Das Sicherheitsteam von Trust Wallet hat bestätigt, dass eine Website, die mit einer Kryptowährungs-Zahlungskarte mit ungewöhnlich großzügigen Vorteilen wirbt, betrügerisch ist, und hat Nutzer davor gewarnt, ihre Wallets mit der Plattform zu verbinden.
Zusammenfassung
- Das Sicherheitsteam von Trust Wallet hat bestätigt, dass eine Website, die mit einer Kryptowährungs-Zahlungskarte mit Premium-Vorteilen wirbt, betrügerisch ist, und hat Nutzer davor gewarnt, ihre Wallets zu verbinden.
- Die gefälschte Website verspricht ein Ausgabenlimit von 100.000 US-Dollar, bis zu 8 % Cashback, keine KYC-Anforderungen und Zugang zu Flughafen-Lounges, wobei die Kartenausgabe für nur 1 US-Dollar beworben wird.
- Der Sicherheitsforscher Daniel meldete die Website, nachdem er entdeckt hatte, dass sie das Branding von Trust Wallet nutzte, um drei Kartenstufen zu bewerben, und behauptete, in vier Ländern Lizenzen zu besitzen.
- Trust Wallet hat klargestellt, dass seine legitimen Angebote über die offizielle Anwendung und Website verfügbar sind, und warnt Nutzer davor, verdächtige Wallet-Verbindungsanfragen oder Signaturen zu genehmigen.
Der Krypto-Sicherheitsforscher Daniel, auf X als @0xDani bekannt, meldete die gefälschte Trust Wallet-Karte in einem Beitrag am 28. Oktober und verwies auf eine Website, die das Branding des Wallet-Anbieters nutzte, um eine Zahlungskarte mit einem Ausgabenlimit von 100.000 US-Dollar, Cashback-Prämien von bis zu 8 % und mehreren Premium-Vorteilen zu bewerben.
Die Website bewarb die Karte als Möglichkeit, Kryptowährungen überall auszugeben, mit Unterstützung für Apple Pay und Google Pay, null Fremdwährungsgebühren und ohne Anforderungen zur Identitätsverifizierung.
James Bro, der angab, für das Sicherheitsteam von Trust Wallet zu sprechen, reagierte auf die Warnung und bestätigte, dass die Website nicht mit dem Unternehmen verbunden war.
Gefälschte Trust Wallet-Karte verspricht Premium-Vorteile für 1 US-Dollar
Laut Daniels Screenshots präsentierte die betrügerische Website ein scheinbar vollständig entwickeltes Kryptowährungs-Kartenangebot, komplett mit mehreren Mitgliedschaftsstufen und einer Premium-Metallkarte.
Ihr Werbematerial bewarb ein Ausgabenlimit von bis zu 100.000 US-Dollar sowie Cashback-Prämien von bis zu 8 % für Nutzer, die die höchste Kartenstufe wählten.
Das Angebot umfasste Zugang zu Flughafen-Lounges, null Fremdwährungsgebühren, Unterstützung für mobile Zahlungsdienste und eine physische Metallkarte, während behauptet wurde, dass Nutzer nur 1 US-Dollar zahlen müssten, um ihre Karte ausstellen zu lassen.
Eine der ungewöhnlicheren Eigenschaften war das Versprechen, keine Know-Your-Customer-Verifizierung, allgemein KYC genannt, zu verlangen, obwohl die Website Zahlungsdienste bewarb und behauptete, in vier Ländern Lizenzen zu besitzen.
Die von Daniel geteilten Screenshots zeigten drei Kartenstufen, darunter Lite, Signature und Metal, die jeweils den Namen und das Logo von Trust Wallet trugen.
Die Einstiegskarte Lite versprach bis zu 3 % Cashback, während die Signature-Version Prämien von bis zu 5 % sowie null Fremdwährungsgebühren und vorrangigen Support bewarb.
Die Metal-Stufe wurde unterdessen mit 8 % Cashback, unbegrenztem Zugang zu Flughafen-Lounges und rund um die Uhr verfügbaren Concierge-Diensten beworben.
