Wie Blockaid Scam-Erkennung für WalletConnect ermöglicht

Zentrale Erkenntnisse

Mobile-first-„Drainer“-Scams, die WalletConnect ausnutzen, sind zu einer großen Bedrohung für Krypto-Nutzer geworden. Sie setzen auf geklonte dApps, Phishing-Infrastruktur und Drainer-as-a-Service-Kits, um Nutzer zur Freigabe schädlicher Transaktionen zu verleiten. Blockaid begegnet diesem Risiko durch die Integration von Off-Chain- und On-Chain-Analyse, Transaktionssimulation und Machine Learning, um verdächtige Aktivitäten direkt beim Signieren zu erkennen und zu blockieren. Durch die Einbettung dieser Schutzmechanismen in Wallet-Apps wie Tangem erhalten Nutzer klare Warnungen und Erklärungen, bevor riskante Aktionen genehmigt werden – und können so Scams stoppen, bevor Assets gestohlen werden.

Im vergangenen Jahr haben sich mobile-first-„Drainer“-Scams, die WalletConnect-Flows ausnutzen, als dominanter Angriffsvektor für Krypto-Nutzer etabliert. Millionen von Nutzerinnen und Nutzern tippen auf „Wallet verbinden“ oder scannen einen QR-Code, um eine Mobile Wallet mit einer dezentralen App zu verknüpfen – und vertrauen dabei WalletConnect. Dieses Tool übermittelt unauffällig Freigabeanfragen zwischen Wallets und dApps und wurde entwickelt, um ein komplexes Ökosystem zu vereinfachen. Doch diese Bequemlichkeit wurde im letzten Jahr zur Waffe, und eine Reihe raffinierter Angriffe hat gezeigt, wie schnell eine einzige Signatur zum Diebstahl werden kann.

Die Angriffsfläche hat sich auf Phishing-E-Mails, Fake-Apps und bösartige dApps ausgeweitet, die scheinbar harmlose Anfragen senden, während sie Wallets leeren. Da WalletConnect Transaktionsanfragen zur Freigabe weiterleitet, können Betrüger, die sich als legitime dApps oder sogar als WalletConnect selbst ausgeben, Nutzer dazu verleiten, ihre Assets zu signieren und zu verlieren. 

Wie bösartige dApps vorgehen

Schauen wir uns an, wie Angreifer bösartige dApps aufbauen und verbreiten, welche technischen Tricks sie nutzen, um mit einer WalletConnect-Signatur sofort Assets abzuziehen, und welche konkreten Signale und Prüfungen (auch speziell von Blockaid), Verteidiger nutzen können, um sie in Echtzeit zu erkennen und zu stoppen.

Klonen einer vertrauenswürdigen Plattform

Angreifer kopieren komplette dApps, Wallets und DeFi-Protokolle – nicht nur Logos oder Styles. Meist wird die gesamte Website inklusive HTML, CSS und JavaScript mit Tools wie HTTrack oder eigenen Skripten geklont und mit kleinen Änderungen neu gehostet.

This asset hijacking also involves embedding references to brand logos, fonts, and icons that are 
hotlinked directly from the original Content Delivery Network (CDN). It reduces forensic indicators, making the website appear authentic and trustworthy. 
Attackers use smart contract abstraction instead of rewriting the actual protocol. They create fake proxy contracts that look like real ones, but instead send calls to addresses they control. 

Fraudulent support ecosystems, including fake knowledge bases, live chat widgets, and Telegram “support admins," are created to further deceive users. These elements give the illusion of end-to-end legitimacy. As a result, cybercriminals can produce a pixel-perfect clone of legitimate sites, capable of intercepting seed phrases and private keys or misleading users into signing malicious transactions.

Phishing-Infrastruktur 

Angreifer nutzen Algorithmen zur Domain-Generierung, um im Voraus zahlreiche potenzielle Phishing-Domains zu erstellen. Diese Domains ähneln echten Seiten oft stark, indem sie Tricks wie Typosquatting, Homoglyphen oder Unicode-Ähnlichkeiten einsetzen.

