Am 24. Mai wurde in den Ethereum-Nachrichten bekannt, dass eine Wallet, die gerade erst mit EIP-7702 aktiviert wurde, etwa 150.000 Dollar verloren hat, als Betrüger den Benutzer dazu brachten, einen bösartigen Stapel von Token-Transfers zu genehmigen.
Phishing-Angriffe auf Kryptowährungen haben stark zugenommen. Allein im April 2025 wurden 7.565 Geldbörsen um rund 5,3 Millionen Dollar beraubt. Jetzt nutzen Angreifer das jüngste Pectra-Upgrade von Ethereum – insbesondere EIP-7702 – um Benutzerkonten zu leeren.
Sicherheitsanalysten warnen, dass dieser neuartige Exploit zeigt, wie schnell sich Hacker an die neuen Smart-Wallet-Funktionen von Ethereum anpassen.
Ethereum EIP-7702 und das Pectra-Upgrade
EIP-7702 ist eine wichtige Funktion des Ethereum-Upgrades „Pectra“ vom Mai 2025. Es lässt gewöhnliche Wallets (Externally Owned Accounts, oder EOAs) während einer Transaktion vorübergehend wie Smart-Contract-Konten agieren.
Technisch gesehen kann ein Benutzer kleine Schnipsel von Vertragscode an seine Adresse für eine Transaktion anhängen. Dies bringt fortgeschrittene Vorteile der „Kontoabstraktion“ für normale Geldbörsen mit sich: Ein Nutzer kann nun beispielsweise mehrere Überweisungen in einer Transaktion zusammenfassen, seine Gasgebühren von jemand anderem sponsern lassen oder alternative Unterschriftsverfahren verwenden.
Wallet-Anbieter wie Ambire und Trust Wallet haben bereits die EIP-7702-Unterstützung auf Ethereum eingeführt. Der CEO von Ambire bezeichnete es als „das größte UX-Upgrade“ für Ethereum, da es die Smart-Account-Funktionen freischaltet, ohne dass die Nutzer gezwungen sind, neue Vertragswallets zu erstellen.
Sicherheitsexperten warnten jedoch, dass EIP-7702 auch neue Angriffsflächen eröffnet. Indem eine Geldbörse benutzerdefinierten Code ausführen kann, könnten Betrüger theoretisch eine ganze Routine zum Abziehen der Geldbörse in einen einzigen Genehmigungsschritt packen.
Wie ein Entwickler es ausdrückte, bot EIP-7702 „einen neuen Weg für Phishing-Kampagnen, um ganze Geldbörsen auf einmal zu leeren“. Kurz gesagt: Funktionen, die die Flexibilität verbessern sollen, können nach hinten losgehen, wenn die Benutzer nicht extrem vorsichtig sind.
Ethereum Nachrichten: Inferno Drainer’s $150K Betrug über EIP-7702
Die Gefahr wurde am 24. Mai 2025 real. Scam Sniffer – eine Web3-Anti-Betrugs-Plattform – berichtete, dass die MetaMask-Brieftasche eines Benutzers, die kürzlich auf EIP-7702 aktualisiert wurde, um etwa 146.551 Dollar beraubt wurde.
Das Blockchain-Sicherheitsunternehmen SlowMist analysierte den Fall schnell und identifizierte den Täter als Inferno Drainer, eine berüchtigte Phishing-Bande.
Anstatt die Wallet-Adresse zu kapern oder Seed-Phrasen zu stehlen, nutzten die Angreifer das neue „Delegator“-System im Ethereum-Upgrade EIP-7702, wie in den Nachrichten berichtet wurde. Sie überzeugten den Benutzer, einen vertrauenswürdigen MetaMask-Delegator-Vertrag (Teil von EIP-7702) zu autorisieren, den die Hacker bereits registriert hatten.
Als das Opfer eine scheinbar normale Transaktion unterzeichnete, löste es einen unsichtbaren „Ausführen“-Aufruf aus, der im Hintergrund eine Reihe von betrügerischen Überweisungen durchführte.
Das Ergebnis war ein stiller Batch-Abfluss von Token. Auf dem Screenshot unten (aus den Protokollen von Scam Sniffer) sind die böswilligen Batch-Genehmigungen rot hervorgehoben – Dutzende von Token wurden auf einen Schlag zur Übertragung genehmigt.
Da dies alles innerhalb der delegierten Smart Wallet geschah, sah der Benutzer keine offensichtlichen Pop-ups für jede Token-Genehmigung. Das Opfer gab den Angreifern unwissentlich die Erlaubnis, Dutzende von verschiedenen Vermögenswerten in einem Schritt zu verschieben.
Wie der Phishing-Betrug von Inferno Drainer funktionierte
Das ScamSniffer-Überwachungs-Dashboard (oben) zeigt mehrere Token-Genehmigungen auf einmal über eine einzige Batch-Transaktion. Genau so funktionierte der Phishing-Betrug von Inferno Drainer: Der MetaMask-Aufruf „execute“ des Opfers verarbeitete stillschweigend ein Bündel bösartiger Genehmigungen und ermöglichte es den Hackern, etwa 150.000 Dollar in Münzen abzuschöpfen.
Yu Xian, der Gründer von SlowMist, erklärt den Plan: Die Phishing-Gruppe „nutzte eine delegierte MetaMask-Brieftasche – eine, die bereits unter EIP-7702 autorisiert war – um Token-Transfers im Stillen durch einen Batch-Autorisierungsprozess zu genehmigen“.
In seinen Worten: „Die Phishing-Bande nutzt diesen Mechanismus, um Batch-Autorisierungsoperationen mit Token durchzuführen, die mit der Adresse des Opfers verbunden sind“.
