Sweeper Bot: Warum Ihre Wallet nach jeder Einzahlung sofort leer ist

Sie haben noch Zugriff auf Ihre Wallet. Die Seed Phrase funktioniert, die App öffnet sich, Ihre Token werden angezeigt. Und trotzdem: Jedes Mal, wenn Geld eingeht, ist es nach wenigen Sekunden wieder verschwunden.

Viele Betroffene halten das für einen Fehler der Wallet-Software oder für einen laufenden Angriff auf das Netzwerk. Beides trifft in der Regel nicht zu. Was hier passiert, ist ein Sweeper Bot: ein automatisiertes Skript, das Ihre Adresse rund um die Uhr überwacht und jeden Zugang sofort an eine Adresse des Täters weiterleitet.

Die schlechte Nachricht steckt in der Voraussetzung dafür. Damit ein Sweeper überhaupt funktioniert, muss der Täter Ihren privaten Schlüssel oder Ihre Seed Phrase kennen. Der eigentliche Vorfall liegt also schon in der Vergangenheit, oft Wochen zurück. Dieser Beitrag erklärt, wie das Ganze technisch abläuft, wie Sie es erkennen, was Sie unbedingt vermeiden sollten und was von Rettungsversprechen zu halten ist.

Was ein Sweeper Bot ist und was er nicht ist

Ein Sweeper Bot ist keine Software, die auf Ihrem Handy oder Ihrer Wallet installiert wäre. Er läuft auf einem Server des Täters. Auf Ihrem Gerät gibt es also nichts zu löschen, nichts zu deinstallieren und nichts zu bereinigen, was das Problem beenden würde.

Der Bot braucht nur zwei Dinge: einen Schlüssel, mit dem er in Ihrem Namen signieren kann, und eine Verbindung zur Blockchain. Alles andere ist Automatisierung.

Wichtig ist auch die Abgrenzung nach unten: Nicht jeder Verlust ist ein Sweeper-Fall. Wenn Ihnen einzelne Token oder NFTs abhandenkommen, während Ihr Bitcoin oder Ethereum unangetastet bleibt, hat der Täter vermutlich keinen Schlüssel, sondern eine Freigabe, die Sie selbst irgendwann bestätigt haben. Wie so ein Angriff im Einzelnen abläuft, von der Freigabe über getarnte Signaturen bis zu weitreichenden Kontoberechtigungen, beschreibt unser Beitrag zum Wallet Drainer.

Der Unterschied ist entscheidend, weil er über Ihre Handlungsmöglichkeiten bestimmt. Eine Freigabe können Sie widerrufen. Einen bekannt gewordenen Schlüssel nicht.

Ihre Seed Phrase ist nämlich kein Passwort, das man ändern kann. Aus ihr werden alle Schlüssel Ihrer Wallet dauerhaft berechnet. Wer sie kennt, kann sämtliche zugehörigen Adressen jederzeit wiederherstellen, egal mit welcher App. Eine Neuinstallation, ein neues Gerätepasswort oder ein Wechsel der Wallet ändern daran nichts.

Übrigens ist „Sweeping“ als Verfahren nicht automatisch kriminell. Börsen und Zahlungsdienstleister räumen ihre Einzahlungsadressen ganz routinemäßig automatisiert in Sammelwallets. Kriminell wird es erst dadurch, dass hier jemand Ihren Schlüssel benutzt.

Wie Seed Phrase oder Private Key überhaupt abgeflossen sind

Bevor es um den Bot geht, muss diese Frage geklärt werden, denn sie entscheidet über alles Weitere. Typische Wege, auf denen Seed Phrase oder Private Key in fremde Hände geraten:

• Phishing-Seiten, die zur „Verifizierung“ oder „Wiederherstellung“ nach der Seed Phrase fragen
• manipulierte Wallet-Apps und gefälschte Browser-Erweiterungen
• Schadsoftware auf dem Computer, die gezielt nach Wallet-Daten sucht
• unverschlüsselte Cloud-Backups, Screenshots oder Fotos der Seed Phrase
• gefälschte Hersteller-E-Mails und angeblicher Support, der „helfen“ will
• Social Engineering über Telegram, WhatsApp oder Discord

Die Antwort auf diese Frage ist keine Nebensache. Sie entscheidet darüber, ob Ihre Adresse noch zu retten ist oder dauerhaft aufgegeben werden muss.

