Phishing-Welle bei Krypto-Nutzern: Echte Absender, falsche Mails

In der Nacht auf Donnerstag landeten bei zahlreichen Krypto-Nutzern Mails, die sich kaum von echter Firmenpost unterscheiden ließen. Absender: bekannte Namen wie Bitbox, Trezor und Cointracking. Der Haken: Die Nachrichten stammten nicht von den Unternehmen selbst, sondern von Angreifern, die deren echte Versandinfrastruktur missbrauchten. Genau das macht diese Welle so gefährlich – die üblichen Warnzeichen für Phishing fehlen weitgehend.

Der Fall zeigt, wie stark moderne Angriffe auf Vertrauen setzen. Wenn eine Mail vom offiziellen Support-Postfach kommt, prüfen viele Empfänger den Inhalt kaum noch kritisch. Wer Kryptowährungen selbst verwahrt, steht dabei besonders im Fokus: Ein einziger falscher Klick kann hier reale Verluste bedeuten, die sich nicht rückgängig machen lassen.

Was genau passiert ist

Laut einem Bericht von Golem.de erhielten unzählige Nutzer sehr authentisch wirkende Phishing-Mails von mehreren bekannten Unternehmen aus der Kryptobranche. Die Nachrichten kamen jeweils von den echten Absenderadressen der betroffenen Firmen – kein Tippfehler in der Domain, keine kryptische Fremdadresse, wie man sie von plumpen Phishing-Versuchen kennt.

Als Ursache gilt ein Sicherheitsvorfall bei der E-Mail-Marketing-Plattform Brevo, die früher unter dem Namen Sendinblue firmierte. Über solche Dienste versenden Unternehmen Newsletter, Support-Benachrichtigungen und Transaktionsmails in großer Zahl. Wenn Angreifer Zugriff auf ein solches Konto erlangen, können sie Mails im Namen des Kunden verschicken – inklusive dessen hinterlegter Absenderadresse. Genau das ist hier offenbar geschehen.

Bitbox und Trezor, beide Hersteller beliebter Hardware-Wallets zur Eigenverwahrung von Kryptowährungen wie Bitcoin und Ethereum, warnten über Beiträge auf X vor der Welle. Sie führten den Vorfall auf einen zunächst nicht namentlich genannten E-Mail-Anbieter zurück. Brevo selbst bestätigte das Problem laut Golem indirekt in Antworten auf besorgte Nutzer und erklärte, gemeinsam mit den betroffenen Kunden an der Wiederherstellung der Kontosicherheit zu arbeiten. Nach eigener Aussage seien allerdings nicht alle Brevo-Kunden betroffen.

Die Masche im Detail

Interessant ist, wie unterschiedlich die Angreifer ihre Mails auf die jeweiligen Marken zuschnitten. Bei Bitbox und Trezor wurden Empfänger vor einem angeblichen Entropie-Bug in ihren Wallets gewarnt. Der Begriff Entropie beschreibt in der Kryptografie die Zufälligkeit, mit der geheime Schlüssel erzeugt werden. Ist diese Zufälligkeit schwach, lassen sich Schlüssel im schlimmsten Fall erraten oder rekonstruieren – ein Szenario, das Nutzer verständlicherweise nervös macht.

Diese Angst nutzten die Angreifer gezielt aus. Der Aufhänger war kein Zufall: Bei den Coldcard-Wallets des Herstellers Coinkite war ein vergleichbares Problem wenige Wochen zuvor real geworden. Die Kriminellen griffen also ein glaubwürdiges, aktuelles Thema auf, um ihre Opfer zu unüberlegten Handlungen zu drängen – etwa dazu, ihre Wallet über einen mitgeschickten Link vermeintlich zu „prüfen“ oder „abzusichern“.

Cointracking, ein in Deutschland entwickeltes und weit verbreitetes Tool zum Nachverfolgen von Krypto-Transaktionen und zur Berechnung fälliger Steuern, wurde mit einer anderen Geschichte adressiert. Hier warnten die Angreifer vor einer angeblichen Datenpanne, durch die API-Keys abgeflossen seien und die deshalb dringend erneuert werden müssten. API-Keys sind Zugangsschlüssel, mit denen Cointracking Transaktionsdaten von Börsen abruft. Wer sie in einer gefälschten Eingabemaske einträgt, liefert Angreifern potenziell tiefen Einblick in seine Konten.

Cointracking stellte über X klar, die Mails trotz der eigenen Support-Adresse als Absender nicht selbst verschickt zu haben, und forderte Empfänger auf, auf keinen der enthaltenen Links zu klicken. Das Unternehmen verwies dabei ausdrücklich auf Brevo als den E-Mail-Provider, über den die Nachrichten offenbar ausgingen.

Warum diese Angriffe so schwer zu erkennen sind

Klassische Ratschläge gegen Phishing zielen auf sichtbare Fehler: falsch geschriebene Absenderadressen, kryptische Domains, holprige Sprache, unpersönliche Anrede. Bei dieser Welle greifen viele dieser Merkmale nicht. Die Absenderadresse ist korrekt, weil sie über die legitime Versandplattform des jeweiligen Unternehmens läuft. Prüfungen wie SPF, DKIM und DMARC – technische Verfahren, die eigentlich gefälschte Absender enttarnen – schlagen in so einem Fall nicht an, weil der Versand aus der freigegebenen Infrastruktur erfolgt.

