Whale Hunter's Payday

Am 20. August 2024 verlor ein anonymer Krypto-Wal 55,47 Millionen Dollar in DAI — die Gesamtheit einer einzelnen Maker-Vault-Position — an einen Phishing-Angriff, der die Inferno-Drainer-Infrastruktur ausnutzte. Das Opfer signierte eine bösartige Transaktion auf dem, was es für das DeFi-Saver-Management-Interface hielt; die Signatur übertrug das Eigentum seines Maker-Vaults an den Angreifer, der sofort die 55.473.618 DAI abhob, die gegen die Position gehalten wurden.

Was geschah

Die Wallet des Opfers hielt eine substantielle Position in MakerDAO — kollateralisierte Schulden, die 55,47M DAI an Liquidität generiert hatten. Die Position wurde mit DeFi Saver verwaltet, einer beliebten UI zur Überwachung und Anpassung von Maker-Vaults.

Der Angreifer, der über die Inferno-Drainer-Scam-as-a-Service-Plattform operierte:

1. Erstellte eine Phishing-Kopie der DeFi-Saver-Login-Seite. Inferno Drainer ist darauf spezialisiert — sie bauen pixel-perfekte Imitationen legitimer DeFi-Front-Ends und injizieren bösartige Transaktions-Signing-Flows.
2. Lockte das Opfer zur Phishing-Seite durch eine Kombination aus Suchmaschinen-Poisoning, Social-Media-Impersonation oder einem kompromittierten Bookmark.
3. Das Opfer verband seine Wallet mit der Seite in Erwartung, seinen Vault zu verwalten.
4. Die Phishing-Seite präsentierte eine Transaktion zur Signatur, die wie eine Routine-Vault-Interaktion aussah. Die Transaktion war tatsächlich ein Eigentums-Transfer für den Maker-Vault an eine vom Angreifer kontrollierte Adresse.
5. Das Opfer signierte die Transaktion in dem Glauben, sie sei harmlos.
6. Der Angreifer — nun der legitime Vault-Besitzer per On-Chain-Record — zog die gesamte 55,47M-DAI-Position ab.

ZachXBT identifizierte die abnormale Transaktion innerhalb von Stunden und oberflächte den Vorfall öffentlich. Als die Nachricht brach, waren 27,5M DAI bereits in ETH (~10.625 ETH) getauscht und über Geldwäsche-Dienste geleitet worden.

Nachwirkungen

• Das Opfer verklagte Coinbase, weil es angeblich abgelehnt hatte, Teile der gestohlenen Mittel einzufrieren, die kurzzeitig durch Coinbase-Adressen passierten — eine umstrittene Klage, die noch im Gange ist Stand 2025.
• Der Großteil des gestohlenen DAI wurde konvertiert und durch Tornado Cash und ähnliche Dienste gewaschen.
• Die Inferno-Drainer-Infrastruktur wurde Ende 2023 teilweise abgeschaltet und 2024 unter verschiedenen Nachfolge-Operationen reaktiviert.

Warum es zählt

Der Whale-Hunter's-Payday-Vorfall ist der Lehrbuch-Fall dafür, warum Phishing-as-a-Service zum dominanten Angriffsvektor gegen einzelne Krypto-Inhaber geworden ist. Inferno Drainers Geschäftsmodell:

• Baut die Phishing-Infrastruktur — pixel-perfekte Imitationen von DeFi-UIs, Transaktions-Konstruktionslogik, Multi-Chain-Auszahlungswege.
• Vermietet sie an „Affiliates", die Traffic-Akquise (SEO, Social, Bookmark-Hijacking) handhaben.
• Nimmt einen Prozentsatz jedes erfolgreichen Drains.

Das Ergebnis ist, dass das Angreifen einzelner Wale zu einem industrialisierten Prozess geworden ist mit niedrigen Marginalkosten pro Ziel. Ein Wal, der über 50 Mio. $ in einer transparenten On-Chain-Position hält, ist im Wesentlichen eine Plakatwand für diese Operationen — sichtbar für jeden, der öffentliche On-Chain-Daten scrapt, mit Angriffskosten, die dramatisch unter dem erwarteten Ertrag liegen.

Die defensiven Antworten sind gut dokumentiert und ungleichmäßig übernommen:

• Hardware-Wallet-Signing mit On-Screen-Calldata-Verifikation — verlasse dich nicht auf die Darstellung der dApp-UI dessen, was du signierst.
• Bookmark-only-Zugang zu DeFi-Front-Ends — klicke dich niemals von einem Suchergebnis zu einer Wallet-Verbindungsaufforderung.
• Per-Wallet-Operationstrennung — halte niemals signifikantes Kapital auf der Wallet, die für tägliche Interaktionen verwendet wird.
• Transaktions-Simulations-Tools (Pocket Universe, Wallet Guard, Blockaid), die die tatsächlichen Auswirkungen des Signierens vor dem Commit anzeigen.

Die Kosten der Unterschätzung dieser Risiken sind genau 55,47 Mio. $, im einzelnen hier dokumentierten Fall, mit ähnlichen Vorfällen in kleinerem Maßstab, die täglich im Krypto-Ökosystem passieren.