BLOG |
Anleitungen
So funktioniert Phishing – und das ist die einzige Regel, die Sie schützt.
Phishing ist älter als das Internet und jünger, als die meisten Menschen denken. Der Begriff selbst wurde um 1996 bei America Online (AOL) geprägt, nachdem ein Teenager ein Tool zum Stehlen von Passwörtern entwickelt hatte, und die dahinter stehende Taktik (vorgetäuschte Vertrauenswürdigkeit, vorgetäuschte Dringlichkeit, die Forderung nach dem einen Element, das alle Türen öffnet) hat sich seitdem nicht geändert. Was sich geändert hat, ist das Ziel: Gefälschte Websites fordern Bitcoin-Nutzer nun dazu auf, ihre Backup-Phrase einzugeben – das einzige Element, mit dem sich eine Wallet tatsächlich leeren lässt.
Es gibt genau eine Information, mit der dies ohne Ihre Zustimmung möglich ist: Ihre Backup-Phrase, auch Seed-Phrase genannt (eine Reihe von Wörtern, die bei der Einrichtung einer Non-custodial wallet generiert wird; je nach Wallet sind es in der Regel 12 oder 24, bei Blink sind es jedoch 12). Alles andere – Ihre E-Mail-Adresse, Ihre Telefonnummer, sogar Ihre PIN – kann ein Betrüger umgehen, aber Ihre Backup-Phrase nicht; deshalb haben sie es auf diese abgesehen.
Das ist kein Problem von „ Blink “ und auch kein neues Problem. Jede andere Wallet-Anwendung als „custodial wallet “ funktioniert seit über einem Jahrzehnt auf diese Weise, und Phishing gibt es schon die ganze Zeit; neu ist lediglich, dass „Blink “ nun nicht-verwahrende Konten anbietet, was bedeutet, dass eine wachsende Zahl von „ Blink “-Nutzern eine Backup-Phrase besitzt und damit zum ersten Mal zur Zielscheibe werden könnte.
Wenn Sie sich nicht sicher sind, warum diese zwölf Wörter so wichtig sind, fangen Sie hier an: „Nicht Ihre Schlüssel, nicht Ihre Coins“ – Was bedeutet das? Bei allem, was im Folgenden folgt, wird davon ausgegangen, dass Sie bereits wissen, dass Ihre Backup-Phrase Ihr Bitcoin ist – und genau deshalb ist sie es wert, gestohlen zu werden.
Eine klare Warnung: Hier erfährst du nicht, wie Phishing-Seiten aufgebaut sind, und ich werde keine Links zu echten Beispielen einfügen. Hier gilt die Regel: Gib deine Backup-Phrase niemals auf einer Website ein. Weder bei „ Blink “, noch bei „Blink -Support“, noch bei irgendeiner Wallet – egal, ob du den Namen kennst oder nicht. Sie gehört dir und nur dir allein – wenn dich jemand auffordert, sie zu übermitteln, handelt es sich mit ziemlicher Sicherheit um einen Phishing-Betrug.
Jahrelang war die größte Bedrohung für Nutzer von „ Blink “ nicht technischer, sondern sozialer Natur. Jemand, der als Erster eine Nachricht schickte, sich als „ Blink “-Support ausgab und nach Kontodaten, PINs oder Bestätigungscodes fragte. Wir haben viel darüber gesprochen, und es hat funktioniert: Die meisten Menschen in dieser Gruppe „ community “ wissen mittlerweile instinktiv, dass der „Blink “-Support niemals als Erster eine Nachricht schickt. Allein diese Erkenntnis hat vielen Menschen viel Geld gespart .
Nun gibt es noch eine zweite Gewohnheit, die es sich lohnt, parallel dazu zu entwickeln.
Seit über einem Jahrzehnt sind Nutzer von Bitcoin-Wallets mit eigener Verwahrung das Ziel von Phishing-Angriffen auf ihre Wiederherstellungsphrasen. Das ist keine neue Taktik und auch kein Phänomen, das ausschließlich Blink betrifft – jede Wallet mit einer Wiederherstellungsphrase ist schon seit jeher ein Ziel, solange es Wiederherstellungsphrasen überhaupt gibt. Was sich geändert hat, ist, wer auf Blink mittlerweile eine solche Phrase besitzt.
Während des größten Teils der Geschichte von „ Blink “ verwahrten die meisten Nutzer ihre Vermögenswerte selbst. Es gab keine Backup-Phrase, die man stehlen konnte, denn es gab gar keine Backup-Phrase – Punkt. Das Schlimmste, was ein Betrüger anrichten konnte, war, Sie dazu zu verleiten, Ihre Anmeldedaten oder einen 2FA-Code preiszugeben.
Das änderte sich in dem Moment, als nicht-verwahrende Konten Realität wurden. Mittlerweile verfügt eine wachsende Zahl von Menschen über zwölf Wörter, die die gesamte Wallet ausmachen: keine Passwortzurücksetzung, kein Support-Ticket, kein „Rückgängig“-Button. Genau darin liegt der Sinn des nicht-verwahrenden Eigentums, und es ist ein echter Kompromiss, den wir von Anfang an offen kommuniziert haben: Echtes Eigentum bedeutet echte Verantwortung.
