Die Geschichte läuft immer gleich ab. Jemand klappt abends das MacBook zu, das Wallet-Guthaben ist in Ordnung, und am Morgen ist es weg. Die Transaktionen gingen um 3 Uhr nachts raus, während das Notebook schlief. Das wirkt unmöglich, denn der Mac war aus. Ist es aber nicht, und zu verstehen, warum, ist das Nützlichste, was du über eine Hot Wallet auf dem Mac lernen kannst. Dieser MacHabits-Guide zum Bedrohungsmodell einer Hot Wallet auf dem Mac geht es durch.
Ein schlafender Mac schützt dich nicht, denn der Angreifer hat deinen Mac nie benutzt, um das Geld abzuziehen.
Warum der Ruhezustand keine Rolle spielt
Eine Browser-Wallet wie MetaMask speichert deine Schlüssel in einem verschlüsselten Tresor auf deiner Festplatte, der mit deinem Wallet-Passwort entsperrt wird. Ein Dieb braucht zwei Dinge: eine Kopie dieses Tresors und entweder das Passwort oder die Wiederherstellungsphrase, die alles neu aufbaut.
Haben sie beides, ist dein Mac egal. Sie öffnen die Wallet auf ihrem eigenen Rechner und signieren die Transaktionen dort. Das Leeren kann Minuten nach dem Diebstahl kommen oder Wochen später, oft nachts in deiner Zeitzone, weil niemand hinschaut.
Der eigentliche Verlust geschah also früher: als etwas deinen Tresor kopiert und dein Passwort abgegriffen hat, oder als du deine Wiederherstellungsphrase irgendwo eingetippt hast, wo sie nicht hingehört.
Wie sie an Tresor und Passwort kommen
- Stealer. MacSync und ähnliche Schadsoftware kopiert Daten von Wallet-Erweiterungen im Browser, gespeicherte Browser-Passwörter, deine Schlüsselbunddatei und dein Mac-Passwort, das sie über ein gefälschtes Eingabefenster direkt abfragen. Stimmt dein Wallet-Passwort mit einem davon überein oder ähnelt ihm, öffnet sich der Tresor.
- Manipulierte Wallet-Erweiterungen. Sicherheitsforscher dokumentierten eine Kampagne gegen Krypto- und Web3-Entwickler, bei der die MetaMask-Erweiterung so verändert wurde, dass sie Wallet-Passwort und verschlüsselten Tresor direkt an den Angreifer schickte. Die Hintertür von MacSync hat außerdem einen Befehl zum Installieren von Browser-Erweiterungen.
- Gefälschte Erweiterungen und Seiten. Falsche MetaMask-Erweiterungen und Download-Seiten, beworben mit Suchanzeigen oder gefälschten Bewertungen, verhalten sich wie das Original, bis du sie mit Geld gefüllt hast.
- Phishing nach der Phrase. E-Mails und Seiten, die sich als MetaMask ausgeben, mit einem „Pflicht-Upgrade 2026“ oder einer gefälschten Zwei-Faktor-Einrichtung, haben dieses Jahr Hunderte Wallets geleert. Am Ende wollen sie immer deine Wiederherstellungsphrase.
- Freigaben, die du schon erteilt hast. Eine bösartige Seite kann dich dazu bringen, unbegrenzte Ausgaben eines Tokens freizugeben. Es passiert nichts, bis der Angreifer sie nutzt, und das kann jederzeit später sein, während dein Mac schläft.
Was macOS schützt und was nicht
- Gatekeeper und Notarisierung stoppen viele schädliche Apps, aber nicht solche, die du durch Passworteingabe freigibst, und nicht Befehle, die du ins Terminal einfügst.
- FileVault schützt deine Daten, wenn der Mac ausgeschaltet gestohlen wird. Gegen Schadsoftware, die läuft, während du angemeldet bist, hilft es nicht.
- Datenschutz-Berechtigungen begrenzen, was Apps lesen dürfen, aber eine Browser-Erweiterung läuft im Browser und hat bereits Zugriff auf die Wallet.
Klar gesagt: Auf einem Mac wie auf jedem Computer ist eine Hot Wallet nur so sicher wie alles andere, was auf diesem Rechner und in diesem Browser läuft. Das Hot-Wallet-Setup, das funktioniert, geht von dieser Tatsache aus.
Ein Bedrohungsmodell, das funktioniert
- Teil dein Geld auf. In die Hot Wallet gehört nur Geld zum Ausgeben. Ersparnisse gehören auf eine Hardware-Wallet, bei der jede Transaktion auf dem Display des Geräts bestätigt werden muss.
- Gib der Wallet ein eigenes Browserprofil oder besser einen eigenen macOS-Benutzeraccount. Installier dort nur die Wallet-Erweiterung und sonst nichts, und nutz ihn nur für Krypto.
- Nimm ein einmaliges Wallet-Passwort, das nicht dein Mac-Passwort ist, nicht im Browser gespeichert ist und nirgends sonst verwendet wird.
- Sperr die Wallet automatisch nach wenigen Minuten, in ihren Einstellungen.
- Prüf und widerruf Token-Freigaben regelmäßig mit einem vertrauenswürdigen Freigabe-Checker, besonders unbegrenzte.
- Installier Wallet-Erweiterungen nur über den Link auf der offiziellen Wallet-Seite und prüf den Herausgeber im Erweiterungs-Store.
- Betrachte jede Aufforderung zur Eingabe deiner Wiederherstellungsphrase als Angriff. MetaMask, Ledger und Trezor fragen sie nie per E-Mail, in einem Pop-up oder in einem Browser-Tab ab.
- Halte macOS und deinen Browser aktuell. Diese Woche heißt das 27.0.1, 26.7.1 oder 15.8.1.
Wenn es schon passiert ist
- Leg von einem anderen, sauberen Gerät aus eine neue Wallet mit neuer Wiederherstellungsphrase an und schieb alles, was in der alten Wallet und in Wallets mit gleicher Phrase oder gleichem Passwort noch liegt, dorthin.
- Widerruf offene Token-Freigaben der alten Adresse.
- Prüf den Mac auf die Anzeichen aus unserem MacSync-Guide. Findest du welche, lösch ihn und installier macOS neu, bevor du ihn wieder für Krypto nutzt.
- Ändere vom sauberen Gerät aus die Passwörter für E-Mail, Börsen und deinen Apple Account.
- Sei misstrauisch gegenüber jedem, der gegen Gebühr anbietet, das Geld zurückzuholen. Recovery-Betrug zielt auf Menschen direkt nach einem Verlust.
Kurz gesagt
Eine Hot Wallet, die leer wurde, während dein MacBook schlief, wurde nicht über den Mac geleert. Etwas hat früher deinen Tresor und dein Passwort kopiert, oder du hast deine Wiederherstellungsphrase irgendwo eingegeben, und der Dieb hat die Transaktionen auf seinem eigenen Rechner signiert. Halte nur kleine Beträge in einer Hot Wallet, isolier sie in einem eigenen Browserprofil oder Benutzeraccount, nutz ein einmaliges Passwort, widerruf Freigaben und lagere Ersparnisse auf einer Hardware-Wallet. Die MacHabits-Übersicht, wie Hot Wallets auf dem Mac geleert werden, bündelt die Prüfungen an einem Ort. Quelle: machabits.info/articles/hot-wallet-on-mac-threat-model