Eine Ethereum-Wallet, die im Genesis-Block des Netzwerks von 2015 erstellt wurde, sendete zum ersten Mal seit 11 Jahren Mittel, und innerhalb von nicht ganz drei Minuten begannen Betrüger, die Adresse mit Dust zu überschütten – offenbar ein Address-Poisoning-Versuch.

Der Eigentümer der Wallet verlagerte letztlich 2.154,94 ETH im damaligen Wert von rund 4,6 Millionen US-Dollar an das korrekte Ziel und vermied dabei die nachgeahmten Adressen, die in den Transaktionsverlauf eingeschleust worden waren.

Zwei nachgeahmte Adressen mit dem Ende 1A44 imitierten den Empfänger

Die Adresse erhielt erstmals im Juli 2015 Ether im Genesis-Block von Ethereum und sammelte im März 2016 weitere 755 ETH. Sie blieb bis zum späten Montag stumm, als sie um 22:04 UTC eine Testzahlung von 0,05 ETH im Wert von etwa 106 US-Dollar abfeuerte.

Whale Alert kennzeichnete die Transaktion als eine inaktive Pre-Mine-Adresse mit 2.155 ETH, die nach 11,3 Jahren wieder aktiv geworden war.

Die Testzahlung ging an eine neue Adresse, die mit 0x1321beb8 beginnt und auf 1A44 endet. Innerhalb von drei Minuten begann die alte Wallet, kleine ETH-Beträge von zwei Adressen zu erhalten, die so gestaltet waren, dass sie diesem Empfänger ähneln – eine beginnt mit 0x13211f, die andere mit 0x1321FB, beide enden auf 1A44. Die Reaktion – weniger als drei Minuten zwischen der ersten Bewegung und dem ersten Dust – zeigte, wie schnell diese Kampagnen reagieren, sobald eine inaktive Adresse mit hohem Wert in der On-Chain-Aktivität auftaucht.

Beide nachgeahmten Adressen wurden von Konten finanziert, die auf Etherscan als „Fake_Phishing“ gekennzeichnet sind, und die aktivere der beiden sendete 43 Dust-Zahlungen an die Genesis-Wallet.

Eigentümer sendete die vollen 2.154,94 ETH 38 Minuten später

Um 22:20 UTC sendete die neue Wallet 0,01 ETH, von denen fast der gesamte Betrag drei Minuten später zurückkehrte. Dann, 38 Minuten nach dem ersten Test, sendete die alte Wallet um 22:42 UTC die vollen 2.154,94 ETH an die korrekte Adresse 0x1321beb8. Der Genesis-Wallet verblieben etwa 0,0004 ETH, während der Empfänger rund 2.155 ETH hielt.

Die nachgeahmte Adresse 0x1321FB sendete erneut um 23:03 UTC, und eine dritte nachgeahmte Adresse mit dem Ende 1A44 versandte um 03:36 und 03:49 UTC am Dienstag Nullwert-Überweisungen. Das Dusting stoppte nicht, sobald der Saldo weg war, und hinterließ gefälschte Einträge im Verlauf der Wallet, nachdem die Mittel bereits weitergewandert waren.

Wie Address Poisoning funktioniert

Address Poisoning nutzt die Art aus, wie Wallets lange Adressen kürzen. Statt alle 42 Zeichen anzuzeigen, zeigt eine Wallet typischerweise eine abgekürzte Form wie 0x6D90…2E48. Angreifer durchlaufen Millionen von Vanity-Adressen, bis eine mit den ersten und letzten Zeichen eines echten Kontakts eines Ziels übereinstimmt. Anschließend senden sie Dust oder eine Nullwert-Transaktion, die die gefälschte Adresse in den letzten Verlauf des Opfers einschleust. Kopiert der Nutzer sie für die nächste Zahlung, gehen die Mittel an den Angreifer. Die nachgeahmten Adressen hier replizierten jedes Zeichen, das eine gekürzte Anzeige zeigt – 0x1321 am Anfang, 1A44 am Ende – weshalb die Überprüfung der vollständigen 42-Zeichen-Adresse oder das Kopieren aus einem gespeicherten Kontakt statt aus der letzten Aktivität die Prüfung ist, die die Übereinstimmung vereitelt.

Ethereum-Überweisungen können nicht rückgängig gemacht werden. Im Dezember 2025 verlor ein Trader rund 50 Millionen USDT, nachdem ein Skript den Transaktionsverlauf unmittelbar nach einer Testzahlung von 50 US-Dollar vergiftet hatte. Im Januar 2026 sendete ein Opfer 4.556 ETH im Wert von 12,25 Millionen US-Dollar an eine Adresse unter der Kontrolle eines Angreifers, und ein weiteres Opfer verlor 600.000 US-Dollar im Februar.

Laut Cryptopolitan gibt es auf Ethereum täglich mehr als eine Million Poisoning-Versuche. Im Januar warnte Citi, dass Spam die rekordverdächtigen Transaktionszahlen von Ethereum verstärke, wobei die meisten Überweisungen weniger als 1 US-Dollar wert seien.