin leichte Ziele für organisierte Crypto-Scams bleiben.