Rechnungsbetrug mit Krypto: eine getauschte Adresse

Ein Lieferant, den Sie neun Mal bezahlt haben, schickt Rechnung Nummer zehn. Gleiche Vorlage, gleiche Signatur, gleicher Ansprechpartner, mit dem Sie am Dienstag telefoniert haben. Eine Zeile ist anders: die Wallet-Adresse. Sie zahlen. Neunzig Sekunden später ist das Geld getauscht, aufgeteilt und weitergeleitet, und es gibt auf keiner Seite eine Bank, die man anrufen könnte.

Das Internet Crime Complaint Center des FBI zählte 2025 genau 24.768 Meldungen zu Business Email Compromise, mit 3,05 Milliarden Dollar gemeldetem Schaden — nach 21.442 Meldungen und 2,77 Milliarden Dollar im Jahr davor. Der größte Teil dieses Geldes fließt weiterhin per Banküberweisung. Aber dieser Betrug folgt dem Zahlungsweg, den das Opfer tatsächlich nutzt, und ein wachsender Anteil der Rechnungen wird heute in USDT und USDC beglichen.

Niemand greift die Blockchain an

Die Kette ist nicht die Schwachstelle. Der E-Mail-Verlauf ist es.

Es gibt zwei gängige Varianten. Bei der ersten sitzt jemand in einem Postfach — Ihrem oder dem Ihres Lieferanten — und liest echte Korrespondenz mit. Er wartet, bis eine echte Rechnung rausgeht, und schickt dann eine kurze Nachricht hinterher: Wir haben den Zahlungsdienstleister gewechselt, bitte nutzen Sie die aktualisierte Adresse unten. Sie kommt im selben Verlauf an, unter demselben Anzeigenamen, oft mit der Nachricht darüber zitiert. Das IC3 beschreibt die klassische Variante in einem Satz: Ein Lieferant, mit dem Sie regelmäßig arbeiten, schickt eine Rechnung mit einer geänderten Zahlungsadresse.

Bei der zweiten wird nichts umgeschrieben außer der Zeichenkette selbst. Der Angreifer setzt eine Adresse ein, deren erste vier und letzte vier Zeichen mit der echten übereinstimmen. Wer ein Zahlungsziel so prüft, wie die meisten es tun — kurz auf den Anfang schauen, kurz auf das Ende, freigeben — winkt sie durch. Das ist dieselbe Schwäche, die Address Poisoning ausnutzt, nur angewendet auf ein Dokument statt auf einen Transaktionsverlauf.

Beides funktioniert aus demselben Grund. Vom Opfer wird nichts Ungewöhnliches verlangt. Es soll eine Rechnung bezahlen, die es ohnehin erwartet hat.

Krypto nimmt Ihnen die zweite Chance

Eine falsch adressierte Banküberweisung ist ärgerlich. Sie ist manchmal auch rückholbar. Es gibt eine Korrespondenzbank, ein Rückrufverfahren, eine Compliance-Abteilung beim empfangenden Institut und ein Zeitfenster von Stunden oder Tagen.

Eine falsch adressierte On-Chain-Zahlung ist in Sekunden final und gehört dem, der den Schlüssel hat. Es gibt keinen Rückruf. Der einzige verbleibende Hebel ist der Token-Emittent, und Emittenten sind keine Support-Hotline.

Tether hat knapp 10.000 Adressen auf die Blacklist gesetzt und mehr als 5 Milliarden Dollar in USDT eingefroren. Die Liste von Circle ist deutlich kürzer — rund 370 Adressen und etwa 109 Millionen Dollar. Diese Sperren sind real, und sie haben echten Opfern echtes Geld zurückgebracht. Aber Jeremy Allaire von Circle sagte im April 2026, USDC werde ohne Gerichtsbeschluss nicht eingefroren; das Unternehmen behandelt diese Möglichkeit als nicht frei verfügbares Mittel. Einen Gerichtsbeschluss zu bekommen bedeutet Anwälte, eine Gerichtsbarkeit, einen benannten Beklagten und Wochen, die Sie nicht haben. Betrachten Sie eine Sperre als Lotterielos, nicht als Rückholplan.

„Aber die Adresse war doch sauber"

Jetzt der unangenehme Teil, und wer Ihnen Screening verkauft, sollte ihn laut aussprechen: Die frische Wallet eines Betrügers besteht eine Sanktionsprüfung oft problemlos. Sie wurde vor einer Stunde erstellt. Sie hat keine Historie und steht auf keiner Liste. Sauber ist nicht dasselbe wie sicher.

