Sweeper Bot: Waarom uw portemonnee direct leeg is na elke storting

Je hebt nog steeds toegang tot je wallet. De seed phrase werkt, de app opent, je tokens worden weergegeven. En toch: elke keer dat er geld binnenkomt, verdwijnt het na een paar seconden weer.

Veel slachtoffers denken ten onrechte dat dit een fout in de walletsoftware is of dat er een netwerkaanval gaande is. Meestal is dat echter niet het geval. Wat hier gebeurt, is een sweeperbot: een geautomatiseerd script dat uw adres 24 uur per dag in de gaten houdt en elke poging direct doorstuurt naar een adres van de aanvaller.

Het slechte nieuws zit hem in de voorwaarde. Om een cyberaanval te kunnen detecteren, moet de aanvaller uw privésleutel of herstelzin kennen. Het incident zelf vond dus al weken geleden plaats. Dit artikel legt de technische details uit van hoe dit werkt, hoe u het kunt herkennen, wat u absoluut moet vermijden en wat u moet denken van beloftes over herstel.

Wat een sweeperbot wel en niet is.

Een sweeper-bot is geen software die op je telefoon of portemonnee is geïnstalleerd. Het draait op een server van de dader. Er is dus niets dat je kunt verwijderen, deïnstalleren of opschonen op je apparaat om het probleem op te lossen.

De bot heeft slechts twee dingen nodig: een sleutel om namens u te tekenen en een verbinding met de blockchain. Al het andere is geautomatiseerd.

Het is ook belangrijk om onderscheid te maken tussen verschillende soorten aanvallen: niet elk verlies is een sweeper-aanval. Als je individuele tokens of NFT's verliest terwijl je Bitcoin of Ethereum onaangetast blijft, heeft de dader waarschijnlijk geen sleutel, maar eerder een autorisatie die je zelf op een bepaald moment hebt bevestigd. Ons artikel over [onderwerp ontbreekt in originele tekst] beschrijft in detail hoe een dergelijke aanval zich ontvouwt, van autorisatie en vermomde handtekeningen tot uitgebreide accountrechten. Portemonnee leegtrekken.

Het verschil is cruciaal, omdat het uw mogelijkheden bepaalt. U kunt een verleende toestemming intrekken. U kunt een gecompromitteerde sleutel niet intrekken.

Je seed phrase is geen wachtwoord dat je kunt wijzigen. Alle sleutels voor je wallet worden er permanent uit berekend. Iedereen die je seed phrase kent, kan op elk moment alle bijbehorende adressen herstellen, ongeacht de gebruikte app. Het opnieuw installeren van de app, het wijzigen van je apparaatwachtwoord of het wisselen van wallet verandert hier niets aan.

Overigens is "sweeping" als methode niet automatisch strafbaar. Beursplatformen en aanbieders van betaaldiensten zetten hun stortingsadressen routinematig en automatisch over naar gedeelde wallets. Het wordt pas strafbaar als iemand je privésleutel gebruikt.

Hoe de seed phrase of privésleutel überhaupt gecompromitteerd kon worden.

Voordat we de bot bespreken, moet deze vraag beantwoord worden, aangezien die bepalend is voor al het andere. Typische manieren waarop seed phrases of privésleutels in verkeerde handen kunnen vallen:

• Phishingwebsites die om de herstelzin vragen voor "verificatie" of "herstel".
• gemanipuleerde wallet-apps en nep-browserextensies
• Malware op de computer die specifiek zoekt naar portemonneegegevens.
• niet-versleutelde cloudback-ups, schermafbeeldingen of foto's van de seed phrase
• Valse e-mails van fabrikanten en zogenaamde ondersteuning die zogenaamd wil "helpen".
• Social engineering via Telegram, WhatsApp of Discord

Het antwoord op deze vraag is niet onbelangrijk. Het bepaalt of uw adres nog bewaard kan worden of definitief moet worden opgegeven.

Dit is hoe een sweeper-bot technisch werkt.

Uw adres wordt continu in de gaten gehouden.

