Abzocker abgezockt: Krypto-Dieb fällt auf Phishing-Seite herein

In einem kuriosen Fall verlor dieser Tage ein Cyberkrimineller 5,4 Millionen Dollar in Ethereum, die er zuvor von der Kreditplattform zkLend gestohlen hatte. Der Dieb fiel auf eine Phishing-Seite herein, die sich als der Geldwäsche-Dienst Tornado Cash ausgab.

Dieb wird bestohlen: Hacker verliert Millionenbeute

Ein Hacker, der im Februar 2025 rund 5,4 Millionen Dollar in Ethereum (ETH) von der dezentralen Kreditplattform zkLend stahl, wurde selbst Opfer eines Betrugs. Beim Versuch, die gestohlenen Kryptowährungen über den Mixer-Dienst Tornado Cash zu "waschen", nutzte der Angreifer versehentlich eine Phishing-Website und verlor die gesamte Beute an einen anderen Betrüger.

In einer Nachricht über Etherscan teilte der ursprüngliche Hacker mit: "Hallo, ich habe versucht, die Gelder zu Tornado zu verschieben, aber ich habe eine Phishing-Website benutzt, und alle Gelder sind verloren gegangen. Ich bin am Boden zerstört. Es tut mir schrecklich leid für all das Chaos und die verursachten Verluste." Insgesamt 2930 ETH im Wert von etwa 5,4 Millionen Dollar wurden in mehreren Transaktionen an eine gefälschte Version von Tornado Cash gesendet.

Die ursprüngliche Attacke und Folgen

Die Geschichte begann am 11. Februar 2025, als der Angreifer eine Schwachstelle in zkLends Smart-Contract-System ausnutzte. Wie Cointelegraph berichtet, nutzte der Hacker dabei einen sogenannten "Empty Market Exploit" und Flash-Loans, um den Lending-Akkumulator künstlich aufzublähen. Flash-Loans sind unbesicherte Kredite, die innerhalb einer einzigen Blockchain-Transaktion aufgenommen und zurückgezahlt werden müssen - ein beliebtes Werkzeug für Krypto-Exploits.


Durch wiederholtes Einzahlen und Abheben konnte der Angreifer Rundungsfehler ausnutzen und letztlich insgesamt etwa 9,6 Millionen Dollar erbeuten. Diese Art von Angriffen ist in der "Decentralized Finance"-Welt nicht ungewöhnlich, da komplexe Systeme oft subtile Schwachstellen aufweisen, die erst nach der Implementierung entdeckt werden.


Nach dem Angriff bot zkLend dem Hacker an, zehn Prozent der Summe als "Whitehack-Prämie" zu behalten, wenn er den Rest zurückgeben würde. Als dieses Angebot unbeantwortet blieb, setzte die Plattform eine Belohnung von 500.000 Dollar für Informationen aus, die zur Verhaftung des Hackers und zur Wiedererlangung der Gelder führen könnten.

Der Fall zeigt exemplarisch die Gefahren im Krypto-Ökosystem - selbst für technisch versierte Angreifer. Phishing-Angriffe, bei denen Betrüger täuschend echte Kopien bekannter Websites erstellen, sind eine der häufigsten Bedrohungen. In diesem Fall hatte der zkLend-Hacker nicht genau genug geprüft, ob er sich auf der echten Tornado-Cash-Website befand.

Tornado Cash selbst ist ein umstrittener Dienst, der 2022 von den US-Behörden sanktioniert wurde, weil er angeblich zur Geldwäsche genutzt wurde. Der Dienst mischt Kryptowährungstransaktionen, um ihre Herkunft zu verschleiern und so die Anonymität zu erhöhen. Trotz der Sanktionen wird der dezentrale Dienst weiterhin genutzt, da er auf Smart Contracts basiert, die nicht einfach abgeschaltet werden können.

Das Team von zkLend hat inzwischen erklärt, dass es keine eindeutigen Beweise dafür gibt, dass die Phishing-Website und der ursprüngliche Angreifer in Verbindung stehen. Die Plattform arbeitet mit zentralisierten Kryptobörsen und Strafverfolgungsbehörden zusammen, um die Gelder zurückzuerlangen.

Was haltet ihr von diesem Fall von "Karma" in der Kryptowelt? Seid ihr überrascht, dass selbst Hacker auf Phishing-Betrug hereinfallen können? Teilt eure Gedanken dazu in den Kommentaren!


Siehe auch: