Was ist Clipboard Hijacking?

Du kopierst eine Wallet-Adresse, fügst sie ins Sende-Feld ein, klickst auf Absenden. Alles wie immer. Nur dass die Adresse, die du eingefügt hast, nicht mehr die ist, die du kopiert hast. Eine Schadsoftware hat sie in deiner Zwischenablage ausgetauscht, und deine Coins landen beim Angreifer. Das ist Clipboard Hijacking, eine der heimtückischsten Betrugsmaschen im Krypto-Bereich.

Wie Clipboard Hijacking funktioniert

Krypto-Adressen sind lange, scheinbar zufällige Zeichenketten (z. B. 0x742d35Cc6634C0532925a3b844Bc9e7595f2bD38 bei Ethereum). Niemand tippt diese Adressen manuell ein, jeder kopiert sie. Genau darauf setzen die Angreifer mit ihrer Schadsoftware: Eine Malware im Hintergrund überwacht die Zwischenablage und erkennt, wenn eine Krypto-Adresse kopiert wird. In Millisekunden wird sie durch die Adresse des Angreifers ersetzt.

Die Malware erkennt Krypto-Adressen an ihrem Format: Bitcoin-Adressen beginnen mit 1, 3 oder bc1, Ethereum-Adressen mit 0x. Manche Varianten sind so ausgeklügelt, dass sie eine Angreifer-Adresse wählen, die mit den gleichen Zeichen beginnt und endet wie das Original. Wer nur die ersten und letzten vier Zeichen prüft, fällt trotzdem rein. Die Malware läuft dabei komplett im Hintergrund, ohne sichtbare Fenster oder Benachrichtigungen, und wird deshalb oft monatelang nicht entdeckt.

Bekannte Angriffsvektoren

Vektor	Beschreibung	Verbreitung
Trojaner/Malware	Wird über Downloads, E-Mail-Anhänge oder infizierte Software installiert	Häufigster Vektor
Browser-Extensions	Bösartige oder kompromittierte Browser-Erweiterungen überwachen die Zwischenablage	Zunehmend
Manipulierte Wallets	Gefälschte Wallet-Apps im App Store oder als Download	Vor allem auf Android
Infizierte npm-Pakete	Entwickler installieren unwissentlich Schadcode über Paketmanager	Gezielt gegen Entwickler
Clipboard-API im Browser	Websites manipulieren kopierte Inhalte über JavaScript	Selten, aber möglich

Warum Krypto besonders betroffen ist

Bei einer Banküberweisung kannst du eine falsche Überweisung zurückbuchen. Bei Kryptowährungen ist eine bestätigte Transaktion endgültig, es gibt keine Rückbuchung, keinen Kundenservice, der das Geld zurückholt. Dazu kommt: Krypto-Adressen sind so lang und kryptisch, dass die meisten Menschen nicht jedes einzelne Zeichen prüfen. Die Kombination aus irreversiblen Transaktionen und unleserlichen, langen Adressen macht Clipboard Hijacking zu einer der effektivsten Angriffsmethoden im Krypto-Bereich.

Laut Schätzungen von Chainalysis und anderen Blockchain-Analysefirmen gingen allein zwischen 2021 und 2023 mehrere hundert Millionen USD durch Clipboard-basierte Angriffe verloren. Die tatsächliche Zahl dürfte höher liegen, weil viele Opfer den Verlust nicht melden oder gar nicht bemerken, wohin ihre Coins verschwunden sind. Besonders betroffen sind Nutzer, die große Beträge zwischen Cold Wallets und Börsen transferieren.

So schützt du dich

Der wichtigste Schutz: Prüfe die Adresse nach dem Einfügen immer vollständig, mindestens die ersten sechs und letzten sechs Zeichen. Noch besser ist es, die Adresse vor dem Senden aus einer zweiten Quelle zu verifizieren. Wenn du regelmäßig an die gleiche Adresse sendest, speichere sie als Kontakt in deiner Wallet oder Börse. Manche Börsen bieten eine Whitelist-Funktion, die Abhebungen nur an vorher freigegebene Adressen erlaubt.

Auf System-Ebene helfen ein aktuelles Betriebssystem, ein vertrauenswürdiger Virenscanner und gesunder Menschenverstand beim Installieren von Software. Hardware-Wallets wie Ledger oder BitBox zeigen die Empfängeradresse auf ihrem eigenen Display an, sodass du sie unabhängig vom Computer überprüfen kannst. Das ist der sicherste Schutz gegen Clipboard Hijacking. Zusätzlich solltest du regelmäßig deine installierten Browser-Erweiterungen überprüfen und nur Extensions aus vertrauenswürdigen Quellen verwenden. Unbekannte oder nicht mehr gepflegte Erweiterungen am besten sofort deinstallieren.

Clipboard Hijacking erkennen

Teste dich selbst: Kopiere eine beliebige Bitcoin- oder Ethereum-Adresse und füge sie in einen Texteditor ein. Stimmt die eingefügte Adresse mit dem Original überein? Wenn nicht, ist dein System kompromittiert. Weitere Anzeichen sind unerwartete Prozesse im Task-Manager, ein plötzlich langsamer Rechner oder Antiviren-Warnungen, die du ignoriert hast. Wenn du den Verdacht hast, starte sofort einen vollständigen Virenscan und sende keine weiteren Transaktionen von diesem Gerät, bis es bereinigt ist.