Blockchains zijn openbaar. Iedereen kan elk adres volgen en moderne interfaces maken dit praktisch in realtime mogelijk. De bot detecteert een inkomende transactie vaak al voordat je eigen wallet-app het wisselgeld weergeeft.

Bij Bitcoin en vergelijkbare netwerken wordt niet alleen het adres dat je kent in de gaten gehouden, maar alle adressen die kunnen worden afgeleid van je seed phrase. Het aanmaken van een nieuw ontvangstadres in dezelfde wallet heeft daarom geen zin.

Eén punt verrast velen: de bot hoeft niet meteen vanaf de eerste cent toe te slaan. Veel scripts reageren pas als het bedrag hoog genoeg is om de overdracht na aftrek van netwerkkosten rendabel te maken. Een gecompromitteerde wallet kan daardoor lange tijd volkomen normaal lijken.

Waarom je de race praktisch altijd verliest

De bot heeft de transactie al voorbereid en verzendt deze met hoge prioriteit zodra deze is ontvangen. Daarnaast is er een technische factor die vaak over het hoofd wordt gezien in handleidingen: jij en de aanvaller verzenden vanaf hetzelfde adres. Op Ethereum en vergelijkbare netwerken kan echter slechts één transactie per adres en meterstand op de blockchain worden geregistreerd.

Als je ETH stort om je tokens te beveiligen, zullen beide transacties concurreren om dezelfde plek. De bot past automatisch de transactiekosten aan en is direct klaar voor gebruik. Zodra een van de twee transacties is bevestigd, kan de andere niet meer op de normale manier worden uitgevoerd. Handmatig overbieden via de wallet-interface is daarom geen realistische optie.

Solana hanteert een andere aanpak. Daar kan een ander adres de kosten betalen dan het adres waarvan de gelden zijn opgenomen. In dit geval is voor een terugvordering geen storting op het gecompromitteerde adres vereist.

De gasval: het duurste patroon voor slachtoffers

Dit mechanisme creëert een cyclus die de betrokkenen systematisch schaadt: gas wordt afgezet, gas wordt onttrokken, gas wordt opnieuw afgezet, en er is weer een verlies.

De dader laat waardevolle tokens of NFT's opzettelijk onaangeroerd, omdat het overdragen ervan kosten met zich meebrengt die de wallet niet kan betalen. Ze wachten simpelweg tot je deze kosten vooraf betaalt. In bijzonder cynische varianten worden wallets opzettelijk gevuld met ogenschijnlijk waardevolle tokens, waarna de seed phrase opzettelijk wordt gelekt zodat vreemden vooraf betalen. Het feit dat dergelijke tokens vaak helemaal geen waarde hebben, maakt deel uit van de truc.

Hoe herken je een Sweeper Bot?

Een enkele, snelle overdracht bewijst niets. Alleen de combinatie van meerdere kenmerken geeft een duidelijk beeld:

• Altijd dezelfde vertraging. De tijd tussen instroom en uitstroom bedraagt steeds slechts enkele seconden. Opvallend is niet zozeer de snelheid, maar de regelmaat.
• Altijd hetzelfde bestemmingsadres. Alle uitgaande transacties gaan naar hetzelfde adres of naar een kleine, stabiele groep adressen.
• Mathematisch gezien is het nul. Het overgemaakte bedrag is precies het beschikbare saldo min de netwerkkosten. Mensen maken afgeronde bedragen over.
• Alleen bepaalde waarden verdwijnen. Native coins worden verkocht, tokens en NFT's blijven onaangeraakt, zie gas trap.
• Geen dag-nachtritme. Het e-mailadres reageert net zo betrouwbaar 's nachts, op zondagen en op feestdagen. Mensen niet.
• Ongebruikelijk hoge kosten. Aanzienlijk boven het gemiddelde, deels automatisch aangepast.
• Het houdt niet op. Zelfs weken of maanden later reageert het adres nog steeds ongewijzigd op elke storting.
• Niet voor normaal gebruik. Tussen de afvoeren zijn geen wisselingen van apparaten te zien, geen app-gebruik, niets dat wijst op de aanwezigheid van een mens.