So arbeitet ein Sweeper Bot technisch

Ihre Adresse wird permanent überwacht

Blockchains sind öffentlich. Jeder kann jede Adresse beobachten, und moderne Schnittstellen erlauben das praktisch in Echtzeit. Der Bot bemerkt einen Eingang häufig schon, bevor Ihre eigene Wallet-App die Änderung überhaupt anzeigt.

Bei Bitcoin und ähnlichen Netzwerken überwacht er nicht nur die eine Adresse, die Sie kennen, sondern alle Adressen, die sich aus Ihrer Seed Phrase ableiten lassen. Eine neue Empfangsadresse in derselben Wallet zu erzeugen, hilft deshalb nicht.

Ein Punkt überrascht viele: Der Bot muss nicht ab dem ersten Cent zuschlagen. Viele Skripte reagieren erst ab einem Betrag, bei dem sich der Transfer nach Abzug der Netzwerkgebühr lohnt. Eine kompromittierte Wallet kann deshalb lange völlig normal wirken.

Warum Sie das Rennen praktisch immer verlieren

Der Bot hält seine Transaktion bereits fertig vorbereitet und sendet sie im Moment des Eingangs mit hoher Priorität ab. Dazu kommt ein technischer Umstand, der in vielen Ratgebern fehlt: Sie und der Täter senden von derselben Adresse. Bei Ethereum und vergleichbaren Netzwerken kann pro Adresse und Zählerstand aber nur eine Transaktion in die Blockchain gelangen.

Zahlen Sie also ETH ein, um Ihre Token wegzuretten, konkurrieren beide Transaktionen um denselben Platz. Der Bot passt seine Gebühr automatisch an und ist sofort da. Sobald eine der beiden Transaktionen bestätigt ist, kann die andere nicht mehr regulär ausgeführt werden. Manuell über die Wallet-Oberfläche zu überbieten, ist deshalb kein realistischer Weg.

Bei Solana sieht es anders aus. Dort kann eine andere Adresse die Gebühr tragen als die, von der die Werte abgehen. Eine Rettung erfordert dann gerade keine Einzahlung auf die kompromittierte Adresse.

Die Gas-Falle: das teuerste Muster für Betroffene

Aus dieser Mechanik entsteht ein Kreislauf, der Betroffene systematisch weiter schädigt: Gas einzahlen, Gas wird abgezogen, wieder einzahlen, wieder Verlust.

Der Täter lässt wertvolle Token oder NFTs bewusst stehen, weil ihr Transfer Gebühren kostet, die die Wallet nicht hat. Er wartet einfach, bis Sie diese Gebühren vorfinanzieren. In besonders zynischen Varianten werden Wallets absichtlich mit scheinbar wertvollen Token bestückt und die Seed Phrase dann gezielt „geleakt“, damit Fremde Gas nachzahlen. Dass solche Token häufig überhaupt keinen Wert haben, ist Teil der Masche.

Woran Sie einen Sweeper Bot erkennen

Ein einzelner schneller Transfer beweist noch nichts. Erst die Kombination mehrerer Merkmale macht das Bild eindeutig:

• Immer gleiche Verzögerung. Zwischen Eingang und Abfluss liegen konstant wenige Sekunden. Auffällig ist weniger die Schnelligkeit als die Gleichmäßigkeit.
• Immer dieselbe Zieladresse. Alle Abflüsse gehen an dieselbe oder an eine kleine, stabile Gruppe von Adressen.
• Rechnerisch auf null. Überwiesen wird genau das Guthaben minus Netzwerkgebühr. Menschen überweisen gerundete Beträge.
• Nur bestimmte Werte verschwinden. Native Coins gehen, Token und NFTs bleiben liegen, siehe Gas-Falle.
• Kein Tag-Nacht-Rhythmus. Die Adresse reagiert nachts, sonntags und an Feiertagen genauso zuverlässig. Menschen tun das nicht.
• Ungewöhnlich hohe Gebühren. Deutlich über dem Durchschnitt, teils automatisch nachgezogen.
• Es hört nicht auf. Auch Wochen oder Monate später reagiert die Adresse unverändert auf jede Einzahlung.
• Keine normale Nutzung. Zwischen den Abflüssen gibt es keine Swaps, keine App-Nutzung, nichts, was auf einen Menschen hindeutet.

