Wallet Drainer: Wie eine einzige Signatur Ihre Wallet leeren kann

Sie waren auf einer Website, die einen Airdrop, einen NFT-Mint oder eine Sicherheitsprüfung angeboten hat. Ihre Wallet hat eine Bestätigung angefordert, Sie haben getippt, und die Sache sah harmlos aus. Kurz darauf fehlen Token, NFTs oder beides.

Das war ein Wallet Drainer. Und das Irritierende daran: Es wurde nichts gehackt. Es gab keine Sicherheitslücke, keinen Einbruch und keinen Fehler der Blockchain. Aus Sicht des Netzwerks liegt eine völlig korrekt autorisierte Transaktion vor. Sie haben tatsächlich signiert, nur eben nicht verstanden, welche Rechte Sie damit eingeräumt haben.

Genau das macht den Fall so schwer greifbar und gleichzeitig weniger hoffnungslos, als er sich anfühlt. Denn anders als bei einem gestohlenen Schlüssel ist der Zugriff des Täters meistens begrenzt, und ein Teil davon lässt sich abschalten.

Was ein Wallet Drainer ist und was nicht

Ein Wallet Drainer ist keine Software auf Ihrem Handy oder in Ihrer Wallet. Es gibt nichts zu deinstallieren. Dahinter steht eine Infrastruktur: eine überzeugend gebaute Fake-Website, eine Anbindung an Ihre Wallet, eine Logik, die im Hintergrund Ihren Bestand bewertet, vorbereitete Signaturanfragen, ein oder mehrere Smart Contracts sowie Sammeladressen für die Beute.

Der entscheidende Punkt: Bei den klassischen Varianten bekommt der Täter keine allgemeine Kontrolle über Ihre Wallet, sondern nur genau das Recht, das Sie erteilt haben. Ihre Seed Phrase bleibt unbekannt. Daraus ergeben sich sowohl die Grenzen des Schadens als auch die Chancen der Gegenwehr.

Damit unterscheidet sich der Drainer grundlegend vom Sweeper Bot, bei dem der Täter Ihren Schlüssel kennt und deshalb dauerhaft über alles verfügen kann. Eine Freigabe können Sie widerrufen. Einen bekannt gewordenen Schlüssel nicht.

Wie ein Wallet-Drainer-Angriff typischerweise abläuft

Der Köder. Sie landen über gefälschte Airdrops, NFT-Mints, Token-Claims, Staking- oder Bridge-Angebote auf einer Täuschungsseite. Häufig führen übernommene Social-Media-Konten, bezahlte Suchanzeigen oder Links aus Direktnachrichten dorthin. Zunehmend sind es Nachbauten bekannter Anbieter unter fast identischen Domainnamen.

Die Verbindung. Sie verbinden Ihre Wallet. Das allein ist noch keine Freigabe, aber ab diesem Moment kennt die Gegenseite Ihre Adresse.

Die Bewertung. Im Hintergrund wird Ihr Bestand ausgelesen und sortiert. Welche Anfrage Ihnen angezeigt wird, hängt davon ab, welcher Wert am meisten bringt und am schnellsten abfließen kann. Deshalb erzeugt dieselbe Seite bei verschiedenen Nutzern unterschiedliche Anfragen.

Die Signatur. Sie bestätigen: eine Freigabe, eine Nachricht, eine Berechtigung oder direkt eine Transaktion.

Die Ausführung. Das Recht wird eingelöst, oft für mehrere Werte in einem einzigen Vorgang.

Die Weiterleitung. Die Beute geht an Sammeladressen, wird aufgeteilt, getauscht, über Bridges bewegt und irgendwo ausgezahlt.

Wichtig für das Verständnis: Der Abfluss ist das Ende der Kette, nicht ihr Anfang. Der entscheidende Moment liegt davor.

Was Sie eigentlich bestätigt haben

Eine Freigabe für Token

Bei Ethereum und ähnlichen Netzwerken können Sie einer Adresse oder einem Programm erlauben, Token in Ihrem Namen zu übertragen. Das ist völlig normal und für dezentrale Börsen unverzichtbar.

Missbräuchlich wird es, wenn diese Erlaubnis an einen Contract des Täters geht. Der kann dann jederzeit auf die freigegebene Menge zugreifen, ohne dass Sie noch irgendetwas tun müssen.

Zwei Dinge verschärfen das. Erstens fragen viele Anwendungen aus Kostengründen gleich unbegrenzte Freigaben ab, die weit über den konkreten Anlass hinausgehen. Zweitens bleibt eine erteilte Freigabe bestehen, bis sie widerrufen oder verbraucht wird. Die Wallet-Verbindung zur Website zu trennen, beendet nur die Sitzung im Browser. An der Freigabe selbst ändert das nichts.

