Address Poisoning: Der Copy-Paste-Betrug um 50 Millionen Dollar

Am 20. Dezember 2025 schickte jemand 49.999.950 USDT — knapp 50 Millionen Dollar — an die falsche Adresse. Kein Hack. Kein gestohlener Schlüssel. Die Person kopierte eine Adresse aus dem eigenen Transaktionsverlauf und fügte sie ein, so wie hundertmal zuvor. 26 Minuten vorher hatte sie zur Sicherheit eine Testüberweisung über 50 Dollar gemacht. Der Betrüger sah zu, schob eine fast identische Adresse in diesen Verlauf und wartete. Ein Einfügen, und das Geld war weg. CoinDesk berichtete darüber als einen der größten Einzelverluste dieser Art.

Das ist Address Poisoning. Kein raffinierter Code. Es ist ein Trick, der eine Gewohnheit ausnutzt, die fast jeder in Krypto hat: eine Adresse aus einer alten Transaktion kopieren, statt sie frisch zu besorgen. Und 2025 war das kein Randphänomen mehr.

So funktioniert der Trick

Zuerst erzeugt der Angreifer eine „Lookalike“-Adresse — eine, deren erste und letzte Zeichen mit einer Adresse übereinstimmen, die Sie oft nutzen. Billige Software probiert per Brute Force Milliarden von Schlüsselpaaren durch, bis sie einen Treffer für genau die Stellen findet, die Ihr Auge tatsächlich liest. Dann bringt er diese gefälschte Adresse in Ihren Transaktionsverlauf, damit sie direkt neben der echten steht.

Drei Wege sind dabei üblich:

• Null-Wert-Transfers. Der Betrüger schickt einen Transfer über 0, der scheinbar von einer gefälschten Kopie einer Adresse kommt, der Sie vertrauen. Dafür braucht es keine Signatur von Ihnen, also taucht er einfach in Ihrem Verlauf auf. Später scrollen Sie zurück, greifen sich die Adresse, die „richtig aussieht“, und überweisen echtes Geld.
• Dust. Ein winziger Betrag — ein paar Cent — von der Lookalike-Adresse. Gleicher Effekt: Er landet in Ihrem Verlauf und sieht aus wie eine ganz normale frühere Zahlung.
• Clipboard-Hijacking. Schadsoftware auf Ihrem Gerät tauscht die kopierte Adresse im Moment des Einfügens still gegen die des Angreifers. Sie sehen den Wechsel nie.

Die ersten beiden dominieren, weil sie den Angreifer fast nichts kosten und sich auf Millionen Ziele gleichzeitig skalieren lassen.

Kein Einzelfall — das läuft industriell

Seit Januar 2025 hat die Sicherheitsfirma Blockaid mehr als 65 Millionen Address-Poisoning-Transaktionen on-chain markiert — über 160.000 pro Tag. Die allermeisten laufen ins Leere. Aber rund 316.000 haben funktioniert: Ein echter Mensch hat echtes Geld an eine vergiftete Adresse geschickt. Das ist etwa jeder 200. Versuch, der trifft.

Und die Treffer sitzen. Im Mai 2025 verlor ein Trader 843.000 Dollar an einen gefälschten Null-Wert-Transfer — und schickte drei Stunden später auf demselben Weg weitere 1,75 Millionen hinterher, insgesamt rund 2,6 Millionen Dollar. Der Verlust von 50 Millionen im Dezember ist bisher der Rekord.

Warum es die Sorgfältigen trifft, nicht die Nachlässigen

Man würde denken, das erwischt Anfänger. Es ist umgekehrt. Poisoning lohnt sich bei Wallets, die viel bewegen, und zwar oft — Börsen, OTC-Desks, Treasuries, aktive Trader. Je mehr Transaktionen in Ihrem Verlauf stehen, desto mehr Verstecke gibt es für eine Lookalike-Adresse, und desto wahrscheinlicher arbeiten Sie schnell und aus dem Muskelgedächtnis. Angreifer timen es sogar: Sie warten auf eine echte Überweisung an einen Geschäftspartner und vergiften den Verlauf Minuten später, damit die Fälschung der frischeste Eintrag ist, wenn Sie zurückkommen, um die Zahlung zu wiederholen. Der Verlust im Dezember folgte genau diesem Muster — eine echte Testüberweisung, eine platzierte Adresse, keine halbe Stunde später die volle Summe.

Die Adresse ist die ganze Geschichte

Jetzt kommt der unangenehme Teil. On-chain gibt es kein „Rückgängig“, und an einer Adresse hängt kein Name. Für Ihr Auge sehen Fälschung und Original gleich aus — gleicher Anfang, gleiches Ende, anders nur in dem Stück in der Mitte, das Sie nie prüfen. Ihre Wallet zeigt Ihnen so etwas wie 0x71C7…9F2A, und der Hochstapler zeigt dasselbe. Genau auf dieser abgeschnittenen Vorschau baut der Betrug auf.

Die Lösung ist also kein Plugin und kein Produkt. Es ist eine Gewohnheit plus eine Prüfung.

Was wirklich schützt

• Überweisen Sie nie aus Ihrem Verlauf. Holen Sie sich die Adresse jedes Mal von der Person oder aus der Originalquelle, auch wenn es länger dauert. Ihr Verlauf ist die eine Stelle, die der Angreifer kontrolliert.
• Lesen Sie die Mitte, nicht nur die Enden. Vergleichen Sie 6–8 Zeichen aus der Mitte der Adresse mit einer vertrauenswürdigen Quelle. Diesen Teil kann eine Lookalike-Adresse nicht fälschen.
• Testen — und dann noch einmal prüfen. Eine kleine Testüberweisung ist gut, aber bestätigen Sie, dass sie beim echten Empfänger angekommen ist, und prüfen Sie die Adresse vor der großen Summe erneut. Das Opfer der 50 Millionen hat einen Test gemacht — es hat nur nicht noch einmal hingesehen.
• Nutzen Sie ein Adressbuch. Speichern Sie Adressen, die Sie wiederverwenden, in einer Wallet-Allowlist. Dann wählen Sie einen gespeicherten Kontakt aus, statt durch den rohen Verlauf zu scrollen.
• Prüfen Sie, bevor Sie Geld freigeben. Bei einer Geschäftszahlung oder jeder Adresse, die Sie nicht selbst getippt haben: prüfen Sie zuerst die Adresse selbst. Ein schneller Check zeigt, ob sie mit bekannten Betrugsmaschen, Mixern oder Sanktionen verbunden ist — und er zwingt Sie, die vollständige Zeichenkette anzusehen statt einer abgeschnittenen Vorschau.

Address Poisoning funktioniert gerade deshalb, weil es langweilig ist. Es bricht nichts auf; es wartet auf eine halbe Sekunde Autopilot. Die Leute, die Millionen verlieren, sind nicht nachlässig — sie sind schnell. Nehmen Sie sich die zehn Sekunden, die es dauert, die ganze Adresse zu lesen, holen Sie sie aus der Quelle statt aus Ihrem Verlauf, und das teuerste Copy-Paste der Kryptowelt passiert Ihnen einfach nicht.