Tag: 3. September 2026

Im Junk-Ordner, Sonntagmorgen, 9. August. Absender: Missionary Carol Mitchell. Betreff in Großbuchstaben: Kannst Du als mein nächster Angehöriger einspringen und den Armen helfen. Outlook hat SCL 6 vergeben und die Mail weggeräumt. Zu Recht.

Die Geschichte ist schnell erzählt. Eine Missionarin, früher bei Saints Peter and Paul in San Francisco, Filbert Street, echte Adresse einer echten Gemeinde. Sechs Millionen Dollar bei Citizens Financial Group. Leukämie, zwei oder drei Wochen noch. Du sollst als Next of Kin herhalten, damit die Bank das Geld überweist. Drei Millionen darfst Du behalten, drei Millionen gehen an irgendein Heim in den USA, Afrika, Kanada, Europa oder Asien, weil sie das Gott versprochen hat, bevor sie Missionarin wurde. Wenn Du Interesse hast, schreibt sie sofort zurück, dann kommt der Anwalt, die Bank, die Anleitung. Danach sterbe ich, steht da, ich habe nur noch zwei Wochen.

Das ist keine Erbschaft. Das ist keine sterbende Missionarin. Das ist die alte Next-of-Kin-Masche, diesmal im Kirchenkostüm. Es gibt kein Konto mit sechs Millionen, das auf Deinen Namen wartet. Es gibt keinen Arzt, der Dir per Rundmail die Frist diktiert. Es gibt keine Gemeinde, die wildfremde Postfachinhaber als Erben einsetzt.

Die Kirche ist echt, die Mail nicht

Saints Peter and Paul in North Beach gibt es. 655 Filbert Street gibt es. Citizens als Bank gibt es auch. Genau deshalb stehen die Namen da: Du kannst sie googeln, und dann fühlt sich der Rest wahrer an. Die Mail klaut die Adresse, nicht die Stimme der Gemeinde. Eine sterbende Frau, die wirklich sechs Millionen vererben will, schreibt nicht „Hello Beloved“ an „Recipients“ und schickt dieselbe Datei in den Junk von Leuten, die sie nie getroffen hat.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier nicht mal das. Hier ist nur Beloved, plus ein Tippfehler, der sitzt: formally with, statt formerly. United State, ohne s. Zwei oder drei Wochen, einen Absatz später nur noch zwei. Wer in Eile stirbt, zählt die Tage nicht in zwei Versionen.

Die Adresse vorne ist jesusvalle@movilidapp.com. Dieselbe Adresse steht auch im An-Feld, der eigentliche Empfänger kommt als Kopie. movilidapp.com gehört zu einem spanischen App- und Web-Laden, nicht zu einer Pfarrei in Kalifornien. SPF, DKIM, DMARC: alles fail. Der Server, der die Mail wirklich abgeliefert hat, heißt mailcu04.computersunleashed.store. Antworten sollst Du nicht an die Kirche und nicht an movilidapp, sondern an mitchellmissionarycarol78 auf Gmail. Drei Namen, eine Masche.

Was passiert, wenn Du schreibst

Du antwortest, weil drei Millionen nach Nächstenliebe klingen und die andere Hälfte nach Jackpot. Dann kommt jemand, der sich Anwalt nennt, oder die Bank, oder beide. Irgendwann eine Gebühr, eine Steuer, eine Freigabe, ein Scan vom Ausweis, „sonst kann Citizens nicht überweisen“. Das Geld kommt nicht. Die Gebühr schon, wenn Du zahlst.

Nicht antworten. Nicht dem Gmail. Nicht der Kirche in San Francisco eine Mail schicken, als müsstest Du sie warnen, dass ihr Briefkopf missbraucht wird, das klärt sich ohne Dich. Nichts überweisen, nichts fotografieren.

Kurz: sterbende Missionarin, sechs Millionen, Next of Kin, Reply an Gmail, Versand von computersunleashed.store. Löschen. Es lag kein Erbe bereit.

