KI-Agenten und Krypto: Wie unsichtbare „LLM-Router" Wallets leeren können
KI-Agenten sollen bald Flüge buchen, handeln und Zahlungen abwickeln – ein wachsender Teil davon in Krypto. Doch eine kaum beachtete Zwischenschicht der KI-Infrastruktur kann genau das zur Falle machen. Forscher zeigen: Sogenannte LLM-Router sehen alles, was zwischen dir und dem KI-Modell hindurchläuft – und können Zugangsdaten abgreifen oder Befehle austauschen. Parallel warnen die Finanzaufsichtsbehörden vor KI-gestütztem Krypto-Betrug. Wir erklären die Gefahr und wie du dein Vermögen schützt.
- LLM-Router sind Zwischendienste zwischen Nutzer und KI-Modell – sie sehen den Datenverkehr im Klartext.
- Bösartige Router können Zugangsdaten stehlen und Befehle eines KI-Agenten heimlich austauschen.
- Forscher prüften hunderte Router; mehrere griffen Zugangsdaten ab, einer leerte eine Köder-Wallet.
- Besonders riskant: KI-Agenten, die ohne Rückfrage handeln, und private Schlüssel in KI-Sitzungen.
- Schutz: Hardware-Wallet, Schlüssel nie durch KI schicken, seriöse statt billige Gratis-Router.
Behörden warnen vor KI-gestütztem Krypto-Betrug
Dass künstliche Intelligenz und Kryptowerte neue Einfallstore für Kriminelle öffnen, ist längst auch bei den Aufsichtsbehörden angekommen. Anfang 2026 veröffentlichten die deutsche Finanzaufsicht BaFin gemeinsam mit den europäischen Aufsichtsbehörden für Banken, Versicherungen und Wertpapiermärkte (EBA, EIOPA, ESMA) interaktive Informationsblätter zu den gängigsten Betrugsmaschen – inklusive Hinweisen, wie Verbraucher Warnzeichen erkennen und sich schützen. Investitionen in Kryptowerte zählen die Aufseher ausdrücklich zu den zentralen Verbraucherrisiken des Jahres.
Während diese Warnungen vor allem auf klassische Betrugsmaschen zielen, legt eine neue Studie eine subtilere Gefahr offen: Sie sitzt nicht beim Betrüger, sondern mitten in der Technik, der wir vertrauen. Begriffe wie Seed Phrase oder Private Key erklärt übrigens unser Glossar der Krypto-Sicherheitsbegriffe.
Die versteckte Schwachstelle: LLM-Router
Wenn ein KI-Agent oder ein KI-Programmierwerkzeug mit einem Sprachmodell spricht, läuft die Anfrage oft nicht direkt zum Anbieter, sondern über einen Zwischendienst – einen LLM-Router. Man kann ihn sich als Verkehrsleitstelle für KI-Anfragen vorstellen: Er bündelt den Zugang zu verschiedenen Modellen und reicht die Anfragen weiter.
Das Problem: Diese Router beenden die verschlüsselte Verbindung und sehen damit jede Nachricht, jeden Tool-Aufruf und jeden Datensatz im Klartext. Zwischen dem, was dein Programm sendet, und dem, was beim Modell ankommt, gibt es keine kryptografische Absicherung. Ein bösartiger Router kann den Inhalt also nicht nur mitlesen, sondern auch verändern – etwa einen harmlosen Befehl durch einen vom Angreifer kontrollierten ersetzen oder still jede Zugangsdatei kopieren, die hindurchläuft.
Was die Forscher herausfanden
Ein Team mit Bezug zu den Universitäten von Kalifornien (Santa Barbara und San Diego) sowie den Krypto-Unternehmen Fuzzland und World Liberty Financial hat das Router-Ökosystem systematisch untersucht und die Ergebnisse auf der Preprint-Plattform arXiv veröffentlicht. Sie testeten hunderte bezahlte und kostenlose Router. Die Befunde:
- Mehrere Router schleusten aktiv Schadcode in die Anfragen ein.
- 17 Router griffen auf hinterlegte Köder-Zugangsdaten der Forscher zu.
- Einzelne Router setzten Tarnmechanismen ein, um nicht aufzufallen.
- Ein Router leerte eine Köder-Krypto-Wallet der Forscher (im Test ein kleiner Betrag).
Brisanter noch ist die Aussage eines Mitautors außerhalb der Studie: Demnach hätten 26 Router heimlich schädliche Tool-Aufrufe eingefügt und Zugangsdaten gestohlen – in einem realen Fall sei dabei die Wallet eines Kunden um rund 500.000 US-Dollar erleichtert worden. Diese halbe Million stammt also aus einem berichteten Praxisfall, während die kontrollierte Demonstration in der Studie selbst nur eine kleine Köder-Wallet betraf. Beide Ebenen zeigen dasselbe: Das Risiko ist real, nicht bloß theoretisch.
Warum Krypto-Nutzer besonders betroffen sind
Für die Krypto-Welt ist der Befund besonders heikel: Wer ein KI-Programmierwerkzeug nutzt, um an Smart Contracts oder Wallets zu arbeiten, schickt im Zweifel private Schlüssel, Seed-Phrasen oder API-Zugangsdaten durch genau diese ungeprüfte Router-Infrastruktur – und zwar im Klartext. Einmal offengelegt, lassen sich solche Schlüssel kopieren und beliebig wiederverwenden, ohne dass du etwas merkst.
