Der „Free Crypto“-Betrug von Betterment: Eine Meisterklasse darin, der eigenen App nicht zu vertrauen 🤡

von

Da war ich also und nippte an meinem Morgenkaffee, als mein Telefon mit einer Nachricht von Betterment summte, der Finanz-App, der ich mehr vertraue als meinem eigenen Urteilsvermögen. Es stellte sich heraus, dass es kein freundlicher Check-in war. Nein, es war ein ausgewachsener Krypto-Werbebetrug, übermittelt mit der Herzlichkeit eines nigerianischen Prinzen und der Legitimität einer E-Mail, die irgendwie jede Sicherheitsprüfung außer dem gesunden Menschenverstand bestanden hat.

Wichtige Erkenntnisse (denn Sie werden sie brauchen, um dieses Chaos zu überstehen):

  • Betterment-Benutzer erhielten über App-Benachrichtigungen und E-Mails gefälschte Krypto-Werbenachrichten. Denn nichts drückt mehr „Vertrauen“ aus als ein dreistündiges Zeitfenster, in dem Sie Ihre Ersparnisse überweisen können.
  • Der Betrug versprach, Ihr Bitcoin oder Ethereum zu verdreifachen. Weil Mathe schwierig ist und deshalb nicht betrogen wird.
  • Nachrichten sahen dank SPF, DKIM und DMARC echt aus. Die Internetversion eines gefälschten Harvard-Diploms.
  • Betterment sagt, dass keine Konten gehackt wurden. Wahrscheinlich. Vielleicht. Drücken Sie die Daumen.

Tausende Benutzer erhielten Benachrichtigungen, die aussahen, als kämen sie von Betterment selbst, komplett mit E-Mails und Push-Benachrichtigungen mit der Aufschrift „VERTRAUEN SIE UNS, WIR SIND PROFIS!“ Das Angebot? Senden Sie Bitcoin oder Ethereum für eine garantierte dreifache Rendite. Denn nichts sagt so viel über „Investitionsmöglichkeit“ aus wie ein dreifaches Versprechen und eine Frist, die Sie in Panik versetzen und Ihren Erstgeborenen verkaufen lassen.

„Drittanbietersystem“ mit ausreichendem Zugriff, um Ihre App zu spammen? Klingt nach einem Support-Team, das sich mit einem Hacker etwas zu wohl gefühlt hat. Oder vielleicht wollten sie einfach nur sehen, ob die Leute ihnen 750.000 Dollar schicken würden. So oder so, Social Engineering vom Feinsten. 😂

– Jared (@jareds3737)

Die Anweisungen waren so spezifisch, als ob sie sicherstellen wollten, dass selbst die mathematisch anspruchsvollsten unter uns ihr Geld verdreifachen könnten … oder unsere Verwirrung verdreifachen könnten. Sie lieferten sogar Wallet-Adressen und Beispiele wie „Sende 10.000 $, erhalte 30.000 $!“ Als ob Krypto nicht bereits ein Zahlenspiel wäre, bei dem man den Unterschied zwischen einem Gewinn und einem Fiebertraum nicht erkennen kann.

Wie Angreifer Ihr Vertrauen zu einer Waffe machten, als wäre es eine Kreditkarte

Zwei Stunden nachdem der Betrug online ging, brach Betterment schließlich sein Schweigen mit einem Tweet, der sich wie ein Trennungsbrief las: „Es tut uns leid, wir waren es nicht, aber wir arbeiten daran.“ Sie gaben einem Drittsystem die Schuld, was nur eine schicke Formulierung ist: „Ein Anbieter, dem wir wahrscheinlich 20 US-Dollar pro Stunde gezahlt haben, hat jetzt Zugriff auf das Benachrichtigungscenter Ihrer App.“

Betterment besteht darauf, dass das Klicken auf die Betrugslinks nicht zu einem Hackerangriff auf Ihr Konto geführt hat. Gut zu wissen! Aber seien wir ehrlich: Das Einzige, was gefährdet ist, ist Ihr Vertrauen in die Technologie. Und vielleicht auch Ihr Geldbeutel, wenn Sie zu den Pechvögeln gehören, die Geld geschickt haben, bevor der Betrug eingestellt wurde. (Wenn Sie das sind, herzlichen Glückwunsch! Sie sind offiziell dem Club „Ich habe einem Pop-up vertraut“ beigetreten. Wir treffen uns jeden Dienstag im örtlichen Pfandhaus.)

In einer Folgeuntersuchung enthüllte Betterment, dass bei dem Betrug ein Marketingtool eines Drittanbieters zum Einsatz kam. Und wissen Sie was? Die E-Mails hatten gültige SPF/DKIM/DMARC-Einträge. Denn nichts sagt mehr über „Betrug“ aus als ein Betrug, der die gleichen Sicherheitsprüfungen besteht, die Ihre Bank durchführt. Sie stammten sogar von einer Subdomain, die anscheinend zu Betterment gehörte. Hinterhältig? Ja. Wirksam? Auch ja. Es ist wie Phishing, aber mit einem Doktortitel.

Wir wissen immer noch nicht, ob Kundendaten gestohlen wurden oder welcher Drittanbieter gehackt wurde. Aber eines wissen wir: Betrüger nutzen mittlerweile echte Finanz-Apps als Lieferdienst. Es ist, als würde man von einem Mann, der bei Tiffany arbeitet, eine gefälschte Rolex bekommen. Wenn die Nachricht aus Ihrer eigenen App kommt, denken vielleicht selbst die größten Skeptiker unter uns: „Hey, vielleicht ist es dieses Mal anders.“ Spoiler: Das ist es nicht.

Sobald Sie bei Kryptowährungen Geld gesendet haben, ist es schneller aufgebraucht als Ihre Geduld während eines Zoom-Meetings. Keine Rückbuchungen, keine Nachbesserungen – nur ein kaltes, hartes „Ich habe es dir gesagt“ aus dem Universum.

Dieser Artikel dient nur zu Bildungszwecken. Wenn Sie Finanzberatung benötigen, vertrauen Sie vielleicht nicht zufälligen E-Mails. Aber hey, ich bin nur eine lustige Stimme im Internet. Konsultieren Sie einen Fachmann oder noch besser einen Therapeuten.

Weiterlesen

2026-01-12 13:30