Wie die Masche funktioniert.
Bei der Domain xn--mytherwallet-cok.com handelt es sich um einen internationalisierten Domainnamen, der in den meisten Browsern dargestellt visuell identisch mit einem bekannten Ethereum-Self-Custody-Wallet-Dienst erscheint. Der Betreiber nutzt eine dokumentierte Schwäche in der Punycode-Darstellung aus: Ein Unicode-Zeichen im Label ist bei normaler Lesegröße nicht von seinem ASCII-Gegenstück zu unterscheiden. Die Seite präsentiert mit an Sicherheit grenzender Wahrscheinlichkeit eine vollständige Wallet-Oberfläche und gibt das Branding sowie das Layout des echten Dienstes mit ausreichender Genauigkeit wieder, um einer flüchtigen Prüfung standzuhalten.
Opfer gelangen typischerweise über Phishing-E-Mails, Malvertising oder Links in sozialen Medien auf die Seite, die die Unicode-Form der Domain darstellen und so ihre Punycode-Kodierung verschleiern. Sobald die Seite aufgerufen ist, lautet die maßgebliche Aufforderung, eine Seed Phrase, einen privaten Schlüssel oder eine Keystore-Datei einzugeben, dargestellt als routinemäßiger Wallet-Zugriff oder als Wiederherstellung. Diese Zugangsdaten werden serverseitig erfasst. Da private Ethereum-Schlüssel und BIP-39-Seed-Phrases bedingungslosen Zugriff auf On-Chain-Vermögenswerte gewähren, genügt eine einzige Eingabe, damit der Betreiber die Wallet vollständig leeren kann.
Der Betrug bleibt in der Regel unentdeckt, bis die Wallet des Opfers bereits geleert ist. Die Entdeckung, sofern sie überhaupt erfolgt, geschieht meist dann, wenn ein aufmerksamer Nutzer die Adressleiste des Browsers genau genug prüft, um das Punycode-Präfix oder ein subtil fehlerhaftes Zeichen im Label zu bemerken. Zu diesem Zeitpunkt sind die Gelder gewöhnlich verloren: Blockchain-Transaktionen sind unumkehrbar, die Wallet ist konstruktionsbedingt nicht verwahrt, und es gibt keine zwischengeschaltete Stelle, die den Transfer einfrieren oder rückgängig machen könnte.
Warnsignale, die wir dokumentiert haben.
- 01Punycode Homograph DomainThe xn-- prefix identifies an internationalised domain name encoding non-ASCII characters. This technique is used to construct addresses that appear visually identical to legitimate services in browser rendering. Its presence here, combined with close phonetic similarity to a well-known Ethereum wallet brand, strongly indicates deliberate impersonation rather than coincidental naming.
- 02Seed Phrase and Private Key SolicitationAny platform that requests a user's seed phrase, private key, or keystore file is operating outside normal security practice. Legitimate non-custodial wallet interfaces do not require these credentials to be transmitted over a network connection. Soliciting them is the defining mechanic of credential-harvesting operations targeting self-custody wallet holders.
- 03CryptoScamDB Blacklist ConfirmationThe domain appears in the CryptoScamDB community blacklist, an independent open-source repository of confirmed malicious addresses curated by the blockchain security community. Inclusion is based on submitted evidence of fraudulent activity and carries a confirmed-scam classification.
- 04No Verifiable Operator IdentityOperations of this type typically use privacy-shielded domain registration, offshore or anonymous hosting, and short domain lifespans. The absence of verifiable operator identity, physical address, or regulatory registration means victims have no formal recourse channel and investigators face significant attribution barriers.
- 05Irreversibility of Losses as a Design FeatureThe choice of a non-custodial Ethereum wallet as the impersonation target is deliberate. Once credentials are harvested and funds transferred on-chain, the transaction cannot be reversed by any third party. This structural irreversibility is not incidental; it is why credential-harvesting operations consistently target self-custody wallet users rather than exchange account holders.
Was Sie jetzt tun können.
Open a free 24-hour case assessment with CryptoLeek +
Tell us what happened. A senior analyst reads your file within 24 hours and replies with an honest yes/no/conditional on recovery. The assessment is free. If we cannot recover the funds we say so plainly, including which (free) regulator channel you should use instead. If we accept the case, we open a numbered case file and issue a written quote for a flat investigation retainer before any work begins, scoped to case complexity, the jurisdictions involved, and the on-chain trail.
Trace your funds on-chain with our analysts +
We trace stolen crypto across BTC, ETH, EVM L2s, Solana, Tron, and major stablecoins using the same toolchain as regulators and tier-1 exchange compliance teams. The output is a forensic report anchored to specific transaction hashes and block heights, the evidence that exchanges, payment processors, and counsel actually act on. Recovery starts here.
Recover with counsel where civil action makes sense +
Where the trace lands in a jurisdiction with cooperative banks and courts, we coordinate with bar-licensed counsel in our 40+ jurisdiction network for civil action and asset-freezing orders (Mareva-style). Counsel bill you directly; the CryptoLeek investigation retainer is independent of counsel fees. The outcome is funds released back to your nominated wallet or bank account.