Phantom Wallet leergeräumt oder gehackt: Was jetzt zu tun ist
Wenn Guthaben ohne Ihre Zustimmung Ihre Phantom Wallet verlassen hat, gehen Sie davon aus, dass Ihre Wiederherstellungsphrase oder eine signierte Freigabe kompromittiert ist. Erstellen Sie auf einem sauberen Gerät eine komplett neue Wallet mit neuer Wiederherstellungsphrase und verschieben Sie alles Verbliebene dorthin, widerrufen Sie dann Freigaben, zeigen Sie den Diebstahl an und ignorieren Sie alle, die gegen Gebühr anbieten, Ihr Guthaben zurückzuholen.
Kurzanleitung
- Die kompromittierte Wallet nicht mehr nutzen. Signieren Sie mit der leergeräumten Wallet nichts mehr und importieren Sie ihre Wiederherstellungsphrase nirgendwo neu. Wenn Sie eine App oder Erweiterung über einen Link installiert haben, entfernen Sie sie.
- Eine neue Wallet auf einem sauberen Gerät erstellen. Installieren Sie Phantom auf einem vertrauenswürdigen Gerät über den offiziellen Store-Eintrag und erstellen Sie eine neue Wallet mit neuer Wiederherstellungsphrase. Stellen Sie nicht die alte Phrase wieder her. Schreiben Sie die neue Phrase auf Papier.
- Das Verbliebene verschieben. Senden Sie verbleibende Token und NFTs aus der alten Wallet an die Adressen der neuen Wallet, beginnend mit dem Wertvollsten. Behalten Sie etwas SOL oder ETH für Gebühren und prüfen Sie jede Adresse vollständig.
- Freigaben und Verbindungen widerrufen. Entfernen Sie verbundene Seiten in Phantoms Einstellungen. Prüfen und widerrufen Sie in EVM-Netzwerken die Token-Freigaben der alten Adresse mit dem Approval-Checker eines Block-Explorers.
- Beweise sichern. Speichern Sie die Adresse des Angreifers, Transaktions-IDs aus einem Block-Explorer, Daten sowie Screenshots der beteiligten Seite, App oder Nachrichten.
- Anzeige erstatten. Melden Sie den Vorfall Ihrer örtlichen Polizei oder Ihrer nationalen Stelle für Cyberkriminalität sowie Phantom über den In-App-Chat. Wenn gestohlenes Guthaben an eine Börse gelangt ist, kontaktieren Sie deren Support mit den Transaktions-IDs.
- Recovery-Angebote ignorieren. Wer Sie kontaktiert und anbietet, das Guthaben gegen Gebühr zurückzuholen, ist ein Betrüger. Private Wiederherstellungsfirmen können keine Krypto beschlagnahmen.
Die eigene Wallet leer vorzufinden ist beängstigend. Handeln Sie schnell, aber ruhig: Der Angreifer beobachtet die Wallet womöglich noch und kann alles abgreifen, was neu eingeht. Dieser Ratgeber zeigt, was Sie in der nächsten Stunde tun sollten, wie solche Abflüsse meist zustande kommen und was nicht funktioniert. Wir sind ein unabhängiger Ratgeber; wir sind nicht Phantom und können Ihnen nicht helfen, Guthaben zurückzuholen.
Zuerst: Klären Sie, welche Art von Kompromittierung vorliegt
| Was passiert ist | Was der Angreifer hat | Ist die alte Wallet noch nutzbar? |
|---|---|---|
| Sie haben Ihre Wiederherstellungsphrase auf einer Seite, in einer App, einem Formular oder einem „Support“-Chat eingegeben | Volle Kontrolle über jedes Konto aus dieser Phrase, in jedem Netzwerk | Nein. Aufgeben. |
| Sie haben eine gefälschte Phantom-Erweiterung oder -App installiert und darin eine Wallet erstellt oder importiert | Ihre Wiederherstellungsphrase | Nein. Aufgeben. |
| Sie haben auf einer Seite eine Transaktion signiert, und sie hat Ihre Token genommen | Alles, was diese Transaktion gesendet hat; bei EVM möglicherweise fortbestehende Freigaben | Eventuell, nach dem Widerrufen. Eine neue Wallet ist trotzdem sicherer. |
| Sie haben Guthaben an eine Adresse gesendet, die Sie aus Ihrem Verlauf oder einem Chat kopiert haben | Nur diese Überweisung (Address Poisoning) | Ja. Ihre Schlüssel sind nicht kompromittiert. |
| Guthaben ist verschwunden und Sie wissen nicht warum | Gehen Sie von der Wiederherstellungsphrase aus | Nein. Aufgeben. |
Wenn Sie unsicher sind, behandeln Sie es wie eine geleakte Wiederherstellungsphrase. Ein Leak der Phrase betrifft jedes daraus abgeleitete Konto: Solana-, EVM- und Bitcoin-Adressen sowie alle zusätzlichen Konten, die Sie in Phantom erstellt haben.