Genau umgekehrt sieht es aus, wenn Ihr ETH liegen bleibt und stattdessen einzelne Token oder NFTs fehlen. Dann sollten Sie prüfen, warum bei einem Drainer oft nur bestimmte Werte verschwinden, denn in diesem Fall ist Ihr Schlüssel möglicherweise gar nicht betroffen.

Coins retten trotz Sweeper Bot: was noch möglich ist

Manchmal ja. Aber nur mit einem einzigen, sorgfältig vorbereiteten Versuch, nie durch wiederholtes Ausprobieren.

Bei Ethereum und ähnlichen Netzwerken funktioniert der etablierte Ansatz so, dass Gebührenzahlung und Rettungstransfer in einem einzigen, untrennbaren Paket zusammengefasst und direkt an die Stelle übermittelt werden, die Blöcke zusammenbaut. Der Bot sieht die Gaseinzahlung dann nicht vorab, beide Vorgänge landen im selben Block, und es entsteht kein Zeitfenster. Das ist technisch anspruchsvoll, nicht auf allen Netzwerken möglich und nicht garantiert.

Bei Solana lassen sich Werte über eine separate zahlende Adresse in einer Transaktion herausbewegen, ohne dass Sie auf die kompromittierte Adresse einzahlen müssen.

Bei Bitcoin und anderen UTXO-Netzwerken gibt es das Gas-Problem in dieser Form nicht, eingehende Beträge können direkt weitergegeben werden. Bei aktiv überwachten Adressen bleibt es aber schwierig, weil beide Seiten um denselben Betrag konkurrieren. Künftige Zahlungen sollten Sie in jedem Fall sofort auf eine neue, unbelastete Adresse umstellen.

Werte, die in Staking, Liquiditätspools oder Vesting gebunden sind, brauchen eine Einzelfallprüfung. Lässt sich die Auszahlung direkt an eine frei wählbare Adresse richten, ist das besser als der Umweg über die kompromittierte Wallet.

Was Sie nach einem Sweeper-Vorfall auf keinen Fall tun sollten

• Keine weiteren Test- oder Nachzahlungen auf die betroffene Adresse
• Die Adresse nicht weiter als Zahlungsziel nutzen, auch nicht „nur kurz“
• Die Seed Phrase nirgends erneut eingeben, schon gar nicht auf angeblichen Recovery-Seiten
• Keine unbekannte „Rettungssoftware“ oder „Anti-Sweeper-Tools“ installieren
• Keinen Kontakt zu selbsternannten Recovery-Agenten über Social Media, Telegram oder Kommentarspalten

Der letzte Punkt ist der wichtigste. Nach einem Kryptodiebstahl folgt regelmäßig eine zweite Betrugswelle. Angebliche Rückholdienste, gefälschte Behördenprofile und manipulierte „Recovery-Dashboards“ zielen genau auf die Situation, in der Sie bereit sind, noch ein Risiko einzugehen.

Merken Sie sich einen Satz: Kein seriöser Ermittler, Support-Mitarbeiter oder Dienstleister braucht jemals Ihre Seed Phrase oder Ihren Private Key. Auch wir kontaktieren Geschädigte nie von uns aus.

Beweise sichern nach Krypto-Diebstahl: diese Unterlagen brauchen Sie

Bevor Sie am Gerät oder an der Wallet etwas tun, sichern Sie folgende Punkte:

• vollständige Transaktionshistorie der betroffenen Adresse
• alle Transaktions-Hashes mit Zeitpunkt und Betrag
• Screenshots mit erkennbarem Datum
• welche Wallet-Software in welcher Version im Einsatz war
• welche Browser-Erweiterungen installiert sind
• soweit noch nachvollziehbar: wann und wo Sie die Seed Phrase eingegeben haben

Löschen Sie das Gerät nicht vorschnell. Ein Fund von Schadsoftware kann die Ursachenkette schließen und ist für Anzeige und Versicherung wichtig. Das heißt aber nicht, dass Sie es weiter benutzen sollten: Für Wallet, Banking und E-Mail ist ein möglicherweise kompromittiertes Gerät tabu, bis es fachkundig geprüft wurde. Welche Nachweise am Ende zählen, lesen Sie unter Beweismittel bei Kryptobetrug.