Eine Freigabe für Ihre gesamte NFT-Sammlung

Bei NFTs geht es noch weiter. Neben einzelnen Stücken lässt sich mit einer einzigen Bestätigung ein Verwalter für den kompletten Bestand einer Sammlung einsetzen. Kontrolliert der Täter diesen Verwalter, kann er alle NFTs dieser Sammlung übertragen, ohne erneut zu fragen. Bei wertvollen Sammlungen entsteht so in einem Vorgang ein großer Schaden.

Eine Signatur ohne sichtbare Transaktion

Das ist die tückischste Variante. Neuere Verfahren verlagern die Freigabe von der Transaktion in die Signatur. Sie unterschreiben eine strukturierte Nachricht, die eine Freigabe oder direkt einen Transfer erlaubt. Eingelöst wird sie später von jemand anderem.

Für Sie sieht das doppelt harmlos aus: Es fallen keine Gebühren an, und die Wallet zeigt oft nur technische Daten ohne verständliche Erklärung. Kein Kostenhinweis heißt hier gerade nicht, dass nichts passiert.

Dazu kommt die zeitliche Entkopplung. Zwischen Ihrer Signatur und dem Abfluss können Stunden oder Tage liegen. Genau deshalb ordnen viele Betroffene den Vorfall zeitlich falsch ein und suchen den Fehler an der falschen Stelle. Und für die Aufklärung ist das besonders unangenehm: Die Signatur selbst hinterlässt keine Spur in der Blockchain. Sichtbar ist nur ihre Einlösung. Dass Sie überhaupt signiert haben, muss aus Browserverlauf, Wallet-Protokollen oder Ihrer Kommunikation belegt werden.

Eine Berechtigung für Ihr gesamtes Konto

Seit einem Ethereum-Update im Mai 2025 können normale Wallets Ausführungsrechte an einen Smart Contract abgeben. Gedacht ist das für Komfortfunktionen, etwa damit jemand anderes Ihre Gebühren übernimmt oder mehrere Vorgänge gebündelt ablaufen.

Für Drainer entsteht daraus eine neue Qualität. Statt einer einzelnen Token-Freigabe wird Ihnen eine solche Berechtigung zur Signatur vorgelegt, oft getarnt als Sicherheits- oder Komfort-Upgrade Ihrer Wallet. Was danach möglich ist, bestimmt allein der Code, dem Sie das Recht gegeben haben, bis hin zum Abzug Ihrer normalen Coins. Diese Variante hebelt also gerade die Begrenzung aus, die Drainer sonst auszeichnet.

Bei Solana: ein stiller Wechsel des Eigentümers

Solana funktioniert anders und in einem Punkt weitreichender. Dort lässt sich die Verfügungsberechtigung über ein einzelnes Token-Konto auf eine andere Adresse übertragen. Danach kommen Sie an diesen Bestand nicht mehr heran, obwohl Ihr Schlüssel für alles andere weiter gültig ist.

Das Perfide daran: Bei diesem Vorgang bewegt sich zunächst kein Guthaben. Es sieht nach nichts aus. Viele Oberflächen stellen den Wechsel deshalb unauffälliger dar als einen sichtbaren Abfluss.

Ebenfalls Solana-spezifisch sind Transaktionen, die über ein besonderes Verfahren dauerhaft gültig bleiben, statt nach kurzer Zeit zu verfallen. Sie können also erheblich später eingereicht werden. Auch hier gilt: Der Moment der Signatur und der Moment der Ausführung liegen weit auseinander.

Warum Ihre Wallet trotzdem nicht ganz leer ist

Bei einem freigabebasierten Angriff wird nicht zwangsläufig alles genommen. Betroffen ist genau das, was die Freigabe erfasst: eine bestimmte Token-Art, eine bestimmte NFT-Sammlung, ein bestimmter Contract.

Bei Ethereum und ähnlichen Netzwerken ist Ihr normaler Coin, also ETH oder BNB, von einer Token- oder NFT-Freigabe gar nicht erfasst. Seine Übertragung braucht eine eigene, mit Ihrem Schlüssel signierte Transaktion. Genau das ist ein starkes Indiz, das Ihnen hilft: Bleibt ETH liegen, während einzelne Token fehlen, spricht das dafür, dass Ihr Schlüssel nicht kompromittiert ist.

Umgekehrt gilt das aber nicht. Auch bei einem Drainer kann ETH abfließen, wenn Sie direkt eine Transfer-Transaktion oder eine der oben beschriebenen Kontoberechtigungen bestätigt haben. „Auch mein ETH ist weg“ beweist also keinen Schlüsseldiebstahl, es verschiebt nur die Frage darauf, welche Erlaubnis genau dem Abfluss zugrunde lag.