Warum eine neue Wallet auf einem sauberen Gerät wichtig ist
Manche Abflüsse gehen auf Schadsoftware zurück, die mitliest, was Sie tippen oder was auf Ihrem Bildschirm steht. Wenn Sie die neue Wallet auf einem infizierten Computer erstellen, kann der Angreifer auch die neue Phrase abgreifen. Nutzen Sie ein Smartphone oder einen Computer, dem Sie vertrauen und auf dem die verdächtige App, Datei oder Erweiterung nicht gelaufen ist. Wenn Sie eine Hardware-Wallet haben, ist es noch besser, die neue Wallet darauf zu erstellen (zum Beispiel einen mit Phantom gekoppelten Ledger); siehe Phantom mit Ledger.
Installieren Sie Phantom nur über den offiziellen Store-Eintrag: Tippen Sie phantom.com selbst ein oder prüfen Sie den Eintrag mit unserem Download-Checker. Folgen Sie dann Phantom einrichten und erstellen Sie eine neue Wallet. Stellen Sie in der neuen Installation nicht die alte Phrase wieder her.
Das Verbliebene verschieben
- Zuerst die Gebühren. Sie brauchen SOL, um Solana-Token zu bewegen, und ETH, BNB oder einen anderen nativen Coin, um Token in EVM-Netzwerken zu bewegen. Wenn der Angreifer all Ihre SOL genommen hat, wird ein kleiner Betrag, den Sie an die alte Wallet senden, möglicherweise sofort von einem automatisierten Skript abgegriffen. Verschieben Sie die wertvollsten Assets zuerst, so schnell Sie können.
- Gestakte SOL. Native Stake-Konten lassen sich nicht sofort verschieben. Unstaking dauert etwa zwei bis drei Tage. Angreifer mit Ihrer Phrase können dasselbe tun, es wird also ein Wettlauf; beginnen Sie sofort mit dem Unstaking.
- Jede Adresse prüfen. Kopieren Sie Adressen direkt aus der neuen Wallet, nicht aus Ihrem Verlauf, der vergiftete Doppelgänger enthalten kann. Unser Adress-Checker vergleicht sie.
- Spam-Token. Lassen Sie sie liegen. Eine Interaktion damit kann zum nächsten Drainer führen.
Zugriffe widerrufen
Wenn Sie eine Seite in Phantoms Einstellungen trennen, kann sie Ihre Adresse nicht mehr sehen und keine Signaturen mehr anfordern, aber bereits Signiertes wird dadurch nicht rückgängig gemacht. In EVM-Netzwerken wie Ethereum, Base, Polygon und BNB Chain erlaubt eine signierte Token-Freigabe einem Contract, diesen Token so lange zu bewegen, bis Sie die Freigabe widerrufen. Block-Explorer wie Etherscan bieten dafür einen Token-Approval-Checker; jeder Widerruf kostet eine kleine Netzwerkgebühr. Wenn die Wiederherstellungsphrase geleakt ist, hilft Widerrufen nicht: Der Angreifer kann einfach neue Transaktionen signieren – deshalb verschieben Sie das Guthaben.
Wie Abflüsse meist zustande kommen
- Geleakte Wiederherstellungsphrase: gefälschte Phantom-Downloads, falsche Support-Chats, gefälschte „Update“- oder „Sync“-Pop-ups, Phrasen in Screenshots oder Cloud-Notizen.
- Schädliche Signaturen: gefälschte Airdrops, Mints und Token-Claims, die Sie eine Transaktion freigeben lassen, die Ihre Assets verschiebt. Siehe Phantoms Warnungen vor schädlichen Dapps.
- Address Poisoning: Guthaben an eine ähnlich aussehende Adresse gesendet, die aus Ihrem Verlauf oder einer Chatnachricht kopiert wurde. Technisch kein Hack, aber das Ergebnis ist dasselbe.
- Schadsoftware: infizierte Downloads, gecrackte Software oder gefälschte „Trading-Bots“, die Ihre Schlüssel oder Ihre Zwischenablage auslesen.
Mehr Details und Beispiele finden Sie unter Betrug mit gefälschtem Phantom. Wenn Sie nicht sicher sind, ob etwas, das Sie signiert haben, schädlich war, hilft unser Signatur-Erklärer bei EVM-Freigaben und Anmeldenachrichten.
