Airdrop-Betrug erkennen: Drainer, gefälschte Claims und falscher Support

Airdrops ziehen Betrüger an, weil das Opfer ohnehin erwartet, eine Wallet zu verbinden und einen Knopf zu drücken. Der Angreifer muss nur dafür sorgen, dass der Knopf etwas anderes tut, als du denkst. Diese Seite zeigt, wie dieser Tausch funktioniert und wie du ihn bemerkst.

So läuft ein Drainer-Angriff ab

Ein Wallet-Drainer ist ein Baukasten, der an Betrüger verkauft oder vermietet wird. Er liefert eine Oberfläche, die eine echte Claim-Seite nachahmt, und ein Skript, das die verbundene Wallet untersucht, die wertvollsten Bestände heraussucht und die Signaturanfrage baut, mit der sie abfließen. Das Denken übernimmt der Baukasten, der Angreifer braucht keine technischen Kenntnisse. Deshalb wiederholt sich dasselbe Muster überall.

Auffällig ist, was fehlt: kein Passwort, keine Seed-Phrase, keine Schadsoftware. Alles läuft über normale Wallet-Funktionen. Die Abwehr gehört deshalb auf den Signaturbildschirm und an die Frage, woher der Link kam.

Was die bösartige Signatur tatsächlich bewirkt

Vier Mechanismen erklären die meisten Drainer-Verluste. Alle sind normale Token-Funktionen aus öffentlichen Standards. Wer sie versteht, verliert die Angst vor dem Unbekannten.

ERC-20 approve

Der Standard EIP-20 erlaubt einem Token-Inhaber, einen Spender per approve zu berechtigen, Token bis zu einem Betrag auch mehrfach abzuheben. Der Spender bewegt die Token dann mit transferFrom, ohne erneut zu fragen (EIP-20). Ein Drainer bittet dich, seine eigene Adresse freizugeben, häufig für den Höchstbetrag. Ethereum.org rät aus genau diesem Grund, keine unbegrenzten Ausgabelimits zu erlauben (ethereum.org).

NFT setApprovalForAll

Bei NFTs erlaubt setApprovalForAll einem Operator, alle deine Token einer Sammlung zu übertragen (EIP-721). Ein echter Marktplatz nutzt diese Funktion, eine kostenlose Claim-Seite hat dafür keinen Grund. Sie will nicht geben, sondern die Kontrolle über deine ganze Sammlung.

Permit-Signaturen nach EIP-2612

EIP-2612 ergänzt eine Funktion permit, die eine Freigabe über eine signierte Nachricht statt über eine Transaktion setzt. Die Signatur umfasst Eigentümer, Spender, Betrag, Nonce und Ablaufzeit, und jeder kann sie einreichen, weil die Signatur und nicht der Absender die Freigabe autorisiert (EIP-2612). Die Falle: Das Signieren kostet kein Gas und fühlt sich an wie ein Login. Es gibt keine Transaktion zu prüfen und im Block-Explorer nichts zu sehen, bis der Angreifer die Signatur einreicht. Eine Ablaufzeit auf dem Höchstwert hebt die Befristung praktisch auf.

Permit2-Signaturen

Permit2 ist ein Uniswap-Contract, der nach einer einmaligen großen Freigabe pro Token weitere Berechtigungen per Signatur verwaltet (Uniswap-Doku). Eine einzige signierte Nachricht kann so einen Spender berechtigen. Revoke.cash weist darauf hin, dass Permit2 mehrere Token auf einmal freigeben kann und Phishing-Seiten genau diese Unübersichtlichkeit ausnutzen (Revoke.cash).

Fünf Wege, auf denen Opfer auf die Betrugsseite gelangen

Gefälschte Claim-Seiten und Typosquatting

Domains mit vertauschtem Buchstaben, Zusatzwort wie „claim“, anderer Endung oder ähnlich aussehendem Zeichen, oft per bezahlter Suchanzeige über dem echten Link platziert. Speichere die offizielle Seite einmal aus der Projektdoku als Lesezeichen und nutze nur dieses.

Gefälschte Ankündigungen auf X, Discord und Telegram

Gehackte Konten echter Projekte, geklonte Konten mit fast gleichem Namen und falsche „Snapshot“- oder „Claim ist live“-Beiträge in Community-Kanälen. Ethereum.org warnt, dass Linkvorschauen auf X eine vertrauenswürdige Domain zeigen und trotzdem woandershin weiterleiten können (Quelle). Die besonderen Fallen auf Telegram behandelt der Ratgeber zu Telegram-Airdrops.

