Gefälschte AML-Prüfer leeren Wallets

Ein Kunde, den Sie nie getroffen haben, bezahlt Sie. Oder Sie kaufen USDT von einem Fremden auf einem P2P-Marktplatz. Einen Tag später kommt der Gedanke: Was, wenn das Geld schmutzig ist und die Börse es einfriert, sobald ich es einzahle?

Diese Sorge ist berechtigt. Sie ist seit diesem Monat auch der Köder für eine Betrugsmasche.

Am 19. August 2026 veröffentlichte Malwarebytes eine Untersuchung zu einer Gruppe von Websites, die sich als Krypto-AML-Prüfer ausgeben — also als die Werkzeuge, mit denen man nachsieht, ob eine Adresse mit Sanktionen, gestohlenen Geldern oder einem Mixer zu tun hat. Die Seiten wirken seriös. Aufgeräumtes Layout, eine Chain-Auswahl, Compliance-Vokabular, ein Button "Check Wallet". Mehrere kopieren das Branding von AMLBot, einem echten Screening-Anbieter. Zu den im Bericht genannten Domains gehören amlbot-clear[.]com, audittrust[.]shop, bitget-aml[.]com, search-aml[.]net und swapstoken[.]app.

Dann kommt der Schritt, der Sie alles kostet. Die Seite fragt nicht nach der Adresse, die Sie prüfen wollen. Sie fordert Sie auf, Ihre Wallet zu verbinden.

Was nach dem Verbinden passiert

Durch das Verbinden erfährt die Seite Ihre öffentliche Adresse. Das allein bewegt noch kein Geld. Der nächste Bildschirm tut es.

Die Seite baut eine Transaktion und schickt sie zur Bestätigung an Ihre Wallet. Auf der Seite ist das als Teil der Prüfung verkleidet: ein Fortschrittsbalken, der sich Richtung "Compliance wird verifiziert" schiebt, manchmal eine Fehlermeldung, der Scan sei fehlgeschlagen und brauche eine kleine Aufladung für die Netzwerkgebühr. Sie sind inzwischen genervt, Sie wollen Ihr Ergebnis, Sie tippen auf Bestätigen. Unterschrieben haben Sie in Wirklichkeit eine Token-Freigabe oder eine Überweisung, die das Guthaben leert.

Die Malwarebytes-Forscher fassen die Regel in einem Satz zusammen: Wenn ein AML-Prüfer verlangt, dass Sie Ihre Wallet verbinden, statt eine öffentliche Adresse einzugeben, ist das ein Warnsignal.

Manche Varianten der Seite zeigen am Ende sogar ein Ergebnis. Es lautet: sauber. Es lautet immer sauber, weil nie etwas geprüft wurde.

Warum der Köder funktioniert

Die Angst, die hier ausgenutzt wird, ist echt — und sie wird immer echter.

Am 7. August 2026 sanktionierte das US-Finanzministerium zwei Krypto-Börsen, über die die iranischen Revolutionsgarden Geld bewegten, dazu den Betreiber eines Netzes von Scheinfirmen. Jede solche Maßnahme spült frische Adressen auf die SDN-Liste, und jede Compliance-Abteilung zieht ihre Filter eine Stufe enger. Wer on-chain mit Fremden handelt, hat gelernt, dass eine Einzahlung wochenlang eingefroren liegen kann, während jemand fragt, woher die Coins stammen.

"Prüfe die Adresse, bevor du sie anfasst" ist also ein guter Rat. Betrüger lesen denselben Rat.

Die Fälschung zu bauen ist billig. CoinDCX zählte zwischen dem 1. April 2024 und dem 5. Januar 2026 insgesamt 1.212 Websites, die die eigene Seite imitierten. Eine Vorlage, eine neue Domain, ein neues Logo, von vorn.

Die Regel, die alle davon erwischt

Ein echtes Adressen-Screening braucht genau eins: die öffentliche Adresse.

Keine Wallet-Verbindung. Keine Signatur. Keine Token-Freigabe. Keine Vorauszahlung. Und niemals eine Seed Phrase oder einen privaten Schlüssel.

