Die 7 häufigsten Krypto-Scams 2026 erkennen

Betrug ist keine Ausnahme mehr, sondern Infrastruktur

Wer glaubt, Krypto-Betrug sei die Sache einzelner Hacker im Kapuzenpulli, unterschätzt das Problem. 2026 ist Scam ein organisiertes Geschäft: mit Callcentern, arbeitsteiligen Teams, Baukästen „as a Service” und zunehmend KI. Die Zahlen sind unbequem. Der FBI-IC3-Bericht 2024 weist für die USA gemeldete Verluste von rund 16,6 Milliarden Dollar durch Internetkriminalität aus; auf Fälle mit Kryptobezug entfielen etwa 9,3 Milliarden Dollar. Anlagebetrug bleibt der größte Treiber — und der Großteil dieser gemeldeten Anlagebetrugsverluste hatte laut IC3 Kryptobezug.

Auch die Daten des FTC Consumer Sentinel Network zeigen Anlagebetrug seit Jahren als verlustreichste Kategorie; auffällig viele Fälle nehmen ihren Anfang in sozialen Medien. Und Chainalysis beschreibt in seinen Crypto-Crime-Reports, wie KI und Phishing-Baukästen die Einstiegshürden senken und Maschen skalierbar machen.

Die gute Nachricht: Fast alle Verluste laufen über wenige, wiederkehrende Muster. Wer sie kennt, erkennt sie — meist bevor Geld fließt. Hier sind die sieben wichtigsten.

1. Pig Butchering — der Anlagebetrug mit Beziehungsaufbau

„Pig Butchering” (wörtlich „Schweineschlachten”) ist die dominante und teuerste Masche. Der Ablauf: Ein Fremder kontaktiert dich scheinbar zufällig — über Dating-Apps, soziale Medien oder eine „falsch verbundene” Nachricht. Über Wochen entsteht Vertrauen oder eine Romanze. Dann kommt der Investment-Tipp: eine „geniale” Plattform, auf der die neue Bekanntschaft angeblich reich wird. Anfangs darfst du sogar kleine Beträge „auszahlen” — das ist Teil des Köders. Sobald du größere Summen einzahlst, ist das Geld weg.

Das FBI führt Krypto-Anlagebetrug häufig auf genau diese Kombination aus Romance- und Investment-Betrug zurück. Warnzeichen: unerwarteter Kontakt, schnell wachsende Nähe, ein Investment-„Geheimtipp”, eine Plattform, die dir nur die Bekanntschaft zeigt, und Auszahlungen, die plötzlich an „Steuern” oder „Gebühren” scheitern.

2. Fake-Support & Seed-Phrase-Phishing

Ein angeblicher Mitarbeiter deiner Börse oder deines Wallet-Herstellers meldet sich — per E-Mail, Chat, Anruf oder in einem Forum. Es gebe ein „Sicherheitsproblem”, eine „Verifizierung” sei nötig. Am Ende steht immer dieselbe Bitte: gib deine Seed-Phrase preis oder tippe sie auf einer Website ein.

Die Regel dagegen ist absolut: Kein legitimer Support fragt jemals nach deiner Seed-Phrase. Hersteller wie Trezor stellen in ihren Sicherheitshinweisen ausdrücklich klar, dass der eigene Support das niemals tut. Deine Wörter gehören ausschließlich in dein eigenes Gerät — nie in ein Chatfenster, nie auf eine verlinkte Seite. Wer fragt, ist der Angriff, egal wie echt das Logo aussieht.

3. Wallet-Drainer — der Diebstahl per Unterschrift

Beim Wallet-Drainer stiehlt niemand deine Seed-Phrase. Stattdessen bringt dich eine gefälschte Website oder App dazu, eine Transaktion oder Freigabe zu signieren, die dem Angreifer Zugriff auf deine Token gibt. Ein Klick auf „Connect Wallet” und „Approve” — und ein Contract darf deine Bestände abräumen. Chainalysis und Sicherheitsdienste beschreiben Drainer inzwischen als fertige Baukästen, die Täter mieten.

