Gefälschte Mint-Sites bleiben eine der effektivsten Wallet-Draining-Methoden, besonders rund um populäre NFT-Launches.
Angriffsablauf
1. Betrüger registrieren look-alike Domains und klonen die Mint-Seite des legitimen Projekts.
2. Sie bewerben die gefälschte Site über Google-Anzeigen, kompromittierte Social-Accounts, Discord oder Suchergebnisse.
3. Opfer verbinden ihr Wallet und klicken auf „Mint“.
4. Die Transaktion, die sie signieren, ist oft kein einfacher Mint – sie gewährt setApprovalForAll oder andere breite Berechtigungen oder transferiert Assets direkt.
5. Der Drainer-Contract leert NFTs, Token und ETH aus dem Wallet, manchmal innerhalb von Sekunden.
Dringlichkeit (begrenztes Supply, Countdown-Timer) und pixelgenaue visuelle Klone reduzieren die Vorsicht der Nutzer. Viele konzentrieren sich auf die Gasgebühr statt auf die tatsächliche Contract-Interaktion.
Wie Sie sich schützen
Holen Sie den Mint-Link stets über die verifizierten offiziellen Kanäle des Projekts – nicht über Suchanzeigen oder Direktnachrichten. Prüfen Sie die Domain zeichenweise. Überprüfen Sie den genauen Contract und die aufgerufene Funktion in Ihrem Wallet. Erwägen Sie ein separates „Burner“-Wallet mit begrenzten Mitteln für experimentelle Mints. Widerrufen Sie unerwartete Approvals sofort.
Häufig gestellte Fragen
Manche bleiben Monate nach dem echten Mint online und fangen Nutzer ab, die das Projekt später suchen.
Quellen und weiterführende Informationen
- Security analyses of Google-ads mint phishing · U.S. Securities and Exchange Commission (SEC)