Das ist eine technische Tatsache, keine Firmenpolitik. Sanktionslisten, Mixer-Zuordnung und die Historie von Gegenparteien werden alle aus öffentlichen Blockchain-Daten gelesen. Jeder kann jede Adresse nachschlagen, ohne den Eigentümer um Erlaubnis zu fragen — genau das ist der Sinn eines öffentlichen Ledgers. Wenn ein Dienst verlangt, dass Sie die Kontrolle über die Wallet nachweisen, bevor er Ihnen sagt, ob sie riskant ist, tut er etwas anderes als Screening.

Unser eigenes Screening funktioniert genauso: Adresse einfügen, wir lesen die Chain, Sie bekommen ein Risikoergebnis und einen Bericht, den Sie einer Bank vorlegen können. Hier prüfen — im gesamten Ablauf gibt es keinen Verbinden-Button, weil es nichts zu verbinden gibt.

Weitere Anzeichen, die dreißig Sekunden wert sind

• Die Domain. amlbot-clear[.]com ist nicht amlbot.io. Vergleichen Sie die Zeichenfolge genau, oder rufen Sie die Seite über einen selbst gespeicherten Link auf statt über eine Suchanzeige.
• Zahlung vor Ergebnis. Kostenpflichtiges Screening berechnet einen Bericht, nachdem es Ihnen eine Vorschau gezeigt hat. "Aufladen, um den Scan fortzusetzen" ist kein Preismodell.
• Sofortige Makellosigkeit. Eine Seite, die für jede Adresse in zwei Sekunden ein blitzsauberes Ergebnis liefert, ist eine Grafik, keine Prüfung. Werfen Sie ihr eine bekannt schlechte Adresse hin, etwa einen veröffentlichten Tornado-Cash-Router. Kommt die als sauber zurück, schließen Sie den Tab.
• Dringlichkeit im Text. "Ihre Wallet könnte gesperrt werden." "Jetzt verifizieren, um ein Einfrieren zu vermeiden." Compliance-Werkzeuge schreiben nicht so. Betrugsseiten schon.

Wenn Sie bereits verbunden haben

Das reine Verbinden überlebt man meistens. Eine Bestätigung nicht — auch dann gibt es aber etwas zu tun.

Trennen Sie die Seite von Ihrer Wallet. Gehen Sie dann Ihre bestehenden Token-Freigaben durch und widerrufen Sie alles, was Sie nicht kennen — Wallet-Apps und Revoke-Tools listen sie nach Vertrag auf. Freigaben bleiben bestehen, bis sie widerrufen werden, und genau deshalb verlangen Drainer eine Freigabe statt einer einzelnen Überweisung.

Falls Sie irgendwo eine Seed Phrase oder einen privaten Schlüssel eingegeben haben, betrachten Sie diese Wallet als verloren. Verschieben Sie die Guthaben sofort in eine neue Wallet, das größte zuerst. Räumen Sie die alte nicht auf, um sie weiterzubenutzen.

Schauen Sie dann nach, wohin die Mittel geflossen sind, bevor Sie etwas bei einer Börse oder der Polizei melden. Die Zieladresse steht on-chain, und sie ist ein Beweismittel.

Die Zahlen laufen in die falsche Richtung

Scam Sniffer zählte 2025 Verluste von 83,85 Millionen Dollar durch Wallet-Drainer-Phishing, verteilt auf 106.106 Opfer. Nach heutigen Maßstäben war das ein gutes Jahr: 2024 waren es 494 Millionen Dollar und mehr als 332.000 Wallets. Der Rückgang kam von besseren Wallet-Warnungen und davon, dass einige der großen Drainer-Baukästen dichtmachten.

2026 hält diese Linie nicht. Allein im Januar sprangen die Verluste aus Signatur-Phishing um 207% gegenüber Dezember, während die Zahl der Opfer um 11% fiel. Weniger Menschen, größere Treffer. Genau das passiert, wenn Angreifer aufhören, in die Breite zu gehen, und anfangen, Köder für die Leute zu bauen, bei denen echtes Geld liegt — dazu gehört jeder, der vorsichtig genug ist, überhaupt nach einem AML-Prüfer zu suchen.

Die Lehre ist ärgerlich, aber klein. Eine Wallet-Prüfung ist ein Lesevorgang. Wenn eine Seite sie wie einen Schreibvorgang behandelt, ist es keine Prüfung.