Scam-Pattern der Woche: "Recall-Phishing" – wenn der Sicherheitshinweis selbst der Betrug ist

Am 17. Oktober 2026, gegen 21:36 UTC, beginnen bei NGRAVE-Nutzern gefälschte Push-Benachrichtigungen einzutreffen – verschickt über die echte, legitime LIQUID-App des Hardware-Wallet-Herstellers. "Dein Portfolio wurde mit einem neuen Gerät synchronisiert", heißt es. Wer antippt, landet auf einem täuschend echten Klon der NGRAVE-Website mit Countdown-Timer und einem "Diese Synchronisierung verweigern"-Button. Wer verweigert, wird aufgefordert, seine Wallet-Recovery-Daten erneut einzugeben, um das Konto zu "sichern". Innerhalb weniger Stunden sind 2,56 Millionen US-Dollar aus 70 Wallets über vier Netzwerke weg, ein Großteil davon in Bitcoin.

Keine Woche später, am 20. Oktober, entdeckt der Hardware-Wallet-Hersteller Keystone unautorisierten Zugriff auf seine Website – ein Angreifer hatte eine Schwachstelle in einem Drittanbieter-Tool zur Datenüberwachung ausgenutzt, um sich höhere Rechte zu verschaffen. Erbeutet wurden Versanddaten tausender Kunden (Namen, Adressen, bestellte Produkte) sowie ein kryptografischer Schlüssel, mit dem sich echte Keystone-Geräte verifizieren lassen. Nur wenige Tage später, am 26. Oktober, meldet auch Foundation einen Vorfall: Über gekaperte Cloudflare-API-Keys verschickten Angreifer E-Mails von Foundations eigener, echter Domain – mit der falschen Behauptung, ein Zulieferer habe Display-Module manipuliert und ein dringender Geräte-Rückruf sei nötig, da Nutzergelder in Gefahr seien.

Das Muster: nicht die Hardware wird angegriffen, sondern der Vertrauenskanal drumherum

Was diese drei Fälle verbindet, ist nicht zwingend ein gemeinsamer Angreifer – das lässt sich aus den verfügbaren Berichten nicht belegen –, sondern dieselbe Taktik: Statt die Firmware oder Kryptografie des Wallets selbst zu brechen, kompromittieren die Angreifer einen Drittanbieter im Umfeld der Marke – bei NGRAVE einen Push-Benachrichtigungsdienst, bei Keystone ein Monitoring-Tool, bei Foundation die Cloudflare-Infrastruktur hinter dem Support-Postfach. Über diesen Umweg erhalten sie Zugriff auf einen Kanal, dem Nutzer von Natur aus vertrauen: die offizielle App, die echte Domain, das echte Support-Postfach. Von dort aus verschicken sie keine plumpe Betrugsmail, sondern eine Nachricht, die wie eine legitime Sicherheitswarnung aussieht – weil sie technisch gesehen tatsächlich vom echten Absender kommt.

Besonders perfide: Bei NGRAVE und Foundation ist der Köder keine Gier-Masche (Airdrop, Gewinnspiel), sondern gezielt erzeugte Angst – "jemand hat dein Konto synchronisiert", "deine Gelder werden gerade gestohlen". Das hebelt die übliche Skepsis genau deshalb aus, weil Opfer glauben, sich selbst zu schützen, statt eine Belohnung abzugreifen. Keystone wiederum warnte seine Kunden proaktiv davor, dass nach dem Datenleck gefälschte Rückerstattungs- oder Ersatzgeräte-Nachrichten zu erwarten seien – ein Hinweis darauf, dass erbeutete Bestelldaten regelmäßig als Steilvorlage für die nächste Phishing-Welle dienen.

Diese drei Fälle reihen sich zudem in ein bereits bekanntes Muster ein: Schon im September 2026 hatten Trezor und BitBox vor gefälschten Sicherheitswarnungen gewarnt, nachdem bei Trezor ein Drittanbieter-Sicherheitsvorfall zu Phishing-Mails von der echten Trezor-Domain geführt hatte. Die Oktober-Welle bei NGRAVE, Keystone und Foundation ist damit keine neue Erfindung, sondern eine Eskalation einer bereits laufenden Taktik gegen die gesamte Hardware-Wallet-Branche.

Was das für dich als Nutzer bedeutet

Wir ordnen die hier beschriebenen Vorfälle auch im jeweiligen Dienst-Eintrag der betroffenen Hardware-Wallet-Hersteller ein, inklusive Quellenangaben. Das ist kein Grund, NGRAVE, Keystone oder Foundation grundsätzlich zu meiden – alle drei haben die Vorfälle offengelegt und reagiert (NGRAVE etwa durch vorübergehende Abschaltung der Push-Benachrichtigungen). Es zeigt aber, warum wir bei dontkyc.me nicht nur erfassen, ob ein Dienst KYC verlangt, sondern auch, welche Sicherheitsvorfälle einem Anbieter bereits passiert sind – gerade bei Hardware, der man buchstäblich sein Vermögen anvertraut, lohnt sich dieser Blick zusätzlich zur reinen Datenschutz-Frage.

Quellen: AMBCrypto, NGRAVE-Phishing kostet 2,56 Mio. $, crypto.news, Keystone-Datenleck, Gizmodo, Keystone & Foundation gehackt, Cointelegraph, Coldcard-X-Account-Vorfall, The Block, Trezor-Phishing-Vorfall (September 2026).