Wie die Masche funktioniert.
Diese Domain wird mithilfe der Punycode-Codierung erstellt, erkennbar am Präfix xn--, einer Technik, die standardmäßige ASCII-Buchstaben durch optisch nicht unterscheidbare Unicode-Entsprechungen ersetzt. Das Ergebnis ist eine URL, die in den meisten Browser-Adressleisten als nahezu perfekte Nachbildung einer bekannten Ethereum-Web-Wallet-Oberfläche angezeigt wird. Die Zielgruppe sind Kryptowährungsinhaber, die Self-Custody-Wallet-Tools direkt aufrufen, insbesondere jene, die über Phishing-Links, irreführende Suchanzeigen oder geteilte URLs gelangen, bei denen die Homoglyphen-Ersetzung mit bloßem Auge unsichtbar ist.
Die operativen Abläufe folgen einem gut dokumentierten IDN-Homograph-Muster. Den Besuchern wird eine standardmäßige Wallet-Zugangsoberfläche präsentiert, die unter dem Vorwand, eine Wallet wiederherzustellen oder zu verbinden, zur Eingabe einer Seed-Phrase, Recovery-Phrase oder eines rohen Private Keys auffordert. Mit der Übermittlung dieser Informationen werden die Zugangsdaten direkt an den Betreiber übertragen, der dann uneingeschränkten Zugriff auf jede aus diesen Daten abgeleitete Wallet-Adresse hat. Die Plattform erfüllt keine legitime Funktion; das Abgreifen von Zugangsdaten ist ihr einziger Zweck.
Der Betrug zeigt sich erst, nachdem die Zugangsdaten übermittelt wurden. Das erste erkennbare Signal sind in der Regel nicht autorisierte Geldtransfers oder ein plötzlicher Verlust des Wallet-Zugangs. Bis die Identitätsfälschung erkannt wird, sind die Vermögenswerte meist bereits über mehrschichtige Transaktionen verschoben worden, die eine Rückverfolgung erschweren. Es gibt keinen Kundenservice-Kanal, keinen Streitbeilegungsmechanismus und keine institutionelle Gegenpartei, die man kontaktieren könnte. Die Anonymität des Betreibers ist nicht zufällig; sie ist für diese Art von Operation strukturell notwendig.
Warnsignale, die wir dokumentiert haben.
- 01Punycode-Encoded Domain ConstructionThe xn-- prefix identifies this as an internationalised domain name using non-ASCII characters. In a financial services context, this construction has no legitimate use case: it exists specifically to produce a URL that looks identical to a trusted brand while resolving to unrelated infrastructure. Deliberate technical effort is required to register and deploy such a domain.
- 02Credential-Harvesting Interface PatternWallet impersonation operations of this type are built around a single objective: obtaining seed phrases or private keys. Any interface that solicits a seed phrase or raw private key is, by definition, designed to extract it. Legitimate self-custody wallet software does not transmit these credentials to a remote server under any circumstances.
- 03CryptoScamDB Blacklist InclusionThe domain appears in the CryptoScamDB blacklist, a community-maintained registry of confirmed phishing and fraud infrastructure in the cryptocurrency ecosystem. Inclusion reflects evidence review by contributors familiar with wallet impersonation patterns, not automated heuristic flagging alone.
- 04Absence of Verifiable Operator IdentityOperations of this type carry no verifiable legal identity, no registered business address, no named principals, and no regulatory authorisation in any jurisdiction. This absence is not an administrative oversight; anonymity is operationally necessary for a platform whose function is credential theft.
- 05Single-Purpose Infrastructure SignalA homograph domain targeting a wallet brand serves no plausible legitimate purpose. The Punycode construction, the wallet interface design, and the target user base combine into an unambiguous fraud pattern. There is no benign interpretation for this class of domain registration.
Was Sie jetzt tun können.
Open a free 24-hour case assessment with CryptoLeek +
Tell us what happened. A senior analyst reads your file within 24 hours and replies with an honest yes/no/conditional on recovery. The assessment is free. If we cannot recover the funds we say so plainly, including which (free) regulator channel you should use instead. If we accept the case, we open a numbered case file and issue a written quote for a flat investigation retainer before any work begins, scoped to case complexity, the jurisdictions involved, and the on-chain trail.
Trace your funds on-chain with our analysts +
We trace stolen crypto across BTC, ETH, EVM L2s, Solana, Tron, and major stablecoins using the same toolchain as regulators and tier-1 exchange compliance teams. The output is a forensic report anchored to specific transaction hashes and block heights, the evidence that exchanges, payment processors, and counsel actually act on. Recovery starts here.
Recover with counsel where civil action makes sense +
Where the trace lands in a jurisdiction with cooperative banks and courts, we coordinate with bar-licensed counsel in our 40+ jurisdiction network for civil action and asset-freezing orders (Mareva-style). Counsel bill you directly; the CryptoLeek investigation retainer is independent of counsel fees. The outcome is funds released back to your nominated wallet or bank account.