Oft werden sie in großen Gruppen registriert, sodass immer neue Domains verfügbar sind. Um Abschaltungen zu erschweren, setzen Angreifer auf Fast-Flux-Hosting, bei dem sich die IP-Adressen einer Domain schnell über Botnets oder kompromittierte Server ändern. Viele Phishing-Seiten agieren zudem als Reverse-Proxy-Spiegel, die nach außen legitim wirken, aber tatsächlich auf Angreifer-Server weiterleiten. Diese Seiten besitzen häufig gültige SSL-Zertifikate von Diensten wie Let’s Encrypt und wirken dadurch für Nutzer echt.

Domains können auch in letzter Minute registriert und zunächst inaktiv gehalten werden, bis sie für Phishing-Angriffe bereit sind. Das erschwert es Monitoring-Systemen, sie frühzeitig zu erkennen. 

Das Angriffskonstrukt ist bewusst temporär und flexibel angelegt. Selbst wenn Verteidiger eine Domain oder einen Server abschalten, existieren zahlreiche Kopien weiter, sodass die Angreifer ihre Kampagne problemlos fortsetzen können. So entsteht ein ständiges Katz-und-Maus-Spiel, bei dem Angreifer durch schnelle Infrastrukturwechsel den Verteidigern immer einen Schritt voraus bleiben.

Drainer-as-a-Service (DaaS)

Drainer-as-a-Service (DaaS) hat Krypto-Phishing einfacher und industrieller gemacht. Kriminelle müssen keine technischen Kenntnisse mehr mitbringen, sondern können fertige Kits kaufen, die alles für Angriffe enthalten. Diese Kits bieten oft Phishing-Vorlagen für beliebte Wallets, bösartige Smart Contracts zum Token-Diebstahl und Systeme zur Kampagnenverwaltung. 

Manche Kits erkennen sogar die verwendete Wallet und passen Angriffe gezielt an. Das Geschäftsmodell ähnelt SaaS – die Betreiber vermieten Zugänge oder beteiligen sich an der Beute. Die Kits werden laufend aktualisiert, um Sicherheits-Patches und Blacklists immer einen Schritt voraus zu sein. 

Vertriebskanäle

Sind Phishing-Seiten und Drainer erst eingerichtet, konzentrieren sich Hacker darauf, Nutzer zum Klicken zu bewegen. Sie nutzen beliebte Kanäle wie Telegram, Discord und X, indem sie sich als vertrauenswürdige Mitglieder ausgeben oder bestehende Gruppen kapern. Auch Suchmaschinen werden manipuliert, um schädliche Seiten in den Suchergebnissen nach oben zu bringen. Bezahlte Anzeigen zeigen gefälschte Links als gesponserte Ergebnisse. 

Außerhalb des Webs verbreiten Angreifer schädliche Browser-Erweiterungen, die bösartige Skripte in legitime dApps einschleusen, und verteilen gefälschte Mobile-Apps über inoffizielle App-Stores oder sogar über offizielle Stores – trotz Prüfungen. All diese Methoden zielen darauf ab, dass Opfer Phishing-Inhalte an vertrauten Orten begegnen.

Typische Betrugsmaschen

Das sind die konkreten On-Chain- und Off-Chain-Muster, mit denen bösartige dApps eine Approve- oder andere Signatur in gestohlene Gelder verwandeln:

• Unbegrenzte Token-Freigaben/approve(MAX_UINT): Die dApp fordert die Nutzerin oder den Nutzer auf, einen Token ohne Ausgabenlimit freizugeben; später ruft der Angreifer transferFrom auf, um die Token abzusaugen. Das ist der häufigste Angriffsweg.
   
• Permit/EIP-712-Offline-Signaturen (Permit, Seaport, Permit2): Statt einer On-Chain-Freigabe bittet die dApp um die Signatur einer EIP-712-Struktur, die Ausgaben autorisiert. Das ist für Nutzer schwer verständlich und erfolgt oft außerhalb der App-Oberfläche. Blockaid hat dokumentiert, wie EIP-712-Signaturen für Transfers missbraucht werden.
   
