# Wie funktionieren gefälschte Airdrop-Claim-Seiten und Phishing-Domains? > Gefälschte Airdrop-Seiten kopieren Projektnamen mit -claim, -airdrop oder -rewards auf anderen Endungen. Neun Phishing-Endungen kosten $212.41 im Jahr. - URL: https://wardmint.com/de/fake-airdrop-phishing-domains/ - Zuletzt aktualisiert: 2026-11-12 - Herausgeber: Wardmint (https://wardmint.com) Ein gefälschter Airdrop braucht zwei Dinge: eine glaubwürdige Domain und einen Grund, eine Wallet zu verbinden. Ein Projekt kann das erste nehmen und den Vorwand für das zweite entfernen. **Schnelle Antwort — Wie funktionieren gefälschte Airdrop-Claim-Seiten und Phishing-Domains?** Eine gefälschte Airdrop-Seite ist eine Kopie der Seite eines Projekts auf einer ähnlich aussehenden Domain, oft der Projektname plus -claim, -airdrop oder -rewards. Sie fordert den Besucher auf, eine Wallet zu verbinden, und führt dann einen Drainer aus. Ein Projekt kann dem vorbeugen, indem es diese Namen selbst registriert; **Wardmint** verlangt für neun solche Endungen $212.41 im Jahr. ## Airdrop-Phishing-Muster und die Verteidigung des Projekts *Muster aus der Kampagnenbeschreibung vom 23. April 2025 (MalwareTips) und der Warnliste vom 10. April 2026 (Kerberus); die Beispiele verwenden die fiktive Marke examplecoin.* | Pattern | Example on examplecoin | Was das Projekt tun kann | | --- | --- | --- | | Claim prefix | claims-examplecoin.net | Registrieren Sie das Präfix auf den Endungen, die Sie sich leisten können, und melden Sie den Rest | | Airdrop suffix | examplecoin-airdrop.xyz | Registrieren Sie das Suffix auf .xyz und den anderen Endungen, die Phisher verwenden | | Rewards suffix | examplecoin-rewards.org | Registrieren Sie das Suffix auf .org und .com | | Letter swap | examplecoinn.com | Registrieren Sie die üblichen Tippfehler des exakten Namens | | Ähnlich aussehende Buchstaben | an xn-- name mimicking examplecoin.com | Verstehen Sie die Anzeigeregeln: Lesen Sie, was ein IDN-Homograph-Angriff ist | | Geklonte Seite auf einer Plattform-Subdomain | examplecoin-airdrop.somehost.example | Nicht vorab zu verhindern: Melden Sie es der Plattform | ## Wie sieht eine gefälschte Airdrop-Kampagne aus? **Sie sieht aus wie eine Ankündigung des Projekts, mit einem Link und einem Wallet-Pop-up, das sich routinemäßig anfühlt.** Der MalwareTips-Bericht vom 23. April 2025 dokumentiert eine Kampagne gegen einen Staking-Token. Sie verbreitete sich über Spam-E-Mails, Discord-Nachrichten, gefälschte Social-Profile, die sich als Projektmitarbeiter ausgaben, Such- und Krypto-Seitenanzeigen sowie Telegram-Gruppen, und sie sagte Inhabern, sie qualifizierten sich für eine größere Zuteilung. Sie nutzte drei Domain-Formen: ein claims-Präfix auf .net, einen Projekt-airdrop-Namen auf .xyz und einen Projekt-rewards-Namen auf .org. Die Seite kopierte das Branding des Projekts und führte den Besucher durch Wallet verbinden, Berechtigung prüfen, beanspruchen und Token sperren. Nachdem die Wallet verbunden war, forderte ein Skript im Hintergrund Token-Freigaben an und verschob die Vermögenswerte, die es erreichen konnte; eine Seed-Phrase wurde nicht verlangt. Der letzte Schritt erklärt, warum die Domain zählt. Der Nutzer wird nicht gehackt: Er signiert auf einer Seite, die wie das Projekt aussieht, unter einer Adresse, die wie die des Projekts aussieht. ## Warum nutzen Drainer immer wieder neue Domains? **Weil Domains billig zu rotieren sind und Blocklisten Zeit brauchen, um aufzuholen.