Mit anderen Worten: Die Angreifer mussten die Adresse des Benutzers nicht mit einer gefälschten Adresse überschreiben, sondern nutzten einfach den Smart-Contract-Code von MetaMask.
Xian stellte fest, dass dieser Fall komplexer ist als frühere Betrügereien: Die EOA-Adresse des Benutzers blieb unverändert, während der bösartige Stapel durch den MetaMask EIP-7702 Delegator-Vertrag abgewickelt wurde.
Die Analyse von SlowMist unterstreicht, dass dieser Exploit „sehr kreativ“ war – er missbrauchte eine legitime Funktion der Geldbörse auf unerwartete Weise.
Die Inferno Drainer-Gruppe selbst behauptet, dass sie sich vor kurzem zurückgezogen hat, aber Xian wies darauf hin, dass ihre Malware immer noch aktiv ist und in den letzten sechs Monaten über 9 Millionen Dollar erbeutet hat. Der Hack vom 24. Mai passt in das Schema der Multi-Chain-Wallet-Betrügereien, allerdings mit einer neuen Wendung dank des EIP-7702-Upgrades von Ethereum.
Phishing-Trends und EIP-7702-Risiken
Dieser Inferno-Angriff war kein Einzelfall. Krypto-Phishing ist nach wie vor weit verbreitet. Der Bericht von Scam Sniffer für April 2025 verzeichnete einen Verlust von rund 5,29 Millionen Dollar durch Phishing-Betrug in diesem Monat, was einem Anstieg der Opferzahlen um 26% gegenüber März (7.565 Opfer) entspricht. (Bemerkenswert ist, dass die Gesamtsumme im April um 17% unter den 6,37 Millionen Dollar vom März lag, aber viel mehr Nutzer betroffen waren).
Letztes Jahr war es sogar noch schlimmer: Laut Scam Sniffer wurden 2024 rund 494 Millionen Dollar durch Wallet-Phishing gestohlen – ein Anstieg von 67 % gegenüber 2023. Diese Verluste zeigen, dass die Angreifer immer neue Tricks erfinden, obwohl die Geldbörsen immer sicherer werden.
Der Ethereum EIP-7702 Exploit ist die neueste Entwicklung. Traditionelles Phishing trickst seine Opfer oft aus, damit sie einem einzigen Token-Transfer zustimmen oder Geld an eine gefälschte Adresse schicken.
Im Gegensatz dazu können die Angreifer mit der Methode der Inferno-Bande Dutzende von Token-Freigaben in einem einzigen versteckten Schritt bündeln. Wie SlowMist feststellte, markiert dies einen Wandel: Die Angreifer integrieren nun offizielle Ethereum-Upgrades in ihre Betrügereien.
Yu Xian warnte, dass Phisher „neue Wege“ sehen, um Gelder abzuschöpfen, da die Benutzer auf fortschrittliche Geldbörsenfunktionen wie EIP-7702 angewiesen sind. Kurz gesagt, die bekannten Gruppen holen die neue Technologie ein.
Neben Inferno Drainer tauchten im Mai weitere EIP-7702-Schwindel auf. Am 20. Mai veröffentlichte GoPlus Security (über BlockBeats) eine Warnung über eine bösartige EIP-7702 „Delegator“-Adresse.
Wenn ein Benutzer diese Adresse autorisierte, wurde sofort jede ETH in der Wallet auf das Konto des Angreifers übertragen. GoPlus forderte die Nutzer auf, EIP-7702 nur über die offiziellen Wallet-UIs zu aktivieren und alle unaufgeforderten Upgrade-Links in E-Mails abzulehnen.
In ihren Worten: „Genehmigen Sie die 7702-Funktion nur über die offizielle Wallet-App… klicken Sie niemals auf externe Links oder die ‚Upgrade‘-Option in E-Mails, und überprüfen Sie immer den Quellcode des Vertrags“. Diese Vorsichtsmaßnahmen spiegeln den Rat von SlowMist wider: Vergewissern Sie sich immer, woher die Transaktionen stammen und überprüfen Sie Ihre Genehmigungen.
Expertenrat und Anwenderhinweise
Sicherheitsfirmen betonen Wachsamkeit. Scam Sniffer empfiehlt, jede Website oder jeden Vertrag vor der Unterzeichnung doppelt zu überprüfen. Sie raten Benutzern beispielsweise, Websites zu überprüfen, bevor sie sich anmelden oder Transaktionen genehmigen, Token-Berechtigungen regelmäßig zu überprüfen und nicht auf ungeprüfte Links zu klicken.
Yu Xian von SlowMist spricht ähnliche Warnungen aus: „Jeder sollte wachsam sein… seien Sie vorsichtig, dass Ihnen das Vermögen in Ihrer Brieftasche weggenommen wird“, wenn Sie betrogen werden.
Er fordert die Nutzer ausdrücklich auf, alle Token-Autorisierungen zu überprüfen und auf unbekannte Ethereum EIP-7702 Delegationen zu achten, die mit ihrer Wallet verbunden sind. In einem kürzlich geführten Interview warnte Xian auch Krypto-Nutzer: „Vertrauen Sie nicht nur einer Quelle. Wenn es um Geld geht, sollten Sie immer eine weitere verlässliche Quelle zur Überprüfung heranziehen.“
In der Praxis bedeutet das, dass Sie Discord-Server, Twitter-Posts oder E-Mail-Links über offizielle Kanäle überprüfen und niemals eine zufällige Aufforderung überstürzt unterschreiben sollten.