Der Mailtext (ohne Links)

Absender: MISSIONARY CAROL MITCHELL (jesusvalle@movilidapp.com)
An: Recipients (dieselbe Adresse)
Antworten an: mitchellmissionarycarol78 auf Gmail
Betreff: HELLO BELOVED CAN YOU STAND AS MY NEXT OF KIN TO HELP THE POOR?
Datum: 9. August 2026

Hello Beloved

I am Carol Mitchell a Missionary formally with Saints Peter and Paul Church Catholic North Beach/Telegraph Hill 655 Filbert St San Francisco, CA 94133 USA, I have the Sum of US$6M in Citizens Financial Group, Inc before I was diagnosed with cancer leukemia and according to my doctors I have just two or three weeks to live.
So I want you to help me stand as my Next of Kin to enable Citizens Financial Group, Inc Transfer this US$6M to you, note that you will take US$3M out of this US$6M and give the remaining US$3M to any Charity Home here in United State, Africa, Canada, Europe and Asia because that was the vow I made to my God Almighty before I became a Missionary.

I want you to get back to me immediately if you are interested in standing as my Next of Kin, So that I can introduce you to my Lawyer, Bank and direct you on how to proceed before I pass away in this world because I have only two weeks to live according to my Doctor. I await your urgent response.

Thanks,
Missionary Carol Mitchell.
Saints Peter and Paul Church
North Beach/Telegraph Hill 655 Filbert St San Francisco, CA 94133 USA

Wenn Du die Mail nur überfliegst, steht da Crypto.com Account Services. Klickst Du auf den Absender, ist es at@mercadata.com. Dazwischen, unsichtbar, stecken Unicode-Zeichen in den Buchstaben von Crypto.com, damit Filter und Suche das Wort nicht sauber erkennen. Du liest die Börse. Der Scanner sieht Buchstabensalat. Der Betreff gibt sich als Bestätigung: jemand will Deine Kontaktnummer ändern, Mail#5877142394, klingt nach Ticket. Outlook hat die Sache mit SCL 1 in den Posteingang gelegt. SPF, DKIM und DMARC sind grün, aber für mercadata.com. Die Häkchen gehören zur Absenderdomain, nicht zur App in Deiner Tasche.

Du musst hier nichts bestätigen. Crypto.com hat keine Nummer für Dich umgestellt, und +49 3082 684924 ist kein Support. Die Mail will, dass Du anrufst. Wer das tut, spricht mit Leuten, die Codes abfragen, Login, notfalls die Wiederherstellungsphrase. Vor ein paar Tagen lag in demselben Postfach schon eine Crypto.com-Mail, die eine Abhebung stoppen wollte. Andere Domain, anderer Film, gleiche Marke auf der Stirn. Hier geht es ums Telefon.

Eine Bestätigung, die nicht weiß, von wem sie ist

Crypto.com schreibt nicht von mercadata.com. Die echte Domain ist crypto.com, ohne unsichtbare Zeichen, ohne mail2-Theater. Der Anzeigenname ist extra so gebaut, dass Menschen „Crypto.com“ sehen und Maschinen es schwerer haben. Dieselbe Idee wie bei anderen Mails, in denen mitten im Betreff Zeichen liegen, die Du nicht siehst.

Und dann der Text. Er redet in der Ich-Form: I have submitted a request to update my registered contact number through your call center service. This letter serves as written confirmation. Das ist der Ton eines Kunden, der der Börse einen Brief schickt. Oben steht Account Services. Unten Account Security Team. In der Mitte ein Mensch, der seine eigene Nummer umstellt. Drei Rollen, eine Vorlage. Die Referenz heißt CHG-2026-XXXXX, und XXXXX steht wirklich so da, fünf X, kein Generator hat sich die Mühe gemacht, fünf Ziffern zu würfeln. Date & Time verspricht eine Uhrzeit und liefert nur Wednesday, June 17, 2026. Status ist einmal Pending Review, einmal Verification Required. Beides gleichzeitig, beides dringend.

Der Trick ist alt und funktioniert trotzdem: If you authorized this request, no further action. If you did not, call immediately. Hast Du nichts beantragt, sollst Du anrufen. Bist Du unsicher, auch. Die Nummer ist das eigentliche Ziel, nicht die Tabelle.

Oben Callcenter, unten Justiz und Immobilien

Die Karte selbst ist brav. Weiß, Logo als cid-Anhang (den würde ich nicht öffnen), Dear Valued Customer, gelber Streifen Request Status, eine kleine Tabelle. Call Center Support, rund um die Uhr, die Telefonnummer als tel-Link. +49 3082 684924, Berliner Vorwahl. Crypto.com ist keine Berliner Behörde. Sincerely, Account Security Team. Unten: automated security notification, please do not reply, Copyright 2026, ohne Firmennamen. Wer wirklich die Börse ist, schreibt den Namen ins Copyright.