Warum ein Hardware Wallet nicht automatisch schützt

Das ist der häufigste Irrtum in diesem Zusammenhang. Ein Hardware Wallet schützt Ihren Schlüssel, weil er das Gerät nicht verlässt. Es schützt aber nicht davor, dass Sie etwas Falsches bestätigen. Eine schädliche Freigabe wird genauso korrekt signiert wie eine legitime.

Entscheidend ist nicht, wo Ihr Schlüssel liegt, sondern was Sie autorisieren.

Dahinter steht ein Grundproblem, das die meisten dieser Angriffe erst möglich macht: Sie bestätigen etwas, dessen Inhalt und Folgen Ihnen nicht vollständig oder nicht verständlich angezeigt werden. Manchmal erscheinen nur Rohdaten, manchmal wird die aufgerufene Funktion nicht in Klartext aufgelöst, manchmal werden Warnhinweise aus Gewohnheit weggeklickt.

Auch Vorschau- und Prüffunktionen, die Ihnen anzeigen sollen, was eine Transaktion bewirkt, sind kein vollständiger Schutz. Zwischen Prüfung und Ausführung bleibt eine Lücke, die gezielt ausgenutzt wird: Manche Contracts erkennen, dass sie gerade nur getestet werden, und verhalten sich dann harmlos. Andere lassen sich nachträglich umschreiben. Und in manchen Fällen existiert der schädliche Code zum Zeitpunkt der Prüfung noch gar nicht.

Was nach einem Wallet-Drainer-Angriff sofort zu tun ist

Nichts mehr signieren. Weder auf der betreffenden Seite noch auf angeblichen Prüf- oder Rettungsdiensten.

Klären, was passiert ist, bevor Sie handeln. Die zentrale Frage lautet: Wurde nur eine Berechtigung missbraucht, oder ist zusätzlich Ihr Schlüssel abgeflossen? Davon hängt alles ab. Im ersten Fall genügt ein Widerruf, im zweiten müssen Sie alles auf eine neue Wallet migrieren.

Freigaben prüfen und widerrufen. Bestehende Token- und NFT-Freigaben zurücksetzen, eine erteilte Kontoberechtigung zusätzlich aufheben. Ein Widerruf kostet Netzwerkgebühren und wirkt nur für die Zukunft.

Reihenfolge nicht schematisch abarbeiten. Ob Sie zuerst die restlichen Werte wegbewegen oder zuerst widerrufen, hängt vom konkreten Fall ab. Ein Transfer erfordert selbst wieder Bestätigungen, eine noch aktive Freigabe bleibt bis zum Widerruf nutzbar.

Beweise sichern, bevor Sie Browserdaten löschen oder das Gerät neu aufsetzen.

Keine Rettungsangebote annehmen. Dazu unten mehr.

Und eine Einschränkung, die dazugehört: Ein Widerruf schützt nur vor der künftigen Nutzung der Freigabe. Bereits abgeflossene Werte kommen dadurch nicht zurück. Und er hilft gar nichts, wenn zusätzlich Ihr Schlüssel bekannt, Ihr Gerät infiziert oder eine Kontoberechtigung noch aktiv ist.

Diese Beweise sollten Sie sichern

• die betroffene Adresse
• alle Transaktions-Hashes mit Zeitpunkt und Betrag
• die aufgerufene Website mit vollständiger Adresse, per Screenshot
• Browserverlauf und, falls vorhanden, das Aktivitätsprotokoll Ihrer Wallet
• die gesamte Kommunikation, über die Sie auf die Seite gelangt sind
• welche Wallet-Software und welche Browser-Erweiterungen im Einsatz sind

Der Browserverlauf ist hier keine Nebensache, sondern häufig das wichtigste Beweismittel überhaupt, weil er den Zeitpunkt Ihrer Signatur belegt. Und wenn der Verdacht besteht, dass Ihr Gerät infiziert ist: nicht vorschnell bereinigen, aber auch nicht weiter für Wallet, Banking und E-Mail nutzen. Welche Nachweise am Ende zählen, lesen Sie unter Beweismittel bei Kryptobetrug.

Erstatten Sie anschließend Strafanzeige. Wie Sie dabei vorgehen, zeigen wir unter Krypto-Betrug melden.

Vorsicht vor der zweiten Welle: Recovery Scam nach dem Drainer

Nach einem solchen Vorfall folgt regelmäßig ein zweiter Betrugsversuch. Angebliche Rückholdienste, gefälschte Support-Konten und manipulierte „Recovery-Dashboards“ zielen genau auf die Situation, in der Sie bereit sind, noch ein Risiko einzugehen.