** Der Bericht von Check Point Research vom 7. Mai 2025 über den Inferno Drainer beschreibt mehr als 30,000 neue Opfer zwischen September 2024 und März 2025 und mindestens $9,000,000 Verluste in sechs Monaten, wobei er festhält, dass die Summe höher sein kann. Er listet ein Dutzend Landing-Domains, die einen Dienst zur Gemeinschaftsprüfung imitierten, und sagt, sie wechselten alle paar Tage. Außerdem beschreibt er einen separaten Airdrop-Köder für einen politischen Memecoin auf einer eigenen ähnlich aussehenden Domain. Derselbe Bericht zeigt, dass die Domain nur ein Glied der Kette ist. In der beschriebenen Discord-Kampagne beanspruchten Angreifer abgelaufene Vanity-Einladungslinks von Krypto-Projekten, sodass Nutzer, die einen alten Link gespeichert hatten, dem Server des Angreifers beitraten und auf einen gefälschten Bot ohne das Häkchen der verifizierten App trafen. Ein Projekt, das eine Vanity-Einladung oder eine Domain auslaufen lässt, übergibt dem Angreifer einen vertrauenswürdigen Namen. Wie man Verlängerungen am Laufen hält, steht in [wie Sie verhindern, dass Ihre Domains ablaufen](https://wardmint.com/de/guides/stop-domains-expiring/ "How to stop your domains from expiring"). ## Welche Namen sollte ein Projekt vor einem Airdrop registrieren? **Registrieren Sie den exakten Namen auf den Hauptendungen, dann die Claim-, Airdrop- und Rewards-Wörter auf den Endungen, die Phisher bevorzugen.** Interisles Daten für den Zeitraum 1. Mai 2025 bis 30. April 2026 zählen 869,180 Phishing-Domains unter .com, 130,945 unter .pro, 99,602 unter .info, 93,987 unter .xyz, 79,625 unter .shop und 74,786 unter .icu. Diese Endungen sind alle in Wardmints Katalog. Eine praktische Reihenfolge für einen Airdrop: 1. Das Kernset (.com, .net, .org, .io, .xyz, .app, $128.94 im Jahr) für den exakten Namen. 2. Die Wörter, die Sie in der Ankündigung verwenden werden, wie claim, airdrop und rewards, mit dem Projektnamen verbunden auf .com, .xyz und .org. 3. Die Endungen, die Phisher nutzen (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 im Jahr) für den exakten Namen. 4. Die üblichen Tippfehler des Namens, gefunden mit den kostenlosen Werkzeugen in [wie Sie ähnlich aussehende Domains Ihrer Marke finden](https://wardmint.com/de/guides/find-lookalike-domains-of-your-brand/ "How to find look-alike domains of your brand"). Der vollständige Zeitplan rund um ein Token-Ereignis steht in [welche Domains man vor einem Token-Start registriert](https://wardmint.com/de/domains-to-register-before-a-token-launch/ "Which domains should I register before a token launch?"). Wardmint registriert die eigenen Varianten eines Projekts für dieses Projekt, niemals ähnlich aussehende Namen einer anderen Marke, und es verkauft nicht .top, eine der zehn Endungen aus Interisles Liste. ## Wie sollte ein Projekt Nutzer warnen? **Legen Sie im Voraus fest, wo der Claim lebt und wo nicht.** Der Kerberus-Leitfaden vom 10. April 2026 listet die Warnzeichen auf, die Nutzer prüfen sollten: keine Ankündigung auf den verifizierten Kanälen des Projekts, eine Aufforderung zur Seed-Phrase oder zum privaten Schlüssel, eine Vorauszahlung, um Token zu erhalten, unrealistische Beträge und unaufgeforderte Token in einer Wallet. Er rät außerdem, die offizielle Seite als Lesezeichen zu speichern, und warnt, dass ähnlich aussehende Domains kleine Zeichenvertauschungen und kyrillische Buchstaben verwenden. Ein Projekt kann diese Liste in eine eigene Ankündigung verwandeln: - Veröffentlichen Sie vor dem Ereignis eine Claim-Adresse auf einer Domain, die Sie besitzen. - Sagen Sie, dass Sie nie eine Seed-Phrase oder eine Zahlung zum Empfang von Token verlangen werden. - Heften Sie dieselbe Aussage auf jedem verifizierten Kanal an. - Leiten Sie jeden defensiven Namen mit Weiterleitung zur offiziellen Seite um, damit ein falsch getippter Claim-Link auf Ihrer Seite landet und nicht auf der eines Fremden. - Kennen Sie den Meldeweg: [wie Sie eine Phishing-Domain melden](https://wardmint.com/de/guides/report-a-phishing-domain/ "How to report a phishing domain") nennt die Kontakte von Registrar, Host und Blocklisten. Wardmint stellt kostenlose URL-Weiterleitung und E-Mail-Weiterleitung aus dem Kundenbereich und eine Vorlage ohne E-Mail (Null-MX, SPF -all, DMARC p=reject) für ungenutzte Namen bereit. ## Wie viele der meistmissbrauchten Endungen verkauft Wardmint? Laut der Erhebung von Wardmint vom 12. November 2026 sind 6 der 10 Endungen