Untergeschobene Token, Dust und unerwartete NFTs

In deiner Wallet tauchen Token auf, ohne dass du etwas getan hast. Name oder Metadaten enthalten eine URL, oder ein Explorer-Eintrag schickt dich auf eine Seite „Hol dir deine Belohnung“. Ethereum.org nennt das als Variante des Airdrop-Betrugs: unaufgefordert gesendete Token oder NFTs, die zu Seiten mit Signatur- oder Freigabeanfrage führen (Quelle). Den Token zu ignorieren, genügt. Mehr dazu im Ratgeber zu NFT-Airdrops.

Falscher Support per DM

Du stellst in einem öffentlichen Kanal eine Frage, und Minuten später schreibt dir ein „Moderator“. Ethereum.org beschreibt, dass Betrüger Nutzer nach Hilfeanfragen privat anschreiben und dass echte Teams nicht über inoffizielle Privatkanäle Kontakt aufnehmen. Behandle jede unaufgeforderte DM als feindlich.

Bösartige Browser-Erweiterungen und gefälschte Wallet-Apps

Geklonte Wallet- oder „Tracker“-Erweiterungen können Seiteninhalte lesen. Ethereum.org rät, Erweiterungen nur aus vertrauenswürdigen Quellen zu installieren. Installiere nichts, was dir per DM empfohlen wird.

Maschen, die im deutschsprachigen Raum auffallen

Die Technik ist international, der Weg zum Opfer passt sich an. Für Deutschland beschreibt die BaFin Muster, die du kennen solltest.

Gruppen auf WhatsApp und Telegram

Laut BaFin beginnt eine verbreitete Masche mit Werbung in sozialen Medien oder einer direkten WhatsApp-Nachricht. Wer reagiert, landet in einer Chatgruppe mit Namen wie „Akademie“ oder „Lerngruppe“, angeblich geleitet von Finanzprofis. Um Vertrauen aufzubauen, inszenieren die Täter unter anderem Gewinnspiele mit Kryptowerten. Später werden die Mitglieder auf eine Handelsplattform gelenkt, die kleine Testauszahlungen leistet und dann immer höhere Einzahlungen verlangt. Vor einer Auszahlung fallen angeblich Steuern oder Gebühren an, und am Ende ist das Geld meist weg.

Für Airdrop-Jäger ist der Einstieg besonders tückisch, weil ein „Krypto-Gewinnspiel“ oder ein „Gratis-Token für Gruppenmitglieder“ wie ein normaler Airdrop wirkt. Die BaFin nennt als Warnsignale unter anderem unaufgeforderte Gruppeneinladungen, Renditeversprechen, Zeitdruck, Einzahlungen auf Konten ohne erkennbaren Bezug zur Plattform, ein fehlendes oder widersprüchliches Impressum und die Bitte um eine Ausweiskopie. Ihr Rat: Einladungen nicht annehmen, Anbieter in der Unternehmensdatenbank prüfen und bei Verdacht die Polizei einschalten.

Gefälschte E-Mails von Börsen und Behörden

Phishing-Mails imitieren gern deine Börse oder eine Stelle, die Druck aufbauen kann: Sicherheitswarnung, Frist, Link zu einer Seite, auf der du dich einloggen oder deine Wallet „verifizieren“ sollst. Öffne Börse oder Behörde nur über eine selbst getippte Adresse oder ein Lesezeichen. Keine Behörde und keine Börse braucht deine Seed-Phrase.

Angebliche Hilfe bei der Rückholung

Wer schon einmal betrogen wurde, wird oft ein zweites Mal angesprochen. Die BaFin beschreibt, dass Opfer teils Jahre später kontaktiert werden und für die angebliche Rückholung ihres Geldes zuerst Gebühren zahlen sollen. Im Februar 2026 hat sie gegen den Betreiber einer Website ermittelt, die eine „Rückführung“ von Kryptowährungen an die rechtmäßigen Eigentümer anbot, und festgestellt, dass dieser keine Zulassung für Kryptowerte-Dienstleistungen hat (BaFin). Laufende Warnungen findest du in den Warnmeldungen der BaFin.

Im Februar 2026 hat die BaFin gemeinsam mit anderen europäischen Aufsichtsbehörden zudem gewarnt, dass künstliche Intelligenz und Kryptowerte Kriminellen neue Möglichkeiten bieten. Rechne mit überzeugenderen gefälschten Videos und Profilen.