• Verschleierung durch codierte calldata: Die Transaktion enthält ABI-codierte, komprimierte oder Multi-Call-Daten, sodass die Wallet-Oberfläche nur eine vage „Contract Call“-Zeile anzeigt, die Nutzer kaum verstehen können.
   
• Proxy- oder Zwischen-Contracts: Drainer nutzen kurzlebige oder Proxy-Contracts, die Freigaben erhalten und Gelder schnell an Angreifer-Adressen weiterleiten, was Zuordnung und Blacklist-Abwehr erschwert.
   
• Token-Rug oder Fake-Tokens: Nutzer werden gebeten, einen Token „hinzuzufügen“ oder einen Airdrop zu genehmigen, bei dem es sich tatsächlich um einen bösartigen Token mit Diebstahllogik handelt.
   
• Meta-Transaktionen & Relayer: Off-Chain-signierte Nachrichten und Relayer ermöglichen es Angreifern, Transfers auszulösen, ohne die Transaktion selbst zu senden – das erhöht die Tarnung.
   
• Mehrstufige UX-Manipulationen: Eine dApp führt zunächst einen harmlosen Schritt aus (Connect/kleines Limit), gefolgt von einer zweiten, undurchsichtigen Anfrage (Freigabe oder Permit), solange die Sitzung noch aktiv ist.

Was macht Blockaid?

Hier kommt Blockaid ins Spiel – ein Anbieter, der für zahlreiche Wallets und Plattformen die Prüfung von Nutzerfreigaben übernimmt. Blockaids Ziel ist klar: Wenn eine Signatur angefordert wird, übernimmt Blockaid die Analyse, prüft das Ziel, simuliert die Transaktion, gleicht sie mit bekannten Scams ab und warnt oder blockiert, falls etwas verdächtig erscheint.

The company’s platform blends broad internet crawling and dApp cataloging with fast transaction simulation and on-chain intelligence. It is increasingly embedded inside wallets, so the warning appears inside the app where the user decides.

The technology is less magic and more orchestration. Blockaid says it scans millions of web pages and dApp endpoints daily, maintaining a threat intelligence feed of malicious domains, deceptive token contracts, and known drainer signatures. Before a user attempts to sign, Tangem Wallet forwards the metadata about the dApp to Blockaid’s service. 

Blockaid führt dann eine schnelle Simulation des Aufrufs durch, analysiert Token- und Contract-Verhalten, prüft Adress-Reputationen und wendet Heuristiken sowie erlernte Muster an, um zu entscheiden, ob die Aktion risikoreich ist.

Worauf Blockaid bei dApps achtet

Blockaid setzt auf breit angelegtes dApp-Scanning, schnelle Transaktionssimulation und On-Chain-Heuristiken. Im Folgenden die wichtigsten Signale und Techniken, mit denen entschieden wird, ob Transaktionen zugelassen, gewarnt oder blockiert werden.

Frontend-Indikatoren (Off-Chain)

Die erste Verteidigungslinie ist die Analyse von Off-Chain-Metadaten. Angreifer setzen auf geklonte Frontends und Wegwerf-Domains, die messbare Signale liefern.

• Domain- und Hostname-Reputation: DNS-Telemetrie kann mit Threat-Intelligence-Feeds abgeglichen werden, um neu registrierte Domains (NRDs), Domains mit kurzer TTL (typisch für Fast Flux) oder solche mit Verbindungen zu früheren Angriffen zu identifizieren. Auch Registrare mit hohem Phishing-Aufkommen sind ein Warnsignal.
   
• UI/UX-Klonmuster: DOM-Analysen erkennen HTML/CSS-Strukturen, JavaScript-Bundles oder Inline-Strings, die bekannten Marken oder bereits gemeldeten Phishing-Templates entsprechen. Crawler durchsuchen täglich Millionen Domains und extrahieren diese Merkmale, um betrügerische Frontends im großen Stil zu erkennen.
   