Schutz: Signaturanfragen genau lesen, keine unbekannten Seiten mit der Wallet verbinden, unbegrenzte Token-Freigaben (Approvals) regelmäßig prüfen und widerrufen. Die Warnsignale, die CISA in ihrem Phishing-Leitfaden nennt, gelten hier eins zu eins: unerwartete Aufforderung, Zeitdruck, ein Angebot, das zu gut klingt.

4. Gefälschte Börsen, Apps und Investment-Plattformen

Manche Plattformen existieren nur, um Einzahlungen einzusammeln. Sie zeigen dir schöne Kurscharts und steigende „Gewinne” im Dashboard — aber jede Auszahlung scheitert an neuen Bedingungen: erst „Steuer” zahlen, dann „Freischaltgebühr”, dann „Compliance-Prüfung”. Es gibt nichts auszuzahlen, weil nie etwas investiert wurde.

Schutz: Nur regulierte Anbieter nutzen, App-Namen und Domains exakt prüfen (Betrüger kopieren echte Marken pixelgenau), und misstrauisch werden, sobald das Herausholen von Geld schwerer ist als das Hineinstecken. In den FTC-Betrugsdaten tauchen gefälschte Investment-Plattformen und über soziale Medien beworbene „Handelsgruppen” als wiederkehrendes Muster auf.

5. Impersonation & Giveaway-Scams (inkl. Deepfakes)

„Sende 1 ETH an diese Adresse und erhalte 2 zurück” — die Giveaway-Masche ist alt, funktioniert aber weiter, weil sie sich hinter echten Namen versteckt: geklonte Konten von Prominenten, gefälschte Firmen-Streams, inzwischen auch KI-Deepfakes von bekannten Gesichtern und Stimmen. Das FBI warnt ausdrücklich davor, dass generative KI solche Fälschungen billiger und überzeugender macht.

Regel: Niemand verdoppelt dir Geld. Jede Aufforderung, zuerst Krypto zu senden, um mehr zurückzubekommen, ist Betrug — ohne Ausnahme.

6. Address Poisoning — die vergiftete Adresse

Diese Masche nutzt Bequemlichkeit aus. Der Angreifer schickt dir eine winzige oder wertlose Transaktion von einer Adresse, die deinen häufig genutzten Adressen zum Verwechseln ähnlich sieht (gleicher Anfang, gleiches Ende). Kopierst du beim nächsten Senden gedankenlos aus dem Verlauf, landet dein Geld beim Betrüger.

Schutz: Empfängeradressen vollständig prüfen, nicht nur Anfang und Ende; für wiederkehrende Empfänger ein Adressbuch nutzen; im Zweifel eine Testsumme senden.

7. Rug Pulls & Fake-Token

Beim Rug Pull bewerben Entwickler ein neues Token oder Projekt, treiben den Kurs mit Hype hoch — und ziehen dann die Liquidität ab oder verkaufen ihren Bestand auf einen Schlag. Zurück bleibt ein wertloses Token. Eine Variante sind Fake-Token: gleicher Name wie ein echtes Projekt, aber ein anderer, betrügerischer Contract.

Schutz: Contract-Adressen immer über offizielle Quellen verifizieren, extreme Renditeversprechen als Warnsignal lesen, und akzeptieren, dass die Überlebensquote kleiner, gehypter Projekte niedrig ist.

Der rote Faden — und was ihn durchschneidet

Sieben Maschen, ein Kern: Nicht die Technik ist der Hebel, sondern die Psychologie. Vertrauen aufbauen, Dringlichkeit erzeugen, dann Geld, Schlüssel oder Freigabe erfragen. Genau deshalb wirken drei einfache Gewohnheiten gegen fast alles:

• Tempo rausnehmen. Kein seriöses Angebot verfällt in fünf Minuten. Zeitdruck ist ein Werkzeug des Betrugs.
• Schlüssel und Freigaben schützen. Seed-Phrase gehört niemandem, Signaturen liest man, bevor man sie erteilt.
• Unabhängig prüfen. Adressen, Domains, Contracts über offizielle Quellen — nie über den Link, den dir jemand geschickt hat.

Und wenn doch etwas passiert ist: sofort weitere Zahlungen stoppen, Beweise sichern und Anzeige erstatten. Eine Garantie auf Rückholung gibt es nicht — aber Schweigen hilft nur den Tätern.