Das Ergebnis: Eine Mail, die durch alle üblichen Filter rutscht und im Postfach genauso aussieht wie echte Post des Anbieters. Der einzige verlässliche Schutz liegt hier nicht in der Absenderprüfung, sondern im gesunden Misstrauen gegenüber dem Inhalt – vor allem, wenn dieser Dringlichkeit erzeugt und zu schnellem Handeln drängt.

Ein Muster, das sich häuft

Der Angriff über einen Dienstleister ist kein Einzelfall. Immer wieder geraten nicht die eigentlichen Zielunternehmen ins Visier, sondern deren Zulieferer und Plattformen – vom E-Mail-Versender bis zur Schnittstelle eines Onlinedienstes. Golem verweist im selben Kontext etwa auf einen Vorfall bei Kleinanzeigen, bei dem Angreifer über eine Schnittstelle an Nutzerdaten gelangten und der Anbieter anschließend vor Phishing-Missbrauch warnen musste.

Parallel dazu warnen mehrere Medien und Behörden derzeit vor Betrugswellen über WhatsApp, bei denen Kriminelle mit angeblichen Verkehrsstrafen, Kontolöschungen innerhalb von 24 Stunden oder Bestätigungsaufforderungen arbeiten. Auch hier ist das Prinzip dasselbe: künstlicher Zeitdruck, ein bekannter Name als Fassade und ein Link, der ins Verderben führt. Die Kanäle unterscheiden sich, die Psychologie dahinter bleibt gleich.

Nicht nur Endnutzer: parallele Sicherheitslücken

Neben der Phishing-Welle laufen im Hintergrund die üblichen technischen Baustellen weiter. Das BSI CERT-Bund führt für den Zeitraum eine Reihe von Sicherheitshinweisen, die zeigen, wie breit die Angriffsfläche moderner Software ist. Betroffen sind unter anderem 7-Zip, wo eine Schwachstelle die Ausführung von Programmcode ermöglichen kann, sowie mehrere Lücken in ImageMagick, die von Denial-of-Service-Angriffen bis zu nicht näher spezifizierten Angriffen reichen.

Weitere Einträge betreffen Serverumgebungen und Entwicklerwerkzeuge: Red Hat OpenShift, den PostgreSQL-JDBC-Treiber, lxml unter Red Hat Enterprise Linux, das Verwaltungspanel CyberPanel, das Kubernetes-Werkzeug helm sowie den Editor vim. Die Einstufungen reichen von „niedrig“ bis „hoch“. Für Privatnutzer ist davon vor allem 7-Zip relevant – ein Grund, das Packprogramm auf dem aktuellen Stand zu halten.

Auch Klimageräte im Fokus

Wie weit das Thema Sicherheit inzwischen in den Alltag reicht, zeigt ein Bericht von heise online: Der Hersteller Midea verteilt wegen einer Sicherheitslücke Updates an seine Portasplit-Klimageräte. Vernetzte Haushaltsgeräte sind längst Teil der Angriffsfläche – und benötigen, genau wie PC und Smartphone, Aktualisierungen. Das Beispiel unterstreicht, dass Update-Hygiene nicht am Bildschirm endet.

Was bedeutet das für dich?

Wenn du eine Wallet nutzt, ein Krypto-Steuertool wie Cointracking im Einsatz hast oder schlicht regelmäßig Mails von Onlinediensten bekommst, solltest du deine Routinen kurz überdenken. Die folgenden Schritte helfen konkret gegen genau diese Art von Angriff:

• Keine Links aus solchen Mails anklicken. Rufe die Seite des Anbieters immer manuell über ein gespeichertes Lesezeichen oder die selbst eingetippte Adresse auf – nie über den Link in der Nachricht.
• Seed-Phrase niemals eingeben. Weder Trezor noch Bitbox noch ein anderer seriöser Anbieter fragt deine Wiederherstellungswörter per Mail oder auf einer Website ab. Jede solche Aufforderung ist ein Betrug.
• API-Keys nur direkt im echten Dienst erneuern. Wenn du bei Cointracking oder einer Börse Schlüssel austauschen willst, tu das ausschließlich nach manuellem Login im echten Portal.
• Bei künstlichem Zeitdruck skeptisch werden. Formulierungen wie „innerhalb von 24 Stunden“, „dringend“ oder „sonst Sperrung“ sind ein klassisches Druckmittel. Echte Anbieter setzen selten so enge, alarmierende Fristen.
• Kontostände und Guthaben ruhig prüfen – aber richtig. Öffne dazu die Anwendung oder Hardware-Wallet auf deinem eigenen, bekannten Weg, statt einer Mail zu folgen.
• Zwei-Faktor-Authentifizierung aktivieren, wo verfügbar. Das schützt zusätzlich, falls Zugangsdaten doch einmal abfließen.
• Software aktuell halten. Installiere Updates für Programme wie 7-Zip zeitnah und lass angebotene Firmware-Aktualisierungen für vernetzte Geräte durchlaufen.

Falls du bereits auf einen Link geklickt oder Daten eingegeben hast, handle schnell: Ändere betroffene Passwörter, widerrufe kompromittierte API-Keys direkt im echten Dienst und überführe – wenn der Verdacht auf eine kompromittierte Wallet besteht – deine Guthaben auf eine neu und sicher eingerichtete Wallet. Bewahre deine Seed-Phrase ausschließlich offline auf.