• Logo- und Asset-Hashing: Bilddateien (SVG, PNG) werden gehasht und mit legitimen Marken-Repositories abgeglichen. Hash-Kollisionen oder fast identische Assets auf verschiedenen Domains deuten auf Nachahmung hin.

Mit dieser Frontend-Analyse lässt sich bösartige Infrastruktur erkennen, bevor Nutzer überhaupt On-Chain damit interagieren.

Transaktionssimulation

Sobald eine Nutzerin oder ein Nutzer eine Transaktion startet, liefert die deterministische Simulation den zuverlässigsten Hinweis auf bösartiges Verhalten.

• Status-Fork und Dry-Run: Die unsignierte Transaktion wird gegen einen geforkten Blockchain-Zustand auf aktueller Blockhöhe ausgeführt. So werden die exakten Zustandsänderungen (Token-Transfers, Speicher, Events) simuliert, ohne sie On-Chain durchzuführen. 
  Zeigt die Simulation etwa, dass eine Approve-Signatur einem Angreifer-Contract unbegrenzte Erlaubnis und danach einen sofortigen Transfer gewährt, wird die Transaktion als hochriskant markiert.
   
• Calldata-Decodierung: ABI-Decodierung übersetzt die Calldata in lesbare Methodenaufrufe (approve, permit, transferFrom, fillOrder usw.) und deckt so die Absicht auf – selbst wenn die UI sie verschleiert. Ist kein ABI verfügbar, kommen Heuristiken wie Funktionsselektor-Matching zum Einsatz.
   
• Multicall-Expansion: Viele Drainer verstecken Logik in verschachtelten Multicall-Strukturen. Die Simulation entpackt rekursiv alle Teilaufrufe und deckt so versteckte Aktionen auf, damit Angreifer keine Transfers hinter Batch-Operationen verbergen können.

Nur diese Inspektionsebene ermöglicht es, die tatsächliche ökonomische Wirkung einer Transaktion deterministisch zu prüfen.

On-Chain-Heuristiken

Zusätzlich zur Simulation erkennen weitere Heuristiken Muster, die auf Drainer und bösartige Contracts hindeuten:

• Contract-Alter: Transaktionen, die Freigaben an neu erstellte Contracts, mit wenigen Interaktionen oder Verbindungen zu geblacklisteten Adressen senden, sind verdächtig.
   
• Unbegrenzte Freigabe mit sofortigem Transfer: Fordert ein Drainer wiederholt unendliche ERC-20-Freigaben und folgt darauf mit einem Sweep-Transfer, markieren Erkennungssysteme Sequenzen, in denen Approve- oder Permit-Aufrufe Transfers innerhalb kurzer Zeitfenster vorausgehen.
   
• Drainer-Fingerprints: Viele DaaS-Kits wiederholen Funktionsaufruf-Sequenzen, Opcode-Gas-Signaturen oder bekannte Router-Contracts. Einmal erkannt, werden diese Verhaltensmuster als YARA-ähnliche Signaturen gespeichert und mit künftigen Transaktionen abgeglichen. Blockaid dokumentiert solche Fingerprints und veröffentlicht Indikatoren für Kompromittierungen (IOCs), darunter Contract-Adressen, Router-Muster und Drainer-Verhalten.

Diese Heuristiken liefern ein ständig aktualisiertes Regelwerk, das bekannte und neue Drainer anhand typischer Taktiken und Methoden erkennt.

Verhaltensbasierte und ML-Signale

Statistische und verhaltensbasierte Anomalie-Erkennung ergänzt die deterministischen Prüfungen:

• Abweichungen im UX-Flow: Systeme überwachen ungewöhnliche Signaturabläufe, etwa mehrstufige Freigaben, bei denen die zweite Transaktion der eigentliche Angriff ist, oder Pop-ups mit ungewöhnlichen Token-Mengen im Vergleich zur Wallet-Historie.
   
• Drittanbieter-Sweep-Muster: Bösartige Contracts leiten Assets oft an „Sweep“-Adressen im selben Transaktionspfad weiter. Durch das Clustern solcher Adressen können ML-Modelle bösartige Wallets erkennen, noch bevor sie gemeldet werden.
   
