Ein Ethereum-Wallet, das seit dem Start des Netzwerks im Jahr 2015 inaktiv war, hat diese Woche 4,6 Millionen Dollar bewegt. Das Wallet ist 11 Jahre alt, und seine plötzliche Aktivität erregte fast sofort automatisierte Aufmerksamkeit.
Bots markierten die Adresse, sobald sie aktiv wurde. Innerhalb von Minuten pflanzten sie täuschend ähnliche Adressen in die Transaktionshistorie des Wallets – ein Setup, das den Besitzer dazu verleiten soll, Gelder an eine nahezu identische Zeichenkette zu senden.
Der Besitzer sandte das Geld trotzdem an die korrekte Adresse. Der Betrugsversuch scheiterte.
Ein Wettlauf in Minuten
Die Mechanik ist nicht kompliziert, und genau das macht sie beobachtenswert. Ein altes Wallet, das aufwacht, ist ein öffentliches Ereignis. Jeder, der die Chain beobachtet, sieht die eingehende Transaktion, und Bots können ähnlich aussehende Adressen generieren und sie in die sichtbare Historie einspeisen, bevor der Besitzer die Zieladresse fertig eingegeben hat.
In diesem Fall waren die Lookalikes innerhalb von Minuten nach dem Aufwachen des Wallets platziert. Das ist das Zeitfenster, mit dem die Angreifer arbeiteten: die kurze Zeitspanne zwischen „Diese Adresse ist lebendig“ und „Diese Adresse wird gleich senden“.
Warum alte Wallets Bots anziehen
Ein Wallet, das seit 2015 ruht, ist ein bekannter Zieltyp. Der Besitzer arbeitet wahrscheinlich mit Tools und Gewohnheiten aus einer anderen Ära von Ethereum und prüft Adresszeichenketten möglicherweise nicht gegen eine bekannte Liste, wie es ein geübterer Nutzer tun würde. Bots brauchen nicht, dass der Besitzer unachtsam ist – nur langsam genug, dass ein Blick auf die falsche Zeile fällt.
Der Lookalike-Trick beruht genau darauf. Adressen sind lang, die ersten und letzten Zeichen sind das, was Menschen tatsächlich lesen, und eine generierte Adresse kann beiden entsprechen und sich in der Mitte unterscheiden.
Die Überweisung, die durchging
Der Besitzer hat es richtig gemacht. Die 4,6 Millionen Dollar gingen an das beabsichtigte Ziel, und die platzierten Adressen sammelten nichts ein.
Das ist das Ergebnis, aber es ist auch nahe an der Ausnahme. Das Setup war live, bevor die Überweisung es war, und das Einzige, was zwischen den Geldern und einem Lookalike stand, war die eigene Verifizierung des Besitzers.
Was offen bleibt
Was aus den verfügbaren Informationen nicht klar hervorgeht, ist, ob der Wallet-Besitzer die Lookalikes überhaupt bemerkt hat oder einfach die Adresse richtig hatte, ohne sie je zu sehen. Die Antwort ist wichtig für jeden, der eine lange ruhende Adresse hält: Die Bots beobachten auch diese Wallets, und sie brauchen nicht, dass der Besitzer zweimal einen Fehler macht.
