Was eine Seed-Phrase ist und warum sie wichtiger ist als ein Passwort
Die Seed-Phrase (Mnemonic-Phrase) ist eine Folge von 12 oder 24 Wörtern, aus der die Wallet mathematisch alle Ihre privaten Schlüssel und Adressen wiederherstellt. Wer die Phrase kennt, erhält die volle Kontrolle über die Mittel: Er braucht weder Ihr Telefon noch das Passwort der App noch Zugriff auf Ihre E-Mail.
Deshalb funktioniert eine Seed-Phrase anders als ein Website-Passwort. Ein Passwort lässt sich über den Support zurücksetzen. Die Blockchain hat keinen Support: Eine mit Ihrem Schlüssel signierte Transaktion gilt als Wille des Inhabers und lässt sich nicht stornieren. Gerade diese Eigenschaft macht die Seed-Phrase zum Hauptziel von Betrügern.
So bewahren Sie die Seed-Phrase auf
Grundprinzip: Die Phrase lebt offline und in mehreren Exemplaren, aber nicht an Orten mit Fernzugriff.
- Schreiben Sie die Wörter von Hand auf Papier oder prägen Sie sie in eine Metallplatte, unter Beachtung von Reihenfolge und Nummerierung.
- Bewahren Sie Kopien an verschiedenen physischen Orten auf, zum Beispiel zu Hause und in einem Bankschließfach oder bei einer vertrauenswürdigen Person, damit ein Brand oder Verlust nicht das einzige Exemplar vernichtet.
- Prüfen Sie die Aufzeichnung: Stellen Sie die Wallet auf einem sauberen Gerät mit einem kleinen Betrag wieder her, bevor Sie ihr größere Mittel anvertrauen.
- Erzählen Sie Außenstehenden nicht, wo und wie Sie die Phrase aufbewahren.
Verwenden Sie eine zusätzliche Passphrase, bewahren Sie sie getrennt von den Wörtern auf: Der Verlust eines der beiden Elemente bedeutet den Verlust des Zugriffs.
Was Sie mit Seed-Phrase und privaten Schlüsseln niemals tun sollten
Unten stehen Handlungen, die am häufigsten mit dem Verlust von Mitteln enden.
- Fotografieren Sie die Phrase nicht und machen Sie keinen Screenshot: Bilder werden mit der Cloud synchronisiert und geraten bei einem Kontohack in fremde Hände.
- Speichern Sie die Phrase nicht in Notizen, Messengern, E-Mails, Cloud-Dokumenten und einem Passwortmanager ohne gesonderten Schutz.
- Geben Sie die Phrase nicht auf Websites ein, in Formularen zur „Wallet-Prüfung“, „Synchronisierung“ oder „Eigentumsbestätigung“.
- Senden Sie Phrase und privaten Schlüssel nicht in den Support-Chat, auch wenn sich Ihr Gegenüber als Mitarbeiter des Services oder als Entwickler der Wallet ausgibt.
- Diktieren Sie die Wörter nicht am Telefon und zeigen Sie sie nicht per Videoübertragung.
Merken Sie sich die einfache Regel: Die Seed-Phrase wird nur in einem Fall gebraucht, nämlich wenn Sie Ihre Wallet selbst in einer App oder auf einem Hardware-Gerät wiederherstellen.
Gesondert zu privaten Schlüsseln: Das sind dieselben Zugangsdaten in anderer Form. Die Zeichenfolge „privater Schlüssel“ oder eine Datei mit dem Schlüssel verlangen denselben Umgang wie die Wörter der Phrase. Importieren Sie einen Schlüssel in ein fremdes Programm, übergeben Sie diesem faktisch Ihre Wallet.
Wie Phishing-Websites und -Nachrichten aussehen
Phishing ist der Versuch, Sie dazu zu bringen, freiwillig Daten herauszugeben oder eine schädliche Operation zu signieren. Die Kopie einer Website kann dem Original fast identisch aussehen, daher sollten Sie nicht das Design, sondern Adresse und Kontext beurteilen.
- Die Domain weicht um ein oder zwei Buchstaben ab, enthält zusätzliche Wörter, Bindestriche oder eine ungewöhnliche Endung.
- Der Link kam aus einer Suchmaschinenwerbung, einer privaten Nachricht, einem Kommentar oder einer E-Mail, nicht aus einem Lesezeichen, das Sie selbst gespeichert haben.
