Wie die Masche funktioniert.
Operationen wie etherwallet.online geben sich als funktionsfähige Ethereum-Wallet-Oberflächen aus und nutzen die optische und namentliche Vertrautheit mit Self-Custody-Werkzeugen, die im gesamten Ethereum-Ökosystem weit verbreitet sind. Die Domain ist so positioniert, dass sie in Suchergebnissen, in der automatischen Vervollständigung des Browsers und in Phishing-Links glaubwürdig erscheint, die über soziale Medien, E-Mail oder Messaging-Plattformen verbreitet werden. Die äußere Darstellung spiegelt typischerweise das Layout und die Terminologie legitimer Wallet-Dienste so genau wider, dass sie einer flüchtigen Prüfung standhält.
Das Betriebsmodell folgt einem Muster des Zugangsdaten-Abgreifens. Besucher werden aufgefordert, einen privaten Schlüssel, eine Keystore-Datei oder eine Seed-Phrase einzugeben, um auf eine Wallet zuzugreifen oder sie wiederherzustellen. Diese Zugangsdaten werden an eine vom Betreiber kontrollierte Infrastruktur übertragen, anstatt lokal verarbeitet zu werden. Sobald der Betreiber im Besitz eines privaten Schlüssels ist, verfügt er über unwiderruflichen Zugriff auf die zugehörige Adresse und kann sämtliche Bestände ohne weiteres Zutun des Opfers transferieren. Der Vorgang ist in Sekunden abgeschlossen, ohne unmittelbares Signal an das Opfer.
Die Täuschung wird erst offenkundig, nachdem die Gelder bewegt wurden. Opfer, die ihre Zugangsdaten übermitteln, stellen fest, dass ihre Wallets innerhalb von Minuten geleert werden, oft noch bevor sie die Seite verlassen. Da Kryptowährungstransaktionen konstruktionsbedingt unumkehrbar sind und Betreiber allein aus den Domain-Registrierungsdaten kaum identifizierbar sein dürften, sind herkömmliche Rechtsmittel stark eingeschränkt. Der Ermittlungsfokus verlagert sich dann auf die Nachverfolgung abgehender Geldflüsse und die Identifizierung der Börsen- oder Mixing-Infrastruktur, die die Vermögenswerte empfangen hat.
Warnsignale, die wir dokumentiert haben.
- 01Domain name mimics established wallet nomenclatureThe domain adopts 'etherwallet' as its core identifier, closely echoing the naming conventions of legitimate self-custody platforms. This pattern is characteristic of typosquatting and brand-impersonation operations designed to capture traffic from users who mistype or misremember a trusted service address.
- 02CryptoScamDB blacklist listingThe domain appears on the CryptoScamDB community blacklist, a collaboratively maintained registry of addresses and domains associated with confirmed or credible fraud. Inclusion indicates the domain has been reviewed and flagged by the wider blockchain security community, not merely auto-detected.
- 03Non-standard top-level domain for a wallet-branded platformLegitimate self-custody interfaces are typically hosted on well-established TLDs. The .online TLD combined with wallet-themed branding is a recurring pattern in phishing infrastructure, where operators register low-cost domains to stand up short-lived fraudulent interfaces before abandoning them.
- 04Private-key solicitation is a critical warning signalLegitimate wallet software processes private keys, seed phrases, and keystore files locally on the user's device. Any web interface that transmits these credentials over a network connection is either fraudulent or fundamentally insecure. Victims who enter credentials into such a form should treat the associated address as compromised immediately.
- 05No verifiable organisational identityOperations of this type carry no company registration, no regulatory disclosure, and no traceable team. The absence of these markers, combined with the blacklist listing and impersonation-style domain, is consistent with infrastructure designed for rapid deployment and abandonment rather than sustained, accountable service provision.
Was Sie jetzt tun können.
Open a free 24-hour case assessment with CryptoLeek +
Tell us what happened. A senior analyst reads your file within 24 hours and replies with an honest yes/no/conditional on recovery. The assessment is free. If we cannot recover the funds we say so plainly, including which (free) regulator channel you should use instead. If we accept the case, we open a numbered case file and issue a written quote for a flat investigation retainer before any work begins, scoped to case complexity, the jurisdictions involved, and the on-chain trail.
Trace your funds on-chain with our analysts +
We trace stolen crypto across BTC, ETH, EVM L2s, Solana, Tron, and major stablecoins using the same toolchain as regulators and tier-1 exchange compliance teams. The output is a forensic report anchored to specific transaction hashes and block heights, the evidence that exchanges, payment processors, and counsel actually act on. Recovery starts here.
Recover with counsel where civil action makes sense +
Where the trace lands in a jurisdiction with cooperative banks and courts, we coordinate with bar-licensed counsel in our 40+ jurisdiction network for civil action and asset-freezing orders (Mareva-style). Counsel bill you directly; the CryptoLeek investigation retainer is independent of counsel fees. The outcome is funds released back to your nominated wallet or bank account.