Wie Krypto-Wallets auf dem Mac geleert werden, und wie du das verhinderst.

1Wo Stealer nach deiner Wiederherstellungsphrase suchen

Mac-Stealer haben es direkt auf Wallets abgesehen. Atomic (AMOS) zielt auf rund 50 Wallet-Erweiterungen für Browser und auf Desktop-Wallets wie Electrum und Exodus, dazu auf den Schlüsselbund und Dateien auf deinem Schreibtisch und in Dokumente (BleepingComputer, 2023). MacSync, 2025 und 2026 über eingefügte Terminal-Befehle verbreitet, nimmt die Wiederherstellungsphrasen von Krypto-Wallets zusammen mit dem Schlüsselbund mit (The Hacker News, 16. März 2026).

Eine Wiederherstellungsphrase, die in Notizen getippt, als .txt-Datei gespeichert, als Screenshot aufbewahrt oder per E-Mail an dich selbst geschickt wurde, ist also nur eine Suche entfernt, für jeden Stealer, der auf dem Mac läuft, auch nur für eine Minute.

2Finde die Phrasen, die noch auf deinem Mac liegen

Diese Befehle listen Dateien auf deinem Mac auf, deren Text die Wörter enthält, die Leute neben eine Phrase schreiben. Sie suchen nur; sie öffnen und senden nichts:

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

Sieh auch deine Screenshots durch: Such in Fotos nach „Wiederherstellungsphrase“, „Seed“ oder „Wallet“; Fotos findet Text in Bildern. Lösch, was du findest, nachdem du die Phrase auf Papier übertragen hast, und leere dann den Papierkorb und das Album Zuletzt gelöscht.

3Getauschte Adressen in der Zwischenablage

Ein Clipper beobachtet deine Zwischenablage. Wenn du etwas kopierst, das wie eine Krypto-Adresse aussieht, tauscht er sie gegen eine Adresse des Angreifers derselben Art aus, sodass du nicht das einfügst, was du kopiert hast.

Die Gewohnheit, die das stoppt: Vergleiche nach dem Einfügen die ganze Adresse mit der, die du nutzen wolltest, nicht nur die ersten und letzten Zeichen. Bei einer Hardware-Wallet vergleichst du sie auf dem Bildschirm des Geräts, bevor du bestätigst.

4Address Poisoning: der Doppelgänger in deinem Verlauf

Angreifer schicken winzige Beträge von Adressen, die so anfangen und enden wie solche, die du benutzt hast, sodass ein Doppelgänger in deinem eigenen Verlauf steht. Kopierst du einmal aus dem Verlauf, geht das Geld an sie.

Es funktioniert: Zwei Menschen haben im Dezember 2025 und Januar 2026 auf diese Weise über 62 Millionen US-Dollar verloren, einer rund 50 Millionen und einer 12,2 Millionen, der zweite, nachdem er eine Adresse aus seinem Transaktionsverlauf kopiert hatte (Cointelegraph zu den Zahlen von Scam Sniffer, 9. Februar 2026).

Auch MLX ist es passiert: Direkt nachdem MLX sein Guthaben am 2. November 2026 in neue Cold Wallets verschoben hatte, schickten Doppelgänger-Adressen auf Solana und BNB Chain Kleinstbeträge dorthin.

• Kopiere nie eine Adresse aus deinem Transaktionsverlauf.
• Speichere Adressen, an die du oft sendest, als Kontakte und wähle sie dort aus.
• Ignoriere winzige eingehende Beträge von Adressen, die du nicht kennst. Schick sie nicht zurück.
• Schick zuerst einen kleinen Test an jede neue Adresse und prüf, ob er angekommen ist.

5Ein Wallet-Check in fünf Minuten

1. Durchsuche deinen Mac nach aufgeschriebenen Phrasen (die Befehle oben) und deine Screenshots.
2. Öffne die Erweiterungsseite deines Browsers. Behalte nur die Wallets, die du selbst installiert hast, über den Link des Wallet-Herstellers; entferne alles, was du nicht kennst.
3. Prüf, ob macOS aktuell ist: Systemeinstellungen → Allgemein → Softwareupdate.
4. Prüf auf EVM-Chains alte Token-Freigaben, die du nicht mehr brauchst, und widerrufe sie, zum Beispiel mit Revoke.cash.
5. Wenn du jemals einen Befehl von einer Webseite ins Terminal eingefügt hast, mach auch den Mac-Check.

6Wenn deine Wallet geleert wurde

1. Bring alles, was übrig ist, in eine neue Wallet, die auf einem sauberen Gerät erstellt wurde, mit einer neuen Wiederherstellungsphrase. Verwende die alte Phrase nie wieder.
2. Ändere von diesem sauberen Gerät aus die Passwörter für deine E-Mail und deine Börsenkonten und schalte die Zwei-Faktor-Authentifizierung ein.
3. Wenn das Guthaben an eine Einzahlungsadresse einer Börse ging, melde es dieser Börse sofort mit der Transaktions-ID.
4. Eine Blockchain-Überweisung lässt sich nicht rückgängig machen. Wer anbietet, deine Krypto gegen eine Gebühr zurückzuholen, betreibt einen zweiten Betrug.

7Fragen

Meine Wallet wurde geleert. Was tue ich?

Bring, was übrig ist, in eine neue Wallet, die auf einem sauberen Gerät erstellt wurde, mit einer neuen Wiederherstellungsphrase, und ändere von diesem Gerät aus deine Passwörter für E-Mail und Börsen. Wenn das Guthaben an eine Börse ging, melde ihr die Transaktions-ID. Finde dann heraus, wie die Phrase nach außen gelangt ist, bevor du den Mac wieder für Krypto nutzt.

Was ist Address Poisoning?

Angreifer schicken winzige Beträge von Adressen, die aussehen wie solche, die du benutzt hast, sodass ein Doppelgänger in deinem Verlauf auftaucht. Kopierst du aus dem Verlauf, sendest du an sie. Das passiert auf jeder Chain, auch auf Ethereum, BNB Chain, Tron und Solana. Wähle Adressen stattdessen aus gespeicherten Kontakten.

Wo bewahre ich meine Seed-Phrase auf?

Auf Papier oder Metall, offline, an zwei getrennten Orten. Nie in Notizen, einer Textdatei, einem Screenshot, einem Foto, einer E-Mail oder einem Cloud-Speicher. Für größere Beträge nimm eine Hardware-Wallet, damit die Schlüssel den Computer nie berühren.

Ist meine Wiederherstellungsphrase in einem Passwortmanager sicher?

Das ist weit besser als eine Notiz oder ein Screenshot, aber die Phrase liegt trotzdem auf dem Computer: Ein Stealer, der unter deinem Benutzer läuft, kommt manchmal daran. Für alles, dessen Verlust du dir nicht leisten kannst, bewahre die Phrase offline auf.

Lässt sich gestohlene Krypto zurückholen?

Meist nicht: Eine Überweisung auf einer Blockchain ist endgültig. Ging sie an eine Börse, kann diese sie einfrieren, wenn du sie schnell meldest. Ignoriere alle, die eine Wiederherstellung gegen Gebühr anbieten.