Das Angebot verlangte jedoch von den Nutzern, ihre Kryptowährungs-Wallets zu verbinden, was Daniel als den gefährlichen Teil des Schemes identifizierte.
Trust Wallet-Sicherheitsteam bestreitet Verbindung zur Website
Als Reaktion auf Daniels Warnung auf X bestätigte James Bro, dass die Website nicht zu Trust Wallet gehörte, und verwies Nutzer auf die offizielle Anwendung und Website des Unternehmens.
Er erklärte, dass legitime Trust Wallet-Angebote über die offiziellen Kanäle verfügbar sind, und warnte Nutzer davor, ihre Wallets zu verbinden oder verdächtige Anfragen zur Erlangung einer Zahlungskarte zu genehmigen.
Die Warnung bezog sich speziell auf die Wallet-Verbindungsanforderung der Website, die als Teil des Prozesses für den Zugang zu den beworbenen Vorteilen dargestellt wurde.
Obwohl die Website den Namen, die Designs der Zahlungskarten und das Werbematerial von Trust Wallet verwendete, stellte die Reaktion des Sicherheitsteams klar, dass es sich bei dem Angebot nicht um ein autorisiertes Produkt des Unternehmens handelte.
In den Beiträgen wurden keine bestätigten finanziellen Verluste, betroffenen Wallet-Adressen oder Details über die Betreiber hinter der betrügerischen Website genannt.
Die Warnung folgt auf frühere Fälle, in denen Kriminelle sich durch inoffizielle Anwendungen und Websites als Trust Wallet ausgaben.
Im Juni 2024 berichtete crypto.news, dass Trust Wallet Nutzer vor gefälschten Versionen seiner Anwendung gewarnt hatte, die in den App-Stores von Xiaomi und Amazon erschienen.
Damals erklärte das Unternehmen, es habe die Entfernung der betrügerischen Anwendungen beantragt und die Nutzer ermutigt, seine Wallet-Software über verifizierte Download-Kanäle zu beziehen.
Gefälschte Krypto-Websites können Wallet-Genehmigungen nutzen, um Gelder zu stehlen
Betrügerische Kryptowährungs-Websites versuchen üblicherweise, Zugriff auf die Vermögenswerte der Nutzer zu erlangen, indem sie sie dazu bringen, bösartige Transaktionen zu genehmigen oder Berechtigungen zu unterzeichnen, die als Teil eines legitimen Dienstes erscheinen.
Eine bloße Wallet-Verbindung gibt einer Website nicht automatisch die Erlaubnis, Kryptowährung zu übertragen. Angreifer können jedoch nachfolgende Transaktionsanfragen oder Signaturen nutzen, um Ausgaberechte für bestimmte Token zu erlangen.
Solche Berechtigungen können es einem von Angreifern kontrollierten Smart Contract ermöglichen, Vermögenswerte zu übertragen, ohne dass das Opfer seine Wiederherstellungsphrase preisgeben muss.
Im Juli verlor ein Ethereum-Nutzer Berichten zufolge fast 1 Million US-Dollar, nachdem er eine bösartige Transaktion genehmigt hatte, die es Angreifern ermöglichte, Kryptowährung aus der betroffenen Wallet zu verschieben.
Dem Vorfall folgte ein weiterer gemeldeter Diebstahl von etwa 1,65 Millionen US-Dollar, bei dem ein Opfer sich mit einer betrügerischen Exchange-Website verband und einen bösartigen Smart Contract unterzeichnete.
Ähnliche Methoden wurden Anfang dieses Monats identifiziert, als das Blockchain-Sicherheitsunternehmen Salus unbefugte USDG-Abhebungen mit Permit-Signaturen in Verbindung brachte, die Angreifern unbegrenzte Token-Ausgaberechte gewährten.
Den Erkenntnissen des Unternehmens zufolge nutzten Angreifer diese Berechtigungen, um nach Erhalt der Autorisierung Gelder zu übertragen, ohne Zugriff auf die privaten Schlüssel der Opfer zu benötigen.