- Die Seite setzt unter Druck: „Das Konto wird gesperrt“, „Die Verteilung endet in 10 Minuten“.
- Die Website verlangt die Eingabe von Seed-Phrase oder privatem Schlüssel „zur Wiederherstellung des Zugangs“.
- Ihnen wird in privaten Nachrichten ein Tausch „zum Sonderkurs“ angeboten.
Wie Sie unseriöse Services erkennen, lesen Sie ausführlicher im Beitrag Merkmale einer gefälschten Wechselstube.
Adressaustausch und Clipboard Hijacking
Clipboard Hijacking ist Schadsoftware, die die Zwischenablage überwacht. Kopieren Sie eine Wallet-Adresse, ersetzt sie diese unbemerkt durch die Adresse des Angreifers. Sie fügen die fremde Adresse ein, ohne den Unterschied zu bemerken, und senden die Mittel an ihn.
Der Schutz beruht auf der Gewohnheit des Abgleichs:
- Vergleichen Sie die Adresse nach dem Einfügen vollständig mit dem Original, nicht nur die ersten und letzten Zeichen: Betrüger wählen häufig Adressen mit ähnlichem Anfang und Ende.
- Senden Sie bei größeren Beträgen zuerst eine kleine Testzahlung und vergewissern Sie sich, dass sie angekommen ist.
- Nutzen Sie das Adressbuch der Wallet für feste Empfänger und prüfen Sie die dort gespeicherte Adresse.
- Halten Sie System und Virenschutz aktuell und installieren Sie keine Programme aus zweifelhaften Quellen.
Das Prüfverfahren beschreibt der Artikel So prüfen Sie die Wallet-Adresse.
Approve-Bestätigungen für Token: Worauf Sie achten sollten
In Netzwerken mit Smart Contracts (zum Beispiel Ethereum, BNB Chain) lassen sich Token wie USDT auf zwei Arten senden: per normaler Überweisung oder über eine Freigabe (Approve). Ein Approve gibt einem Contract das Recht, Ihre Token in festgelegter Höhe abzubuchen, manchmal ohne Begrenzung von Betrag und Dauer. Haben Sie eine solche Freigabe einem schädlichen Contract erteilt, kann er die Token später ohne neue Anfrage abziehen.
Prüfen Sie vor der Bestätigung:
- Welcher Contract oder welche Website den Zugriff anfordert und ob Sie diese Aktion selbst ausgelöst haben.
- Welchen Token und welchen Betrag Sie freigeben. Die Formulierung „unbegrenzt“ (unlimited) erhöht das Risiko.
- Wozu die Freigabe überhaupt nötig ist. Für eine einfache Überweisung an eine Tauschadresse ist kein Approve erforderlich.
Sehen Sie erteilte Freigaben regelmäßig im Blockchain-Explorer oder in speziellen Tools durch und widerrufen Sie nicht benötigte. Auch ein Widerruf ist eine Transaktion und erfordert eine Netzwerkgebühr.
Nachrichtensignaturen und „kostenlose Verteilungen“
Die Wallet bittet nicht nur um die Signatur von Transaktionen, sondern auch von Nachrichten. Eine Nachrichtensignatur bucht für sich genommen keine Mittel ab, manche Signaturen werden jedoch als Freigaben für künftige Operationen verwendet. Lesen Sie den Text der Anfrage: Wenn Sie nicht verstehen, was Sie signieren, lehnen Sie die Anfrage ab.
Eine eigene Kategorie des Betrugs sind „kostenlose Verteilungen“, Einladungen, einen „Bonus zu erhalten“, und Token, die plötzlich an Ihrer Adresse auftauchen. Der Versuch, einen solchen Token zu verkaufen oder eine Belohnung auf einer fremden Website zu „claimen“, führt oft zu einem schädlichen Approve. Taucht von selbst ein unbekannter Token auf, ist es am sichersten, nichts damit zu tun.
Cold Wallet und Hot Wallet: Was ist der Unterschied?
Eine Hot Wallet ist dauerhaft mit dem Internet verbunden: mobile App, Browser-Erweiterung, Web-Wallet. Sie ist praktisch für häufige Operationen, aber anfällig für Schadsoftware und Phishing. Eine Cold Wallet bewahrt die Schlüssel auf einem Gerät auf, das nicht dauerhaft mit dem Netz verbunden ist: Hardware-Wallet oder Offline-Speicher. Die Signatur erfolgt im Gerät, die Schlüssel verlassen es nicht. Auf dem Display des Geräts sehen Sie Adresse und Betrag der Operation, und genau diese sollten Sie vor dem Tastendruck prüfen.