Erstatten Sie anschließend Strafanzeige. Wie Sie dabei vorgehen, zeigen wir unter Krypto-Betrug melden.

Ein Hinweis, der viele überrascht: Wer nach dem Vorfall Zahlungen weiterleitet oder sein Konto zur Verfügung stellt, kann selbst ins Visier der Behörden geraten. Was dann passiert, beschreiben wir unter Konto gesperrt wegen Geldwäscheverdacht.

Was eine Blockchain-Analyse leisten kann und was nicht

Zurückholen kann eine Analyse nichts, und das sagen wir bewusst deutlich. Was sie leisten kann, ist die Rekonstruktion des Wegs: von Ihrer Wallet über die Sweeper-Adresse zu Sammelwallets, weiter über Zwischenstationen, Bridges oder Mixer bis zu einer Auszahlungsstelle.

Genau dort entsteht der eigentliche Ansatzpunkt. Erreichen die Mittel eine regulierte Börse mit Identitätsprüfung, gibt es eine reale Stelle, an die Behörden Auskunfts- und Sicherungsersuchen richten können. Bei Stablecoins kommt zusätzlich eine Sperre durch den Herausgeber in Betracht, siehe USDT und USDC einfrieren.

Forensisch günstig ist dabei ausgerechnet die Automatisierung: Sie erzeugt Regelmäßigkeit, und Regelmäßigkeit lässt sich belegen. Konstante Reaktionszeiten, stabile Zieladressen, auf null gefahrene Salden und ein fehlender Tagesrhythmus ergeben ein Muster, das über die öffentliche Transaktionshistorie nachweisbar ist. Was insgesamt möglich ist und was nicht, beschreiben wir unter Kryptos zurückholen und Asset Recovery.

Ob am Ende tatsächlich Werte gesichert werden, entscheiden nicht wir, sondern die beteiligten Börsen, die Behörden und im Zweifel ein Gericht.

So schützen Sie sich künftig

• Seed Phrase ausschließlich offline aufbewahren, niemals als Foto, Screenshot, Cloud-Notiz oder Textdatei
• Hardware Wallet für größere Bestände und die Inhalte auf dem Gerätedisplay tatsächlich lesen
• Wallets trennen: eine für die langfristige Verwahrung, eine andere für alles Experimentelle
• Freigaben regelmäßig prüfen und widerrufen, unbegrenzte Freigaben vermeiden
• Nichts bestätigen, was Sie nicht verstehen, und Herkunft von Links und Erweiterungen immer prüfen

Die Trennung nach Verwendungszweck ist die wirksamste Einzelmaßnahme überhaupt: Eine Adresse, die ständig mit neuen Anwendungen interagiert, sollte nie gleichzeitig Ihr Sparkonto sein.

Fazit: Der Bot ist die Folge, nicht die Ursache

Ein Sweeper Bot ist kein exotisches Angriffswerkzeug, sondern die konsequente Automatisierung eines Schadens, der schon eingetreten ist. Das Problem beginnt nicht mit dem Skript, sondern mit dem Verlust der Kontrolle über Ihre Zugangsdaten. Und es endet nicht mit dem ersten Abfluss, weil der Täter dauerhaft verfügen kann.

Für Sie ergibt sich daraus eine klare Reihenfolge: erst klären, was tatsächlich passiert ist, dann Beweise sichern, dann handeln. Nicht umgekehrt. Und die betroffene Adresse ist nicht zu reparieren, sondern aufzugeben.

Wenn Sie unsicher sind, wie Ihr Fall einzuordnen ist, nutzen Sie unsere kostenlose Ersteinschätzung bei Krypto-Betrug oder nehmen Sie direkt Kontakt auf.

FAQs zum Sweeper Bot

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall. Krypto Investigation ist ein forensischer Dienstleister und keine Rechtsanwaltskanzlei.