Dann kommt das Seltsame. Unter der Karte liegen Dutzende leere Zeilen, absichtlich, damit Du im normalen Fenster nur den Crypto-Teil siehst. Scrollst Du weiter, fängt ein zweiter Brief an: United States Department of Justice, Victim Notification System. Du wärst Opfer oder mögliches Opfer in einem Strafverfahren. Bitte E-Mail verifizieren. Der Link geht auf google.com. Danach ein Zillow-Home-Loans-Disclaimer, NMLS, Irvine in Kalifornien, in der Telefonnummer wieder unsichtbare Zeichen. Zum Schluss unterschreiben Adam Mildred als United States Attorney und Laura Nunez als Victim Witness Specialist.

Das hat mit Deiner Mobilnummer nichts zu tun. Das ist Futter für Spamfilter. DOJ, Hypotheken, US-Staatsanwalt, Crypto.com, alles in einer Datei, plus Anhang. Scanner sehen viele harmlose Wörter. Du siehst, wenn Du zu Ende liest, dass jemand drei Briefköpfe in denselben Umschlag gesteckt hat. Ein VNS-Link auf Google ist nicht das US-Justizministerium.

An geht an eine no-reply-Adresse, die wie Crypto.com aussehen soll, wieder mit unsichtbaren Zeichen. In CC steht customer@email2.crypto.com. Bei Dir ist die Mail trotzdem angekommen. Angeredet wirst Du als Dear Valued Customer. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier nicht mal das, nur die Schablone.

Google-Postfach, zwei Mailprogramme, ein Anhang

Geschickt hat at@mercadata.com. Im Google-Header steht noch dk@mercadata.com als Original-From. Der Weg geht über smtp.gmail.com, davor ein Host namens meocloud. DKIM ist mercadata.com mit Google-Selector, also Workspace auf einer Domain, die nicht der Börse gehört. Die Message-ID kommt von Gmail. Im X-Mailer stehen zwei Namen: Sendgrid Default Mailer, extra mit Zufallsstring, und SaintFelicite Mail Platform. Dazu eine Wolke Tracking-Felder, Kampagne, Batch, Feedback-Loop, sogar ein Abo-Link auf mercadata.com.

Auto-Submitted sagt auto-generated. Lesebestätigungen sollen an im@mercadata.com. Missbrauch an abuse@mercadata.com. Die Domain spielt Newsletter. Eine echte Nummernänderung in der Crypto.com-App braucht keinen Newsletter und keinen Anhang.

Der Anhang ist da. Logo per cid, Outlook sagt hasAttachments. Nicht öffnen, auch nicht „nur das Bild“. Bei den Gehalts- und Rechnungsmails in diesem Postfach gilt dasselbe.

Was passiert, wenn Du anrufst

Du rufst an, weil angeblich jemand Deine Nummer am Call Center umgestellt hat. Ab, es ist das Call Center. Sie müssen nur kurz verifizieren: letzte Bewegung, SMS-Code, Wiederherstellungssatz, Bildschirm teilen. Mail#5877142394 und CHG-2026-XXXXX sind die Stichworte für das Gespräch, damit es nach Vorgang klingt. 24 Hours / 7 Days heißt, irgendwer hebt immer ab.

In der App stellst Du eine Nummer um, wenn Du das wirklich willst. Nicht über diesen Brief. Nicht über diese +49.

Nicht anrufen. Nichts in der Mail antippen. Den Anhang in Ruhe lassen. Dem DOJ-Absatz, Zillow und Laura Nunez musst Du nicht glauben, die gehören zur Verpackung.

Es gab keinen Request. Löschen reicht.

Der Mailtext (ohne Links)

Absender: Crypto.com Account Services, mit unsichtbaren Zeichen im Namen (at@mercadata.com)
An: eine no-reply-Adresse, die wie Crypto.com aussehen soll
Betreff: Confirmation of Your Contact Number Change Request. Mail#5877142394
Datum: 17. Juni 2026
Anhang: ja (nicht öffnen)

Dear Valued Customer,

I am writing to formally notify you that I have submitted a request to update my registered contact number through your call center service. This letter serves as written confirmation of that request and provides the relevant details for your records.