- Eine Hot Wallet eignet sich für kleine Beträge und alltägliche Überweisungen.
- Eine Cold Wallet eignet sich für die langfristige Aufbewahrung nennenswerter Beträge.
- Beide Typen schützen nicht vor Benutzerfehlern: Bestätigen Sie auf dem Hardware-Gerät eine schädliche Operation, verlieren Sie die Mittel trotzdem.
Die Aufteilung der Rollen ist gängige Praxis: Einen kleinen Restbetrag für Operationen hält man in der Hot Wallet, den Rest bewahrt man getrennt auf.
Wie Sie Wallet und Gerät auswählen
Eine allgemeingültige Antwort gibt es nicht, aber es gibt Kriterien, die beim Vergleich helfen.
- Wer die Schlüssel verwahrt. Bei einer nicht-verwahrenden Wallet liegen die Schlüssel bei Ihnen und die Verantwortung ebenfalls; bei einer verwahrenden (zum Beispiel auf einer Börse) verwaltet das Unternehmen die Schlüssel.
- Unterstützung der benötigten Netzwerke: Prüfen Sie, ob die Wallet mit der Münze und dem Netzwerk funktioniert, in dem Sie empfangen wollen.
- Quelle der App. Laden Sie die Wallet nur von der offiziellen Website des Entwicklers oder aus dem offiziellen Store herunter und gleichen Sie Name und Entwickler ab.
- Transparenz des Projekts: offener Quellcode, regelmäßige Updates, nachvollziehbare Historie.
Für das Gerät, auf dem die Wallet installiert ist, gilt die grundlegende Hygiene: Updates, Bildschirmsperre, keine zweifelhaften Erweiterungen. Nutzen Sie für größere Beträge keine öffentlich zugänglichen Computer und keine ungeprüften öffentlichen Netzwerke. Für Tauschseiten ist es praktisch, ein eigenes Browserprofil ohne überflüssige Erweiterungen anzulegen: Eine schädliche Erweiterung kann Seiten lesen und Adressen ändern.
So stellen Sie sicher, dass Sie auf der echten Website des Services sind
Die Prüfung der Website dauert weniger als eine Minute und beseitigt den Großteil des Risikos.
- Öffnen Sie den Service über ein Lesezeichen oder tippen Sie die Adresse von Hand ein, statt einem Link aus einer Nachricht oder Werbung zu folgen.
- Lesen Sie die Domain in der Adressleiste Zeichen für Zeichen. Die einzige offizielle Domain von BITWHITE ist bitwhite.net.
- Vergewissern Sie sich, dass die Verbindung gesichert ist, bedenken Sie aber: Das Schloss-Symbol sagt etwas über die Verschlüsselung aus, nicht über die Seriosität der Website.
- Suchen Sie Kontakte nur auf der offiziellen Seite „Kontakte“ des Services selbst.
- Verlangt der Service Seed-Phrase oder privaten Schlüssel, schließen Sie die Seite: So handelt kein echter Service.
Was tun, wenn die Seed-Phrase an Betrüger gelangt sein könnte
Haben Sie die Phrase auf einer verdächtigen Website eingegeben oder einer fremden Person geschickt, betrachten Sie die Wallet als kompromittiert. Sie müssen schnell handeln.
- Erstellen Sie auf einem sauberen Gerät eine neue Wallet mit neuer Seed-Phrase.
- Überweisen Sie die verbliebenen Mittel so schnell wie möglich an die neue Adresse, unter Berücksichtigung der Netzwerkgebühr.
- Widerrufen Sie erteilte Freigaben (Approve) von der alten Adresse, falls dort noch etwas übrig ist.
- Ändern Sie die Passwörter verknüpfter Konten und prüfen Sie das Gerät auf Schadsoftware.
Vertrauen Sie keinen Unbekannten, die anbieten, das Geld gegen Vorauszahlung zurückzuholen: Das ist die nächste Welle des Betrugs. Bereits abgebuchte Mittel lassen sich in der Regel nicht zurückholen, daher dienen diese Schritte dem Schutz des Restbetrags. Bei einer erheblichen Summe ist es sinnvoll, sich an einen Juristen und an die Strafverfolgungsbehörden zu wenden.
