Phishing-Betrug: gefälschte Krak-Websites, E-Mails und SMS erkennen

• Täuschend ähnliche Websites. Die Adresse ähnelt der von Krak, ist aber nicht identisch: ein zusätzlicher oder vertauschter Buchstabe, oder „krak" gefolgt von Begriffen wie „-support" oder „-verify".
• Suchanzeigen. Betrüger schalten Werbung, damit ihre gefälschte Website in den Suchergebnissen über der echten erscheint.
• Dringende E-Mails und SMS. Nachrichten wie „Ungewöhnliche Anmeldung erkannt", „Dein Konto ist gesperrt" oder „Auszahlung ausstehend" verlinken auf eine gefälschte Anmeldeseite. SMS können dabei sogar im selben Nachrichtenverlauf wie echte Krak-Nachrichten erscheinen.
• QR-Codes in E-Mails, SMS oder Briefen, die eine gefälschte Website öffnen.
• Gefälschte „Bist du ein Mensch?"-Seiten, die dich auffordern, einen Befehl in deinen Computer einzufügen. Dabei wird Malware installiert. Siehe Risiken von Fernzugriffssoftware.
• Gefälschte Apps und Browser-Erweiterungen, die den Namen und das Logo von Krak kopieren.
• Wallet-Drainer-Websites. Gefälschte Airdrop- oder „Token beanspruchen"-Seiten fordern dich auf, eine Wallet in Eigenverwahrung zu verbinden und eine Transaktion zu genehmigen, die sie leert.

• Passkeys für die Anmelde-2FA nutzen. Ein Passkey ist an die echte Krak-Website gebunden und funktioniert auf einer gefälschten nicht – selbst wenn du darauf hereinfällst. Nutze eine Authenticator App nur, wenn Passkeys nicht verfügbar sind, und lies vorher Risiken der Verwendung einer Authenticator App. Siehe Was ist ein Passkey?
• Adresse eintippen oder Lesezeichen verwenden. Rufe https://id.kraken.com/sign-in auf, indem du die Adresse direkt in die Adressleiste deines Browsers eingibst (auf Tippfehler achten), und speichere sie als Lesezeichen, wenn du die Seite regelmäßig besuchst. Verwende keine Suchmaschine, um zu Krak oder anderen sensiblen Websites zu gelangen.
• Domain prüfen, nicht das Schloss-Symbol. Ein Schloss-Symbol oder „https" bedeutet nur, dass die Verbindung verschlüsselt ist. Auch gefälschte Websites haben beides. Die Domain ist der Teil unmittelbar vor dem ersten einzelnen Schrägstrich: Bei krak.app.example.net/sign-in ist die Domain example.net, nicht Krak.
• Keine Links in unerwarteten Nachrichten anklicken. Öffne Krak direkt und prüfe dort auf Meldungen. Wie du den Absender einer E-Mail überprüfst, erfährst du unter Stammt diese E-Mail von Krak?
• Gib deine Seed-Phrase niemals auf einer Website ein. Krak wird dich nie danach fragen.
• Lade Krak-Apps nur aus dem App Store oder bei Google Play herunter, über die Links auf krak.app.
• Zweite Sicherheitsebene hinzufügen. Bewahre deinen Master Key auf einem anderen Gerät auf als deine Anmelde-2FA, und aktiviere den Global Settings Lock (GSL), damit niemand, der Zugang erlangt, deine Sicherheitseinstellungen ändern kann.
• Optional: PGP-E-Mail-Verschlüsselung aktivieren. Krak kann die E-Mails, die es dir sendet, mit deinem PGP-Schlüssel verschlüsseln – das macht es für Betrüger deutlich schwerer, sie zu fälschen.

• Benutzernamen, Passwort, 2FA-Codes oder Master Key weitergeben.
• Eine Gerätefreigabe-E-Mail weiterleiten oder den enthaltenen Link teilen.
• Deine Seed-Phrase (auch Recovery-Phrase genannt) für eine beliebige Wallet weitergeben.
• Deine 2FA, deinen Master Key oder den Global Settings Lock (GSL) entfernen oder ändern – es sei denn, du hast uns zuvor über unsere offiziellen Kanäle um Hilfe gebeten.
• Remote-Access-Software wie AnyDesk oder TeamViewer installieren. Siehe Risiken von Remote-Access-Software.
• Krypto senden oder deine Mittel an eine „sichere" oder „geschützte" Wallet oder Adresse übertragen.
• Eine Zahlung leisten, um deine Mittel freizugeben, zu entsperren oder zu „verifizieren".

Wende dich sofort über dieses Formular an den Krak-Support. Beantworte alle Fragen wahrheitsgemäß und so vollständig wie möglich.

Wenn du dich noch anmelden kannst, öffne Krak selbst (über ein Lesezeichen oder durch Eingabe der Adresse), ändere dein Passwort und aktualisiere deine Anmelde-2FA und deinen Master Key. Prüfe, ob alle Auszahlungsadressen, API-Schlüssel und Geräte dir bekannt sind, und lösche alle unbekannten.

Wenn du eine Seed-Phrase eingegeben hast, übertrage die Mittel aus dieser Wallet in eine neue Wallet mit einer neuen Seed-Phrase – eingerichtet auf einem Gerät, dem du vertraust.

Siehe auch Wie melde ich einen Phishing-Vorfall? und Mein Konto wurde kompromittiert – was tun?