Request Status: Pending Review

Reference Number: CHG-2026-XXXXX
Date & Time: Wed, June 17, 2026
Status: Verification Required

If you authorized this request, no further action is required at this time.

If you did not request this change, please contact our Call Center immediately to prevent unauthorized access to your account.

Call Center Support
Phone: +49 3082 684924
Hours: 24 Hours / 7 Days

Thank you for helping us keep your account secure.

Sincerely,
Account Security Team

This is an automated security notification. Please do not reply to this email.
© 2026 All Rights Reserved.

(Darunter, nach vielen Leerzeilen: DOJ Victim Notification System, Link ohne URL, Zillow-Home-Loans-Disclaimer, Adam Mildred / Laura Nunez.)

Ledger im From-Namen. Die Adresse dahinter: noreply@ auf bilo-4cae2.firebaseapp.com. Betreff: Attention: Device Update Verification Pending. Der Inhalt redet von Uniswap, DEX, unlimited Token Approval. Zwei Kostüme, eine Klickfläche. Ledger schickt keine Firmware-Mails von Firebase, und Ledger überwacht Deine DEX-Trades nicht per Newsletter.

Es gibt kein Device-Update, das Du in dieser Mail bestätigen musst. Es gibt keine verdächtige Uniswap-Transaktion, die Ledger für Dich gefunden hat. Es gibt keine 24 Wörter, die Du irgendwo eingeben sollst. Das ist Wallet-Phishing. Wer klickt, landet auf salomas.cv. Kapverden-TLD, Subdomain touranajafreee. Nicht ledger.com.

Das ist kein Ledger, kein Update, keine DEX-Warnung

Vorweg klar: Ledger SAS schreibt Dir nicht von firebaseapp.com. Die echte Firma sitzt in Paris, die echte Domain ist ledger.com, die echte App ist Ledger Live, die Du selbst startest. Eine Firebase-App mit Zufalls-ID bilo-4cae2 ist ein Wegwerf-Host. Jeder kann dort eine Seite hochladen. Der Display-Name Ledger ist HTML-Theater.

Der Betreff sagt Device Update Verification Pending. Der Körper sagt Potentially Suspicious DEX Activity Identified. Firmware und Dezentrale Börse in einer Mail, als hätte jemand zwei Templates übereinandergelegt. HIGH RISK ACTIVITY. Immediate Action Required. Time Detected Today, 14:32 UTC, ohne Datum. Wallet-Adresse abgeschnitten. Contract Address abgeschnitten. 12.5 ETH nach 38,450 USDC, Gas 0.034 ETH, 120.50 Dollar. Inventar. Wer eine echte On-Chain-Warnung schickt, verlinkt den Tx-Hash auf Etherscan, nicht vier Buttons auf dieselbe Store-Domain.

Die Mail will zwei Dinge, die Ledger nie per E-Mail will: dass Du in Ledger Live gehst (über ihren Link) und dass Du irgendwo eine Recovery Phrase eintippst. Der Satz steht ausdrücklich da: Never enter your 24-word recovery phrase anywhere online. Klingt nach Sicherheitshinweis. Steht in einer Mail, deren einziger Job der Klick ist. Seed-Phishing mit Warnschild.

Was die Karte Dir erzählt

Oben LEDGER. Dann die DEX-Panik. Irregular transaction behavior, connected wallet, prompt review. Uniswap v3 Router Interaction. Network Ethereum Mainnet. Transaction Type Unlimited Token Approval. Eine Tabelle, die wie ein Security-Dashboard aussieht. Status: Pending Approval.

Dann der Absatz, der Ledger-Nutzer als Zielgruppe nennt: This activity pattern matches known phishing attempts targeting Ledger users. Die Phishing-Mail warnt vor Phishing. Danach Recommended Actions: Router-Adresse prüfen, revoke with Revoke.cash or Etherscan, browser extensions, never enter 24-word, consider transferring assets to a new wallet. Alles echte Ratschläge, nur dass Review Activity in Ledger Live und Learn About DEX Security und Security Center und Ledger Support dieselbe URL haben: touranajafreee.salomas.cv/en/

Footer: © 2026 Ledger SAS, 1 Rue du Mail, 75002 Paris. Die Adresse der echten Firma unter einem Firebase-Absender. This is an automated message. Please do not reply. Reply-To ist trotzdem no-reply@ledger.com. Der Header klaut den Namen, der Footer klaut die Straße, der Button klaut die App.