Was nicht funktioniert
- Recovery-Dienste. Das FBI warnte im August 2023, dass private Wiederherstellungsfirmen keine Beschlagnahmeanordnungen für Krypto erwirken können und dass gefälschte Recovery-Firmen Vorabgebühren kassieren und verschwinden (FBI, 2023). Wer Sie nach einem öffentlichen Beitrag über Ihren Verlust kontaktiert, ist ein Betrüger, egal wie er sich nennt.
- Phantom macht die Transaktion „rückgängig“. Phantom ist Self-Custody und kann Blockchain-Transaktionen weder rückgängig machen noch einfrieren oder erstatten. Solana oder ein anderes Netzwerk kann das ebenso wenig.
- Telefon-Support. Phantom hat keine Hotline und kontaktiert Nutzer nie zuerst. Nummern, die angeblich zum Phantom-Support gehören, werden von Betrügern betrieben; siehe die Betrugsmasche mit dem Phantom-Telefon-Support.
- Den Angreifer bezahlen. Nachrichten, die anbieten, Guthaben gegen Zahlung zurückzugeben, sind ein weiterer Betrug.
Den Diebstahl anzeigen
Eine Rückholung ist selten, aber Anzeigen helfen Ermittlern, Fälle zu verknüpfen, und werden manchmal für steuerliche Zwecke benötigt. Erstatten Sie Anzeige bei Ihrer örtlichen Polizei und Ihrer nationalen Stelle für Cyberkriminalität. In den USA ist das das Internet Crime Complaint Center des FBI (ic3.gov). In England, Wales und Nordirland ist es Report Fraud (reportfraud.police.uk), das im Dezember 2025 Action Fraud ersetzt hat; in Schottland wenden Sie sich unter 101 an Police Scotland. Geben Sie die Adresse des Angreifers und die Transaktions-IDs an. Wenn das Guthaben an eine zentralisierte Börse geflossen ist, kontaktieren Sie diese Börse mit denselben Angaben; Börsen können Konten über eigene Verfahren oder auf rechtliche Anfragen hin einfrieren (FBI, 2023). Informieren Sie außerdem Phantom über den Chat in der echten App, damit die betreffende Seite oder App auf die Sperrliste kommt. Phantoms Support arbeitet auf Englisch und meldet sich per E-Mail.
Danach
Bewahren Sie Ihre neue Wiederherstellungsphrase auf Papier oder Metall offline auf. Nutzen Sie für neue Apps eine separate Wallet mit kleinen Beträgen und halten Sie Ersparnisse in einer Wallet, die Sie nie mit unbekannten Seiten verbinden. Lesen Sie wie Sie Ihre Phantom-Wiederherstellungsphrase schützen und Ist die Phantom Wallet sicher?
Häufig gestellte Fragen
Kann Phantom gestohlene Krypto erstatten?
Nein. Phantom ist eine Self-Custody-Wallet und kann Blockchain-Transaktionen weder rückgängig machen noch einfrieren oder erstatten. Wer sich als Phantom ausgibt und eine Erstattung anbietet, ist ein Betrüger.
Kann ich meine alte Wiederherstellungsphrase nach einem Abfluss weiter nutzen?
Nein. Wenn auch nur die Möglichkeit besteht, dass die Phrase geleakt ist, ist jedes daraus abgeleitete Konto kompromittiert. Erstellen Sie auf einem sauberen Gerät eine neue Wallet mit neuer Phrase.
Der Angreifer greift die SOL ab, die ich für Gebühren sende. Was kann ich tun?
Automatisierte Skripte ziehen eingehende SOL aus kompromittierten Wallets oft sofort ab. Senden Sie jeweils nur so viel, wie für eine Transaktion nötig ist, und verschieben Sie zuerst das wertvollste Asset – oder akzeptieren Sie den Verlust des Rests.
Bekomme ich mein Guthaben durch eine Anzeige bei der Polizei zurück?
Selten, aber es lohnt sich trotzdem. Anzeigen helfen Ermittlern, Fälle zu verknüpfen, und eine Börse handelt eher auf Basis einer Anzeige mit Transaktions-IDs.
Jemand sagt, er könne meine Krypto verfolgen und zurückholen. Soll ich zahlen?
Nein. Das FBI warnt, dass private Wiederherstellungsfirmen keine Krypto beschlagnahmen können und dass viele davon Betrugsmaschen sind, die auf Menschen zielen, die bereits Geld verloren haben.