Das Tückische ist die Kette: Schon ein einziger bösartiger Router in der Weiterleitung genügt, um das ganze System zu kompromittieren. Selbst wenn du deinem KI-Anbieter vertraust, ist die Infrastruktur dazwischen nicht automatisch vertrauenswürdig.
So schützt du dich
- Seed Phrase offline halten: Niemals digital speichern, kopieren oder eintippen, wo eine KI mitliest. Wie du sie richtig sicherst, erklärt der Leitfaden Seed Phrase sicher aufbewahren.
- Keine fragwürdigen Gratis-Router: Nutze, wo möglich, die offiziellen Endpunkte der Anbieter direkt statt billiger Zwischendienste unbekannter Herkunft.
- Kein „YOLO-Modus": Lass kritische Agenten-Aktionen – vor allem alles, was Geld bewegt – immer von dir bestätigen, statt sie automatisch ausführen zu lassen.
- Rechte und Schlüssel trennen: Gib einem KI-Agenten nur die minimal nötigen Berechtigungen und halte Wallet-Zugänge strikt getrennt von der Entwicklungsumgebung.
- Lokal statt durchgereicht: Wer ein Sprachmodell lokal auf der eigenen Hardware betreibt, schickt seine Daten erst gar nicht durch fremde Router – ein starkes Argument für datensouveräne, lokale KI.
Eine vollständige Anleitung zur sicheren Selbstverwahrung findest du in unserem Leitfaden Krypto-Vermögen schützen. Mehr rund um digitale Absicherung sammeln die Bereiche Krypto und Sicherheit.
Häufige Fragen
Was ist ein LLM-Router?
Ein LLM-Router ist ein Zwischendienst, der Anfragen von KI-Programmen oder -Agenten an Sprachmodelle wie OpenAI, Anthropic oder Google weiterleitet und den Zugang zu mehreren Modellen bündelt. Weil er den Datenverkehr im Klartext verarbeitet, kann er alles mitlesen, was durch ihn hindurchläuft.
Warum sind LLM-Router ein Sicherheitsrisiko?
Weil sie die verschlüsselte Verbindung beenden und vollen Klartext-Zugriff auf jede Nachricht haben. Zwischen dem, was gesendet wird, und dem, was beim Modell ankommt, gibt es keine kryptografische Absicherung. Ein bösartiger Router kann Daten lesen, kopieren oder Befehle austauschen.
Wurde wirklich eine Wallet geleert?
In der Studie wurde eine eigens präparierte Köder-Wallet mit kleinem Betrag geleert. Darüber hinaus berichtet ein Mitautor von einem realen Kundenfall mit rund 500.000 US-Dollar Schaden. Die kontrollierte Demonstration und der Praxisfall belegen gemeinsam, dass die Gefahr nicht nur theoretisch ist.
Bin ich betroffen, wenn ich ChatGPT oder Claude ganz normal nutze?
Das Risiko betrifft vor allem Entwickler und Nutzer, die KI-Agenten oder Code-Werkzeuge über zwischengeschaltete Router laufen lassen. Wer direkt und offiziell beim Anbieter ist, ist weniger exponiert. Trotzdem gilt: Wisse, über welche Wege deine Anfragen tatsächlich laufen.
Was ist der „YOLO-Modus"?
So nennt man einen Modus in vielen KI-Agenten-Werkzeugen, in dem der Agent Befehle automatisch ausführt, ohne bei jedem Schritt nachzufragen. Das erhöht das Risiko erheblich, weil eingeschleuste, manipulierte Anweisungen dann ohne menschliche Kontrolle durchlaufen.
Wie schützt eine Hardware-Wallet?
Bei einer Hardware-Wallet verlässt der private Schlüssel das Gerät nie und landet somit auch nie im Datenverkehr, den ein Router sehen könnte. Da du jede Transaktion auf dem Geräte-Display bestätigst, lässt sich auch eine manipulierte Anweisung erkennen, bevor du sie freigibst.
Darf ich private Schlüssel je in einer KI-Sitzung verwenden?
Nein. Private Schlüssel und Seed-Phrasen sollten niemals durch einen KI-Agenten, ein Code-Werkzeug oder einen Router laufen. Einmal offengelegt, lassen sie sich unbemerkt kopieren und missbrauchen.
Sind kostenlose LLM-Router gefährlicher?
Häufig ja. Günstige oder kostenlose Angebote können als Lockmittel dienen, um Nutzer anzuziehen und im Hintergrund Zugangsdaten abzugreifen. Vorsicht ist bei Diensten unbekannter Herkunft besonders angebracht.
Hilft es, KI-Modelle lokal zu betreiben?
Ja. Wer ein Sprachmodell lokal auf eigener Hardware laufen lässt, schickt seine Daten gar nicht erst durch fremde Zwischendienste. Das senkt die Angriffsfläche deutlich und ist zugleich datenschutzfreundlich.
Was hat das mit den BaFin-Warnungen zu tun?
Beides zeigt dieselbe Entwicklung: Künstliche Intelligenz erweitert die Möglichkeiten für Krypto-Betrug – von klassischen Maschen bis zur kompromittierten Infrastruktur. Wer die Schutzregeln kennt und vorab handelt, nimmt den Angreifern die wichtigsten Hebel.
Dieser Beitrag dient der Information und Aufklärung und stellt keine Anlage- oder Rechtsberatung dar. Bei einem konkreten Sicherheitsvorfall wende dich im Zweifel an eine IT-Sicherheitsfachkraft.