Approval-Phishing leert Ethereum-Wallet: Fast 1 Million USDT in drei Transaktionen weg

Ein Ethereum-Nutzer hat am Mittwoch, dem 9. Juli 2026, durch eine Phishing-Token-Genehmigung fast eine Million US-Dollar verloren – konkret 999.999 USDT. Der Vorfall illustriert, wie präzise und automatisiert moderne Approval-Phishing-Angriffe heute ablaufen.

Angriff in drei Transaktionen

Laut einem Alert der Blockchain-Sicherheitsplattform Scam Sniffer versuchten die Angreifer zunächst, per Multicall einen gerundeten Betrag von exakt einer Million USDT abzuziehen – scheiterten aber wegen unzureichenden Guthabens. Sekunden später startete das Skript eine Neuberechnung und zog den exakten Restbetrag in mehreren Folgetransaktionen ab. Drei Transaktionen, dokumentiert auf Etherscan, reichten aus, um das Wallet vollständig zu leeren.

Der Mechanismus dahinter ist bei Approval-Phishing-Angriffen auf Ethereum klassisch: Das Opfer unterzeichnet eine scheinbar harmlose Transaktion – oft als Bestätigung einer Kleinigkeit getarnt – und erteilt damit einem Angreifer-Wallet eine unbegrenzte Zugriffsgenehmigung. Researcher Ryan Coleman beschreibt das Vorgehen: Die erteilte Genehmigung gab den Angreifern unbegrenzten Zugriff, woraufhin ein automatisierter Sweeper das Guthaben abräumte.

Industrie unter Dauerdruck: 14 Milliarden Dollar Schaden in 2025

Der aktuelle Vorfall ist kein Einzelfall. Blockchain-Sicherheitsfirma Chainalysis beziffert den Gesamtschaden durch Onchain-Betrug im Jahr 2025 auf mindestens 14 Milliarden US-Dollar. Approval-Phishing gilt dabei als einer der zentralen Ausführungswege für Investment-Scams. Allein im ersten Halbjahr 2026 summierten sich Phishing-Verluste branchenweit auf 366 Millionen US-Dollar.

Für das Gesamtjahr 2025 verzeichnete das Sicherheitsunternehmen CertiK Phishing-Schäden von 723 Millionen US-Dollar über 248 Vorfälle hinweg. Anfang Juli 2026 verlor ein weiterer Wallet-Inhaber nach Angaben aus der Primärquelle 1,65 Millionen US-Dollar, nachdem er sich mit einer gefälschten Börse verbunden und dort einen bösartigen Vertrag unterzeichnet hatte.

Renato Bastos, Senior Investigator bei Chainalysis, verweist darauf, dass Angreifer dieselben Wallets, legitime Genehmigungsfeatures aus Verträgen und Cash-out-Routen systematisch über mehrere Opfer hinweg wiederverwenden. Jede gemeldete Transaktion legt damit Teile eines größeren Netzwerks offen – was Reporting und On-Chain-Labeling zu wirksamen Gegeninstrumenten macht.

Address Poisoning als paralleler Angriffsvektor

Neben Approval-Phishing bleibt Address Poisoning eine aktive Bedrohung: Angreifer erstellen Wallet-Adressen, die optisch kaum von legitimen Adressen zu unterscheiden sind, und senden winzige „Dust“-Beträge an das Ziel-Wallet. Nutzer, die beim nächsten Transfer die Transaktionshistorie als Vorlage verwenden, überweisen dann an die gefälschte Adresse. MetaMask hat im Juni 2026 eine Live-Erkennung für Address-Poisoning-Versuche eingeführt, die jede eingefügte Adresse mit bekannten Interaktionspartnern des Wallets abgleicht.

Scam Sniffer empfiehlt als Sofortmaßnahmen: alle Signature-Requests vor dem Unterzeichnen sorgfältig prüfen, keine übereilten Transaktionen durchführen und Scam-Detection-Extensions im Browser einsetzen. Wer ältere Token-Approvals vergeben hat, sollte diese über Tools wie Revoke.cash oder den integrierten Approval-Manager führender Wallets widerrufen – ein Schritt, der inzwischen als Basismaßnahme gilt, nicht als fortgeschrittene Sicherheitspraxis.

Angesichts des wachsenden Schadensvolumens – und der zunehmend automatisierten Angriffswerkzeuge – dürften Non-Custodial-Lösungen mit integrierten Sicherheitsprüfungen weiter an Relevanz gewinnen. Für Anleger gilt: Die Kontrolle über eigene Wallets beginnt nicht beim Preis des Assets, sondern beim Verständnis jeder Transaktion, die man unterzeichnet.