• Telemetry und Netzwerkeffekt: Wird ein Phishing-Versuch in einer integrierten Wallet erkannt, kann dieses Signal sofort an alle anderen weitergegeben werden. So entsteht eine kollaborative Verteidigung, die einen einzelnen Vorfall zum Schutz für Tausende Nutzer macht. Blockaid sieht dies als einen zentralen Vorteil seiner Detection-Pipeline.

TL;DR

Eine mehrschichtige Verteidigungsstrategie kombiniert verschiedene Ansätze für mehr Sicherheit. Blockaid tut Folgendes:

• Kombiniert Off-Chain-Metadatenanalyse, inklusive Domain- und Asset-Prüfung sowie Frontend-Vergleiche.
• Nutzt On-Chain-Simulation wie Fork-Ausführung, Calldata-Analyse und Multicall-Expansion.
• Setzt Heuristik-Regeln ein, um Contract-Herkunft zu prüfen, unbegrenzte Freigaben zu erkennen und Drainer-Fingerprints zu identifizieren.
• Überwacht verhaltensbasierte und ML-Telemetrie für Flow-Anomalien, Sweep-Erkennung und schnelle Blacklist-Verteilung.
• Schafft ein umfassendes Defense-in-Depth-Modell, das Bedrohungen von der Infrastruktur bis zur On-Chain-Ausführung erkennt.
• Ermöglicht es, Drainer-Kampagnen zu neutralisieren, bevor irreversibler Schaden entsteht.

Praktische Regeln in Tangem Wallet

Das sind die praktischen Prüfungen, die wir dank der Blockaid-Integration in den Signaturprozess aufgenommen haben:

• Bei Approve- oder Permit-ähnlichen Signaturen zeigt Tangem eine klare, verständliche Erklärung: „Dies gewährt SPENDER X die Erlaubnis, bis zu Y TOKEN zu übertragen.“
• Die Wallet simuliert die Transaktion vor dem Signieren. Ergibt die Simulation einen Transfer vom Nutzer zu einer externen Adresse, wird dies als hohes Risiko markiert.
• Wir bieten Optionen für begrenzte und unbegrenzte Freigaben und verlangen eine explizite Bestätigung. 
• Die Tangem-Oberfläche zeigt die dekodierten Inhalte und eine verständliche Zusammenfassung, was die Signatur autorisiert.
• Ist der Spender/Empfänger neu oder mit bekannten Drainer-Adressen verbunden, warnt die App die Nutzer.
• Bei verdächtigen Abläufen von derselben Domain oder Adresse erscheint eine „Bist du sicher?“-Abfrage für risikoreiche Kombinationen.
• Wir bieten einen präzisen „Revoke“-Prozess in der Wallet-Oberfläche und informieren Nutzer über das Widerrufen von Freigaben. 

Fazit

Bösartige dApps missbrauchen das Vertrauen in die UI und undurchsichtige Signaturen. Die beste Verteidigung ist, die Erkennung an den Signaturmoment zu verlagern: Calldata dekodieren, die genauen Zustandsänderungen simulieren, On-Chain-Reputation prüfen und eine klare Warnung anzeigen – genau das leistet Blockaids Scan- und Simulationspipeline. So wird der Approve-Button informativ statt gefährlich. 

Der Wettstreit zwischen Betrügern und Verteidigern im Web3 ist altbekannt: Ein Zyklus aus Innovation und Reaktion, der die IT-Sicherheit seit den Anfängen des Internets prägt. WalletConnect hat Transaktionen vereinfacht – Angreifer haben die Täuschung vereinfacht. 

Unternehmen wie Blockaid wollen Freigaben sicherer machen, ohne das dezentrale Ethos von Web3 zu untergraben. Ob das Gleichgewicht zugunsten der Nutzer kippt, hängt von der Wachsamkeit der Plattformen, schnellerer Erkennung im gesamten Ökosystem und – entscheidend – den Entscheidungen der Nutzer ab, die weiterhin auf Approve klicken.