In Österreich und der Schweiz sind die Finanzmarktaufsicht (FMA) beziehungsweise die FINMA zuständig. Die Muster sind dieselben, die Meldewege unterscheiden sich. Schau im Zweifel auf die Website der jeweiligen Aufsicht.

Der Zehn-Sekunden-Check

Vor jedem Claim eine forensische Untersuchung? Unrealistisch. Eine kurze Routine, die die meisten Angriffe abblockt, schaffst du aber jedes Mal. Hake die Punkte beim Üben ab, der Fortschritt bleibt in deinem Browser.

Der Schritt mit der Burner-Wallet ist wichtiger, als er aussieht: Auch vorsichtige Menschen signieren irgendwann etwas Falsches, und dann begrenzt eine Wallet mit wenig Guthaben den Verlust. Die Einrichtung zeigt der Ratgeber zur Burner-Wallet.

Warnsignale: warum sie wirken und was du tust

Seed-Phrase-Phishing und Risiko durch Erweiterungen

Deine Wiederherstellungsphrase ist kein Passwort, das du zurücksetzen kannst. Ethereum.org sagt, du sollst sie aus keinem Grund teilen, dass jeder, der sie besitzt, deine Konten leeren kann, und dass du auf Screenshots verzichten sollst, weil sie in die Cloud synchronisiert werden können (Quelle). Wer nach der Phrase fragt, ob Seite, Formular, Chatbot oder Mensch, betrügt.

Erweiterungen verdienen dasselbe Misstrauen, denn eine bösartige Erweiterung kann Seiten mitlesen und Zieladressen austauschen. Halte wenige Erweiterungen und nutze für das Farming ein eigenes Browserprofil, in dem nur deine Wallet-Erweiterung installiert ist.

Wenn du schon eine bösartige Anfrage signiert hast

Jetzt zählt Tempo. Drainer räumen oft binnen Minuten ab, manche warten. Geh in dieser Reihenfolge vor.

1. Interaktion beenden. Schließ die Seite. Signiere nichts mehr, auch keine „Rettungsangebote“ von Fremden. Die sind ein zweiter Betrug, der auf dasselbe Opfer zielt.
2. Eine frische Wallet auf einem sauberen Gerät oder Browserprofil anlegen. Verwende die alte Seed-Phrase nie wieder, wenn sie irgendwo eingetippt wurde.
3. Retten, was sich noch bewegen lässt. Schicke die wertvollsten verbliebenen Bestände aus der betroffenen Wallet in die neue. Das Gas zahlst du aus der betroffenen Wallet, halte also etwas vom nativen Token bereit.
4. Die Freigabe widerrufen. Nutze Revoke.cash oder die Freigabeprüfung eines Block-Explorers für jede Chain, wie im Ratgeber Token-Freigaben widerrufen beschrieben. Ethereum.org weist darauf hin, dass ein Widerruf eine Transaktion ist, also eine Netzwerkgebühr kostet, und dass das Trennen der Wallet keine Token-Berechtigungen entfernt (Quelle).
5. Hast du eine Seed-Phrase irgendwo eingegeben, gilt die ganze Wallet als verloren. Ein Widerruf hilft dann nicht, denn der Angreifer hat den Schlüssel. Zieh alles um.
6. Melden und anzeigen. Melde Adresse und Domain bei Chainabuse, das laut eigener Aussage die Community warnt, aber keine polizeiliche Ermittlung ersetzt. In Deutschland ist bei Betrugsverdacht laut BaFin die Polizei die richtige Stelle. Melde die Phishing-Domain auch beim Hoster und Registrar.

Was wir standardmäßig tun würden

Redaktionelle Regeln, kein Standard: Jeden Claim als feindlich behandeln, bis der Link zur offiziellen Doku zurückverfolgt ist, wie es Seriöse Airdrops erkennen beschreibt. Farming-Wallet und Wallet zum Halten strikt trennen. Freigaben monatlich prüfen und, wo möglich, exakte Beträge statt unbegrenzter freigeben. Und unsere eigenen Listen genauso prüfen: Die Seite Airdrop claimen und die neuen Krypto-Airdrops sind ein Startpunkt, kein Ersatz für deinen eigenen Check. Wie echte Verteilungen normalerweise ablaufen, erklärt Was ist ein Krypto-Airdrop?

Geschrieben und geprüft von der Redaktion von airdrop.promo. Methode: so prüfen wir (EN). Fehler entdeckt? contacts@airdrop.promo. Nur zur Information, keine Finanz- oder Steuerberatung.