Ein typischer Verlauf beginnt mit einer schädlichen Freigabe und eskaliert erst dadurch: Das Opfer wendet sich an einen gefälschten Support und gibt dort zusätzlich die Seed Phrase heraus. Aus einem begrenzten Drainer-Fall wird dann eine vollständige Kompromittierung, und die ist nicht mehr reparabel. Woran Sie solche Anbieter erkennen, zeigen wir in Recovery Scam nach Kryptobetrug erkennen.

Merken Sie sich diesen Satz: Kein seriöser Dienstleister braucht jemals Ihre Seed Phrase oder Ihren Private Key. Auch wir kontaktieren Geschädigte nie von uns aus.

Was eine Blockchain-Analyse leisten kann und was nicht

Zurückholen kann eine Analyse nichts, und das sagen wir bewusst deutlich. Was sie leisten kann, ist die Rekonstruktion des Wegs: von Ihrer Wallet über den Drainer-Contract zu den Sammeladressen, weiter über Tauschvorgänge, Bridges oder Mixer bis zu einer Auszahlungsstelle.

Genau dort liegt der Ansatzpunkt. Erreichen die Mittel eine regulierte Börse mit Identitätsprüfung, gibt es eine reale Stelle, an die Behörden Auskunfts- und Sicherungsersuchen richten können. Bei Stablecoins kommt zusätzlich eine Sperre durch den Herausgeber in Betracht, siehe USDT und USDC einfrieren.

Forensisch ist die Lage dabei besser, als sie sich anfühlt: Freigaben, Berechtigungen, Contract-Aufrufe und Weiterleitungen sind dauerhaft dokumentiert und zeitlich auswertbar. Wo der Signaturvorgang selbst unsichtbar bleibt, treten Geräte- und Kommunikationsspuren an seine Stelle. Was insgesamt möglich ist, beschreiben wir unter Kryptos zurückholen und Asset Recovery.

Eine Sache noch, die viele überrascht: Wer nach dem Vorfall Zahlungen weiterleitet oder sein Konto zur Verfügung stellt, kann selbst ins Visier der Behörden geraten. Was dann passiert, beschreiben wir unter Konto gesperrt wegen Geldwäscheverdacht.

Wallet Drainer vermeiden: so schützen Sie sich künftig

• Wallets nach Zweck trennen. Die Wallet für langfristige Verwahrung sollte nie dieselbe sein, mit der Sie neue Anwendungen ausprobieren.
• Freigaben begrenzen und nicht mehr benötigte regelmäßig widerrufen. Unbegrenzte Freigaben vermeiden.
• Signaturanfragen lesen. Was Sie nicht verstehen, bestätigen Sie nicht. Besonders bei Berechtigungen und strukturierten Signaturen ohne erkennbaren Anlass.
• Herkunft der Seite prüfen. Keine Aufrufe über Links aus Direktnachrichten, Kommentaren oder Werbeanzeigen. Adresse immer selbst eintippen.
• Hardware Wallet für größere Bestände, und die Inhalte auf dem Gerätedisplay tatsächlich lesen.

Weitere Präventionshinweise haben wir in unserem Ratgeber zum Erkennen und Vermeiden von Krypto-Betrug zusammengestellt.

Fazit: Angegriffen wird nicht die Blockchain, sondern Ihre Bestätigung

Wallet Drainer greifen nicht die Blockchain an, sondern den Moment, in dem Sie etwas autorisieren. Sie funktionieren, weil eine Signatur technisch bindend ist, ihre Bedeutung für Sie aber oft nicht erkennbar. Und die Entwicklung geht in die falsche Richtung: von Signaturen ohne Gebührenhinweis über weitreichende Kontoberechtigungen bis zu stillen Eigentümerwechseln bei Solana wird die schädliche Wirkung immer unsichtbarer, zeitversetzter und umfassender.

Für Sie zählt am Ende eine einzige Frage: Wurde nur eine Berechtigung missbraucht, oder ist Ihre Wallet als Ganzes kompromittiert? Davon hängt ab, ob ein Widerruf genügt oder ob alles auf eine neue Wallet muss.

Wenn Sie unsicher sind, wie Ihr Fall einzuordnen ist, nutzen Sie unsere kostenlose Ersteinschätzung bei Krypto-Betrug oder nehmen Sie direkt Kontakt auf.

FAQs zum Wallet Drainer

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall. Krypto Investigation ist ein forensischer Dienstleister und keine Rechtsanwaltskanzlei.