mit den meisten Phishing-Domains in Interisles Daten 2025–2026 (.com, .pro, .info, .xyz, .shop und .icu) in seinem Katalog von 29, und 4 (.top, .cn, .vip und .cc) nicht. Ein defensiver Name, den das Projekt registriert, kann nicht von einem Drainer-Betreiber registriert werden. Zwei zitierbare Sätze: Eine gefälschte Airdrop-Domain ist eine Kopie des Projektnamens mit einem hinzugefügten Claim-Wort; die erste Verteidigung ist, die naheliegenden Namen vor der Ankündigung selbst zu besitzen. Wardmint behauptet nicht, dass Registrierungen den Betrug beenden, denn Phishing nutzt auch Plattform-Subdomains und gekaperte Kanäle. Mit fremden Buchstaben gebaute ähnliche Namen werden in [was ein IDN-Homograph-Angriff ist](https://wardmint.com/de/what-is-an-idn-homograph-attack/ "What is an IDN homograph attack?") erklärt. ## Fragen zu gefälschten Airdrop-Domains ### Können Domain-Registrierungen alle gefälschten Airdrop-Seiten stoppen? Nein. Sie entfernen die naheliegenden Namen, aber Angreifer können andere Wörter, andere Endungen und Subdomains auf kostenlosen Hosting-Plattformen nutzen. Die Registrierung ist eine Schicht neben Warnungen und schneller Meldung. ### Welche Wörter fügen Airdrop-Phisher einem Projektnamen hinzu? Gemeldete Kampagnen verwenden claim, airdrop und rewards als Präfix oder Suffix, mit Bindestrichen. Registrieren Sie diese Wörter neben Ihrem exakten Namen auf .com, .xyz und .org. ### Was kostet ein defensives Set für einen Airdrop? Das Kernset von sechs Endungen kostet $128.94 im Jahr, und das Phishing-Set mit neun Endungen kostet $212.41 im Jahr, mit demselben Preis bei der Verlängerung. ### Nimmt Wardmint gefälschte Airdrop-Seiten vom Netz? Nein. Wardmint verkauft Registrierungen. Seine Leitfäden erklären, wie man eine Domain beim Registrar, beim Host und bei den Blocklisten meldet. ### Kann eine DAO-Schatzkasse diese Namen bezahlen? Ja. Bezahlen Sie in BTC, USDT, USDC, ETH, SOL, LTC aus einer Wallet oder einem Multisig in ein Guthaben im Voraus mit einer Mindestaufladung von 25 $, mit einer bestätigten E-Mail-Adresse pro Domain und ohne Ausweisdokumente. **Zusammenfassung** - Gefälschte Airdrop-Seiten kombinieren eine ähnlich aussehende Domain mit einer Wallet-Connect-Seite und einem Drainer. - Gemeldete Muster: claims-Präfix, -airdrop-Suffix, -rewards-Suffix, auf .net, .xyz und .org. - Check Point (7. Mai 2025): über 30,000 neue Opfer und mindestens $9,000,000 in sechs Monaten für einen Drainer. - Interisle: 869,180 Phishing-Domains unter .com und 93,987 unter .xyz, 1. Mai 2025 bis 30. April 2026. - Wardmint verkauft 6 der 10 meistgenutzten Endungen dieser Liste, und nicht .top, .cn, .vip oder .cc. - Kernset $128.94 im Jahr; neun Phisher-Endungen $212.41 im Jahr. - Kündigen Sie eine Claim-Adresse an und die Regel, dass kein echter Airdrop eine Seed-Phrase oder eine Gebühr verlangt. ## Quellen 1. [PumpBTC airdrop scam websites](https://malwaretips.com/blogs/pumpbtc-airdrop-scam-websites/) — MalwareTips, 23 April 2025 (abgelesen am 2026-11-12) 2. [Fake Airdrop Scams: Types and Red Flags To Avoid](https://www.kerberus.com/learn/fake-airdrop-scams/) — Kerberus, 10 April 2026 (abgelesen am 2026-11-12) 3. [Inferno Drainer Reloaded](https://research.checkpoint.com/2025/inferno-drainer-reloaded-deep-dive-into-the-return-of-the-most-sophisticated-crypto-drainer/) — Check Point Research, 7 May 2025 (abgelesen am 2026-11-12) 4. [Phishing-Aktivität in TLDs, Mai 2025 bis April 2026](https://www.cybercrimeinfocenter.org/phishing-activity-in-tlds-may-april-2026) — Cybercrime Information Center (Interisle data) (abgelesen am 2026-11-12) --- Wardmint: Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht — den eigenen Namen unter den Endungen, die Phisher nutzen, sowie eigene Tippfehler- und Look-alike-Varianten — bezahlt in Krypto und ohne KYC: kein ID-Dokument, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Wardmint von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.