Das bedeutet auch, dass eine Betrugsmasche, die bei anderen Bitcoin-Wallets schon längst bekannt ist, nun erstmals speziell für Nutzer von „ Blink “ interessant wird. Ein gefälschter Anmeldebildschirm, auf dem nach Ihrer E-Mail-Adresse gefragt wird, ist für einen Kriminellen kaum von Wert. Ein gefälschter Bildschirm, auf dem nach Ihrer Backup-Phrase gefragt wird, ist hingegen so viel wert, wie Sie an Bitcoin besitzen. Dieser Anreiz gab es während des größten Teils der Geschichte von „ Blink “ nicht. Jetzt gibt es ihn.
Dies ist insbesondere für Nutzer von „ Blink “ relevant, da Blink nun eine Option für nicht-verwahrende Konten anbietet. Wenn Sie den Wechsel bereits vollzogen haben oder darüber nachdenken, verfügen Sie zum ersten Mal über eine Backup-Phrase, was Sie ebenfalls zu einem neuen Angriffsziel macht – auch wenn diese Art von Angriff bei anderen Bitcoin-Wallets bereits altbekannt ist. Erfahren Sie mehr über nicht-verwahrende Konten auf Blink Wallet.
Ich kann nicht vorhersagen, in welcher Form es genau auftreten wird: als gefälschtes App-Update, als geklonte Website mit einer URL, die sich nur um ein Zeichen unterscheidet, als „Tool zur Wiederherstellung des Wallets“ oder als QR-Code bei einem Treffen, der an einen Ort führt, an den er nicht führen sollte. Die Form ändert sich. Die Absicht bleibt immer dieselbe.
Das Erkennungsmerkmal ist immer dasselbe: Irgendwo, irgendwann wirst du aufgefordert, deine zwölf Wörter in ein Textfeld einzugeben. Das ist der gesamte Betrug. Alles, was diesem Moment vorausgeht – die Dringlichkeit, das offiziell wirkende Logo, der Countdown-Timer, die Warnung „Dein Guthaben ist in Gefahr“ – dient einzig und allein dazu, dich zu diesem Textfeld zu lotsen.
Eine Sicherungsphrase gehört in eine Wallet, die Sie selbst eingerichtet haben. Niemals auf eine Website.
Sag es so, wie du es dir am besten merken kannst. Deine Sicherungsphrase entsperrt deine Wallet auf deinem Gerät, in einer App, die du bewusst installiert hast. Sie wird nicht in einen Browser, ein Chatfenster, ein Support-Formular oder ein „Verifizierungsportal“ eingegeben. Wenn du dazu aufgefordert wirst, schließe das Fenster. Es spielt keine Rolle, wie überzeugend es aussieht.
So sieht eine legitime Wiederherstellung tatsächlich aus: Man öffnet eine Wallet-App – die echte, die man aus dem echten App Store oder Play Store heruntergeladen hat oder, falls man zu dieser Art von Nutzern gehört, aus dem Quellcode kompiliert hat – und gibt seine Wörter direkt in diese App ein, offline, ohne dass irgendetwas irgendwohin gesendet wird. Das war’s. Es gibt keine legitime Version davon, die auf einer Webseite stattfindet.
Was Blink niemals tun wird: Wir werden Sie niemals nach Ihrer Backup-Phrase fragen – weder per Chat, E-Mail, Telefon noch über ein Webformular. Weder zur „Verifizierung“ Ihres Kontos, noch um Ihnen bei der Wiederbeschaffung Ihrer Guthaben zu helfen, noch aus irgendeinem anderen Grund. Wenn wir Ihre Backup-Phrase jemals benötigen würden, um Ihnen zu helfen, würde das bedeuten, dass wir bereits Zugriff auf Ihre Guthaben hätten – und das gesamte Konzept von nicht-verwahrenden Konten basiert darauf, dass wir diesen Zugriff nicht haben.
Fügen Sie die echte Website zu Ihren Lesezeichen hinzu, statt danach zu suchen. Eine Suchanzeige oder eine ähnliche Domain unterscheidet sich oft nur durch einen Tippfehler von der echten Website. Geben Sie einmal blink.sv ein, fügen Sie die Seite zu Ihren Lesezeichen hinzu und nutzen Sie das Lesezeichen.
Betrachten Sie Dringlichkeit als Warnsignal, nicht als Grund zur Eile. „Ihr Konto wird gesperrt“, „Bitte innerhalb von 24 Stunden verifizieren“, „Ihr Guthaben ist gefährdet“ – diese Formulierungen dienen dazu, den Teil Ihres Gehirns auszuschalten, der Sie sonst dazu bringen würde, innezuhalten und die Situation zu überprüfen. Echte Genesung unterliegt keinem Zeitdruck.