Het tegenovergestelde is waar als uw ETH onaangeroerd blijft en er individuele tokens of NFT's ontbreken. In dat geval dient u te controleren..., Waarom verdwijnen alleen bepaalde waarden vaak met een afvoerputje?, omdat in dit geval uw sleutel mogelijk helemaal niet wordt beïnvloed.

Munten besparen ondanks een veegrobot: wat is er nog meer mogelijk?

Soms wel. Maar alleen bij een enkele, zorgvuldig voorbereide poging, nooit door herhaalde pogingen.

Op Ethereum en vergelijkbare netwerken is de gangbare aanpak het combineren van transactiekosten en noodtransfers in één onscheidbaar pakket, dat vervolgens direct naar de blockbuilding-entiteit wordt gestuurd. De bot ziet de gasstorting niet van tevoren; beide transacties komen in hetzelfde blok terecht, waardoor elk tijdsvenster vervalt. Dit is technisch complex, niet mogelijk op alle netwerken en niet gegarandeerd.

Met Solana kunt u geld overmaken via een apart betaaladres in één transactie, zonder dat u het eerst op het gecompromitteerde adres hoeft te storten.

Bitcoin en andere UTXO-netwerken hebben dit gasprobleem niet op dezelfde manier; inkomende fondsen kunnen direct worden doorgestuurd. Bij actief gemonitorde adressen blijft dit echter lastig, omdat beide partijen strijden om hetzelfde bedrag. U dient alle toekomstige betalingen onmiddellijk over te zetten naar een nieuw, onbezwaard adres.

Activa die vastzitten in staking, liquiditeitspools of vesting vereisen individuele beoordeling. Indien de uitbetaling direct naar een vrij te kiezen adres kan worden verzonden, heeft dat de voorkeur boven het gebruik van een gecompromitteerde wallet.

Wat je absoluut niet moet doen na een incident met een veegmachine

• Geen verdere tests of terugbetalingen naar het betreffende adres.
• Gebruik dit adres niet als betaaladres voor andere doeleinden, zelfs niet "even maar kortstondig".„
• Voer de herstelzin nergens opnieuw in, vooral niet op zogenaamde herstelpagina's.
• Installeer geen onbekende "reddingssoftware" of "anti-sweeperprogramma's".
• Vermijd contact met zelfbenoemde herstelcoaches via sociale media, Telegram of reactiesecties.

Het laatste punt is het belangrijkste. Na een cryptodiefstal volgt doorgaans een tweede golf van fraude. Nep-hersteldiensten, valse overheidsprofielen en gemanipuleerde 'hersteldashboards' richten zich precies op situaties waarin je bereid bent een nieuw risico te nemen.

Onthoud dit: geen enkele gerenommeerde rechercheur, medewerker van de klantenservice of dienstverlener zal ooit uw herstelzin of privésleutel nodig hebben. We nemen ook nooit proactief contact op met slachtoffers.

Bewijsmateriaal veiligstellen na cryptodiefstal: dit zijn de documenten die u nodig hebt

Voordat u iets met het apparaat of de portemonnee doet, controleer dan eerst de volgende punten:

• volledige transactiegeschiedenis van het betreffende adres
• alle transactiehashes met tijd en bedrag
• Screenshots met een herkenbare datum
• welke wallet-software en in welke versie werd deze gebruikt?
• welke browserextensies zijn geïnstalleerd
• Voor zover bekend: wanneer en waar u de seed phrase hebt ingevoerd.

Wis het apparaat niet voortijdig. Het opsporen van malware kan helpen de bron van de diefstal te achterhalen en is belangrijk voor het doen van aangifte bij de politie en het afsluiten van een verzekering. Dit betekent echter niet dat u het apparaat kunt blijven gebruiken: een mogelijk gecompromitteerd apparaat is verboden terrein voor digitale portemonnees, bankzaken en e-mail totdat het professioneel is onderzocht. U kunt meer lezen over de soorten bewijsmateriaal die uiteindelijk van belang zijn op [link naar relevante informatie]. Bewijsmateriaal in gevallen van cryptofraude.