Schutz der Konten und Geräte rund um die Wallet
Selbst die perfekte Aufbewahrung der Seed-Phrase hilft nicht, wenn ein Angreifer Zugriff auf E-Mail oder Telefon erhält, an die Services gebunden sind. Einige Gewohnheiten senken das Risiko spürbar.
- Verwenden Sie für jeden Service ein eigenes langes Passwort und aktivieren Sie die Zwei-Faktor-Authentifizierung über eine Authenticator-App, nicht nur per SMS.
- Öffnen Sie keine Anhänge und Links aus E-Mails, die Benachrichtigungen einer Börse, Wallet oder Wechselstube imitieren.
- Installieren Sie auf Bitte eines „Support-Spezialisten“ keine Fernzugriffsprogramme: Darüber kann man Ihren Bildschirm sehen und Operationen an Ihrer Stelle bestätigen.
- Bewahren Sie Backups und das Gerät, auf dem die Wallet installiert ist, getrennt auf.
Wenn etwas an der Situation dringlich wirkt und verlangt, sofort Daten einzugeben oder Mittel zu senden, halten Sie inne. Dringlichkeit ist das wichtigste Werkzeug des Social Engineering, und ein seriöser Service nimmt Ihnen nicht die Zeit zur Prüfung.
Typische Fehler
- Die Phrase „vorübergehend“ als Foto oder in Notizen auf dem Telefon aufbewahren.
- Nur Anfang und Ende der Adresse abgleichen.
- Approve bestätigen, ohne Betrag und Adresse des Contracts zu lesen.
- Einem Service über einen Link aus Werbung oder einer privaten Nachricht folgen.
- Einem Gesprächspartner vertrauen, der bei der Wallet „hilft“ und Daten zur Wiederherstellung verlangt.
- Den gesamten Betrag in einer Hot Wallet auf demselben Gerät aufbewahren, auf dem zufällige Programme installiert werden.
- Eine Zahlung im falschen Netzwerk senden: siehe Was tun, wenn Sie im falschen Netzwerk oder an eine falsche Adresse gesendet haben.
Sicherheits-Checkliste vor dem Senden von Mitteln
- Die Seed-Phrase ist auf Papier oder Metall notiert, wird offline aufbewahrt und wurde nicht fotografiert.
- Die Website wurde über ein Lesezeichen geöffnet, die Domain Zeichen für Zeichen geprüft.
- Die Empfängeradresse wurde nach dem Einfügen vollständig abgeglichen.
- Das richtige Netzwerk ist gewählt, bei Bedarf sind memo oder destination tag angegeben (So funktioniert es).
- Bei einem größeren Betrag wurde eine Testzahlung durchgeführt.
- Alle Anfragen zu Signatur und Approve wurden vor der Bestätigung gelesen.
- Bestellnummer und Link zur Bestellung sind gespeichert; später lässt sich die Transaktion über die txid finden (So nutzen Sie den Explorer).
Den allgemeinen Ablauf beim Tausch beschreibt die Schritt-für-Schritt-Anleitung.
Wie das mit dem Tausch auf BITWHITE zusammenhängt
Für den Tausch auf BITWHITE sind weder Seed-Phrase noch private Schlüssel nötig: Der Service verlangt sie nie und bietet keinen Tausch in privaten Nachrichten an. Die einzige offizielle Domain ist bitwhite.net, und die offiziellen Support-Kanäle sind auf der Seite „Kontakte“ angegeben. Für die Erstellung einer Bestellung ist keine Registrierung erforderlich.
Die Empfangsadresse geben Sie selbst an, gleichen Sie sie daher nach dem Einfügen ab. Die Zahlungsadresse wird für jede Bestellung gesondert vergeben und ist bis zu 2 Stunden gültig; senden Sie den genauen Betrag und im gewählten Netzwerk. Überweisungen an fehlerhafte Angaben sind von der Rückerstattung ausgeschlossen, und im automatischen Modus geben Sie auch die Rückerstattungsadresse selbst an, prüfen Sie daher auch diese. Brauchen Sie Hilfe, wenden Sie sich nur über die offiziellen Kanäle und geben Sie Bestellnummer (BW-…), Münze, Betrag und txid an. Wenn Sie bereit sind, eine Bestellung zu erstellen, öffnen Sie das Tauschformular auf bitwhite.net über ein Lesezeichen.