Sichern Sie Ihre Sicherungsphrase an einem Ort, über den nur Sie die Kontrolle haben. Ob auf einer Stahlplatte, in einem Passwort-Manager oder in einem verschlüsselten Cloud-Backup – wählen Sie die Variante, die Sie auch wirklich nutzen werden. Selbst die sicherste Sicherung der Welt nützt Ihnen nichts, wenn eine gefälschte Website Sie sechs Monate später dazu verleitet, eine Kopie an jemand anderen weiterzugeben.
Gehen Sie davon aus, dass jede unaufgeforderte Kontaktaufnahme böswillig ist, bis das Gegenteil bewiesen ist. Nicht „wahrscheinlich nicht seriös“, sondern gehen Sie von böswilliger Absicht aus. Die Drahtzieher dieser Betrugsmaschen sind geduldig, und sie müssen nur einmal Erfolg haben.
Die selbstverwaltete Kontrolle ist der richtige Weg. Sie ist allerdings auch nicht kostenlos. Bei verwahrten Wallets stand ein Support-Team zwischen Ihnen und einem verlorenen Passwort. Bei selbstverwalteten Wallets gibt es nur Sie, Ihre zwölf Wörter und sonst nichts. Ich werde nicht so tun, als gäbe es diesen Kompromiss nicht, und ich werde nicht zulassen, dass ein einziger reißerischer Absatz die Tatsache verschleiert, dass Selbstverwahrung bedeutet, dass Sie nun zur Zielscheibe werden – genauso wie es Bitcoin-Besitzer mit Selbstverwahrung, die andere Wallets nutzen, bereits seit Jahren sind.
Das ist kein Grund, auf ein nicht-verwahrendes Eigentum zu verzichten. Es ist vielmehr ein Grund, diese eine Regel ernst zu nehmen: Deine Backup-Phrase gehört in deine Wallet, auf dein Gerät und nirgendwo anders hin. Niemals.
Wird der Blink -Support mich jemals nach meiner Backup-Phrase fragen, um mir bei der Wiederherstellung meines Kontos zu helfen?
Nein. Niemals. Wenn wir Ihr Guthaben mit Ihrer Backup-Phrase wiederherstellen könnten, würde das bedeuten, dass wir Zugriff darauf hätten – und der Sinn von nicht-verwahrenden Konten besteht gerade darin, dass wir diesen Zugriff nicht haben. Jeder, der Sie „zur Unterstützung“ nach Ihrer Backup-Phrase fragt, ist nicht Blink.
Was ist, wenn eine Website genau so aussieht wie blink.sv?
Überprüfen Sie die URL Zeichen für Zeichen, bevor Sie irgendetwas anderes überprüfen. Bei gefälschten Domains wird darauf gesetzt, dass Sie dem Logo vertrauen und die Adressleiste nicht beachten. Speichern Sie die echte Domain als Lesezeichen und rufen Sie sie niemals über ein Suchergebnis oder einen Link in einer Nachricht auf.
Ich habe meine Backup-Phrase bereits auf einer Website eingegeben, die offiziell aussah. Was soll ich tun?
Übertragen Sie Ihr Guthaben sofort in eine brandneue Wallet mit einer frisch generierten Backup-Phrase, bevor Sie irgendetwas anderes tun. Gehen Sie davon aus, dass die alte Phrase in dem Moment kompromittiert wurde, als sie Ihr Gerät verlassen hat – auch wenn noch nichts gestohlen wurde.
Ist das nur ein Problem von „ Blink “?
Nein. Dies ist ein Risiko, das das gesamte Bitcoin-Netzwerk betrifft, und kein spezifisches Problem von „ Blink “. Jede Lösung, die nicht „custodial wallet “, „ Blink “ oder „Phoenix“ heißt – oder wie auch immer sie sonst heißen mag –, weist genau denselben Single Point of Failure auf: die Backup-Phrase. Nutzer von „ Blink “ sind einfach erst seit kürzerer Zeit ein Ziel als die meisten anderen.
Wird dieses Risiko durch die Verwendung einer Hardware-Wallet beseitigt?
Es wird verringert, da Ihre Backup-Phrase niemals mit einem mit dem Internet verbundenen Gerät in Berührung kommen muss, um Transaktionen zu signieren. Das Risiko wird dadurch jedoch nicht vollständig beseitigt – Sie können immer noch dazu verleitet werden, Ihre Wörter in einen gefälschten „Wiederherstellungs“-Prozess auf einem Bildschirm einzugeben. Die Regel bleibt dieselbe, unabhängig davon, welche Wallet Sie verwenden.
Ihre zwölf Wörter sind genau so viel wert wie Ihr Bitcoin – und nicht mehr. Behandeln Sie jede Anfrage danach, egal wie offiziell sie auch erscheinen mag, genauso, wie Sie einen Fremden behandeln würden, der Sie bittet, ihm „nur für eine Sekunde“ Ihr Bargeld zu geben. Das würden Sie nicht tun – fangen Sie jetzt auch nicht damit an.
Empfangen und senden Sie jetzt Bitcoin