Dien vervolgens een strafrechtelijke klacht in. Hieronder leggen we uit hoe u dat doet. Meld cryptofraude.

Een feit dat velen zal verrassen: iedereen die na het incident betalingen doorstuurt of zijn of haar rekeninggegevens beschikbaar stelt, kan zelf een doelwit van de autoriteiten worden. Hieronder beschrijven we wat er dan gebeurt. Account geblokkeerd vanwege vermoedelijke witwaspraktijken..

Wat blockchain-analyse wel en niet kan doen

Een analyse kan niets herstellen, en dat willen we heel duidelijk maken. Wat het wél kan doen, is het traject reconstrueren: van uw wallet via het sweeper-adres naar gedeelde wallets, vervolgens via tussenliggende stations, bridges of mixers, naar een uitbetalingspunt.

Precies hier ligt het werkelijke punt van interventie. Als de fondsen een gereguleerde beurs met identiteitsverificatie bereiken, is er een echte entiteit waar autoriteiten zich kunnen wenden voor informatie- en veiligheidsverzoeken. In het geval van stablecoins is een blokkering door de uitgever ook een mogelijkheid; zie [link/reference]. Blokkeer USDT en USDC..

Ironisch genoeg is automatisering vanuit forensisch oogpunt juist voordelig: het creëert regelmaat, en die regelmaat kan worden aangetoond. Consistente reactietijden, stabiele doeladressen, tot nul gereduceerde saldi en de afwezigheid van een dagelijks ritme creëren een patroon dat kan worden getraceerd in de openbare transactiegeschiedenis. Hieronder beschrijven we in meer detail wat wel en niet mogelijk is. Herstel van cryptovaluta en vermogensherstel.

Of de waarden uiteindelijk gewaarborgd blijven, wordt niet door ons besloten, maar door de deelnemende beurzen, de autoriteiten en, indien nodig, een rechter.

Zo bescherm je jezelf in de toekomst.

• Bewaar de seed phrase alleen offline, nooit als foto, schermafbeelding, cloudnotitie of tekstbestand.
• Hardware wallet voor grotere tegoeden en om de inhoud daadwerkelijk op het scherm van het apparaat af te lezen.
• Aparte wallets: één voor langetermijnopslag, een andere voor experimentele doeleinden.
• Controleer en trek machtigingen regelmatig in; vermijd onbeperkte machtigingen.
• Bevestig nooit iets wat je niet begrijpt en controleer altijd de herkomst van links en extensies.

Het scheiden van rekeningen op basis van hun doel is de meest effectieve maatregel: een adres dat constant met nieuwe applicaties in contact komt, mag nooit tegelijkertijd uw spaarrekening zijn.

Conclusie: De bot is het gevolg, niet de oorzaak.

Een sweeperbot is geen exotisch aanvalsinstrument, maar eerder de logische automatisering van schade die al is aangericht. Het probleem begint niet met het script, maar met het verlies van controle over je inloggegevens. En het eindigt niet met het eerste datalek, want de aanvaller kan de controle oneindig lang behouden.

Dit resulteert in een duidelijke volgorde voor u: eerst vaststellen wat er precies is gebeurd, vervolgens bewijsmateriaal verzamelen en dan pas actie ondernemen. Niet andersom. En het betreffende adres kan niet worden hersteld, maar moet worden opgegeven.

Als u niet zeker weet hoe uw zaak geclassificeerd moet worden, raadpleeg dan onze Gratis eerste beoordeling voor cryptofraude of Neem direct contact met ons op..

Veelgestelde vragen over de Sweeper Bot

Let op: dit artikel is uitsluitend bedoeld voor algemene informatieve doeleinden en vervangt geen juridisch advies in individuele gevallen. Crypto Investigation is een forensisch dienstverlener en geen advocatenkantoor.