Screening lohnt sich trotzdem, aus drei Gründen.

Erstens bleibt ein großer Teil dieses Geldes nicht lange in einer frischen Wallet. Es landet auf wiederverwendeten Sammeladressen, die bereits einen Ruf haben. Chainalysis beziffert die illegalen Zuflüsse für 2025 auf mindestens 154 Milliarden Dollar, ein Plus von 162 Prozent gegenüber dem Vorjahr, wobei der Wert, den sanktionierte Akteure erhielten, um 694 Prozent stieg. Das ist eine enorme Menge bereits bekannter Ziele, und eine Zahlung, die auf so eines zuläuft, wollen Sie stoppen, bevor sie rausgeht.

Zweitens sagt Screening etwas über Alter und Verhalten aus, nicht nur über Listenzugehörigkeit. Eine Adresse, die seit zwei Stunden existiert und nie etwas empfangen hat, ist nicht das Firmenkonto eines Unternehmens, das Ihnen neun Rechnungen geschickt hat. Dieser Widerspruch ist das Signal. Der Listentreffer ist die Zugabe.

Drittens: Wenn Sie auf eine Wallet bezahlt werden, die sich später als Empfängerin von Straftaterlösen herausstellt, erbt Ihre eigene Adresse diese Historie. Börsen prüfen Einzahlungen beim Eingang. Sie erfahren von dem Problem, wenn Ihre Auszahlung zur Prüfung angehalten wird, nicht wenn die Überweisung ankommt.

Es gibt auch den umgekehrten Trick, auf der Empfängerseite. Seit der GENIUS Act im Juli 2025 in Kraft trat, hat die Sicherheitsfirma Blockaid mehr als 54.000 gefälschte Stablecoins unter den über 17 Millionen in diesem Zeitraum erzeugten Token gezählt. Eine Zahlung kann in etwas „ankommen", das in der Wallet-Oberfläche wie USDC aussieht und nichts wert ist. Prüfen Sie den Contract, nicht das Kürzel.

Was tatsächlich hilft

Nichts davon braucht neue Technik. Es braucht nur, dass die Zahlungsadresse aufhört, eine editierbare Textzeile in einer Nachricht zu sein.

• Bestätigen Sie jede neue oder geänderte Adresse über einen anderen Kanal als den, über den die Aufforderung kam. Rufen Sie die Nummer an, die Sie schon hatten, nicht die aus der Signatur.
• Vergleichen Sie die ganze Zeichenkette. Nicht die ersten vier Zeichen und die letzten vier.
• Schicken Sie an jedes neue Ziel eine kleine Testzahlung und lassen Sie sich den Betrag bestätigen, bevor die echte Überweisung rausgeht.
• Prüfen Sie die Adresse, bevor Sie zahlen, nicht nachdem die Zahlung strittig ist.
• Nehmen Sie die Adresse ganz aus der E-Mail heraus — stellen Sie die Rechnung so aus, dass die Zahlungsadresse bei der Erstellung feststeht, und der Zahler sieht einen Link statt einer Zeichenkette, die jemand abtippen kann.

Wenn Sie derjenige sind, der bezahlt wird, gilt das Spiegelbild. Wenn ein Kunde darauf besteht, gezahlt zu haben, und nichts angekommen ist, war das manipulierte Dokument womöglich Ihres. Zahlungsdaten als reinen Text in eine Nachricht zu schreiben heißt: Jede weitergeleitete Kopie dieser Nachricht ist eine Gelegenheit für jemand anderen. Es heißt außerdem, dass Sie nicht beweisen können, was Sie ursprünglich verschickt haben.

Legen Sie eine interne Regel fest und schreiben Sie sie auf: Jede Änderung von Zahlungsdaten, von wem auch immer, bei jedem Betrag, wird per Telefon verifiziert, bevor eine Überweisung rausgeht. Machen Sie sie langweilig und nicht verhandelbar, damit niemand freitags um 18 Uhr eine Ermessensentscheidung treffen muss, wenn der Lieferant genervt klingt.

Niemand in dieser Geschichte ist unvorsichtig. Die Person in der Buchhaltung hat eine erwartete Rechnung bezahlt, von einem bekannten Unternehmen, in einem Verlauf, den sie seit Monaten liest. Genau das ist der Punkt — der Angriff ist so gebaut, dass er wie normale Arbeit aussieht. Die Gewohnheit, die nichts kostet: eine geänderte Zahlungsadresse als Vorfall behandeln statt als Aktualisierung, und nachsehen, wohin das Geld wirklich geht, bevor es dorthin geht.