Keine Anrede. Die Empfängerzeile ist die Kontaktadresse der Website, nicht Dein Name. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name? Hier nicht mal das. Hier ist nur LEDGER und Panik.

Die Absender sind Firebase plus Weiterleitung

From: Ledger, noreply@bilo-4cae2.firebaseapp.com. DKIM: firebaseapp.com, pass. DMARC: permerror. Reply-To: no-reply@ledger.com, als wäre das der Support. Message-ID auf google.com, Nullen und Hex, Firebase-Versand.

Die Mail ist erst an die Website-Adresse gegangen und von dort weiter ins Postfach. Deshalb steht im Return-Path ein SRS-Rewrite über die Website-Domain, SPF pass für diese Domain, HELO ein Outlook-Outbound. SCL −1, Zielordner Inbox, TrustedRecipientList. Die Filter sehen: kommt von uns, Empfänger auf der Vertrauensliste. Sie sehen nicht: Firebase-From, Kapverden-Link, zwei Betreff-Welten.

Genau das ist der Punkt. Wer nur den Ordner prüft, sieht Posteingang und denkt Ledger. Wer From prüft, sieht firebaseapp.com. Wer klickt, sieht salomas.cv. Drei Ebenen, eine Lüge.

Was nach dem Klick passieren soll

Crypto-Drainer. Unlimited Token Approval ist das Stichwort. Die Fake-Ledger-Live-Seite will Connect Wallet, Seed, oder eine Transaktion, die den Vertrag freigibt. Danach ist das Konto leer, nicht „verified“. Transfer to a new secure wallet in der Mail ist die Aufforderung, selbst mitzumachen.

Echtes Ledger Live kommt aus dem Store oder von ledger.com, die Du selbst eintippst. Firmware kommt über die App am USB-Gerät. Niemand schickt 24 Wörter per Formular. Niemand hostet Support auf Firebase-Zufallsprojekten.

Was Du tun solltest

Nichts klicken. Nicht Review Activity. Nicht Security Center. Nicht die Recovery Phrase, auch nicht „nur zum Prüfen“.

Wenn wirklich etwas an der Hardware oder an einer Approval hängt: Gerät per Kabel, App vom Hersteller, Revoke über eine Seite, die Du selbst eintippst, nicht über diese Mail. Ein Device-Update von firebaseapp.com mit Uniswap im Bauch ist kein Update.

Kurz: Ledger-Name, Firebase-From, Betreff Update, Text DEX, Link Kapverden. Löschen. Es gab keine Transaktion um 14:32.

Der Mailtext (ohne Links)

Absender: Ledger (noreply@bilo-4cae2.firebaseapp.com; Reply-To no-reply@ledger.com)
An: die Kontaktadresse der Website
Betreff: Attention: Device Update Verification Pending
Datum: 19. März 2026

LEDGER
Potentially Suspicious DEX Activity Identified
Irregular transaction behavior has been detected on your connected wallet — prompt review is strongly recommended.

Our monitoring system has flagged unusual activity associated with your Ledger-secured wallet while interacting with a decentralized exchange. This could suggest a possible attempt to gain unauthorized access to your assets.

Uniswap v3 Router Interaction
HIGH RISK ACTIVITY
Time Detected Today, 14:32 UTC
Network Ethereum Mainnet
Transaction Type Unlimited Token Approval
Contract Address 0xC36442b4a4522E871399CD717aBD..1a3b
Assets Involved 12.5 ETH → 38,450 USDC
Wallet Address 0x742d35Cc6634C0532925a3b..C891
Gas Fee 0.034 ETH ($120.50)
Status Pending Approval

Immediate Action Required
This activity pattern matches known phishing attempts targeting Ledger users. The transaction requests unlimited token approvals to a suspicious contract address. If you did not initiate this transaction, your assets may be at risk.

Recommended Actions
If you initiated this transaction: Verify that you’re interacting with the legitimate Uniswap v3 router. If unsure, revoke the approval immediately.
If this activity is unexpected: Immediately revoke token approvals using Revoke.cash or Etherscan. Check for suspicious browser extensions or compromised dApps. Never enter your 24-word recovery phrase anywhere online. Consider transferring assets to a new secure wallet address.

Review Activity in Ledger Live
Learn About DEX Security
Need help? Visit our Security Center or contact Ledger Support

© 2026 Ledger SAS. All rights reserved. | 1 Rue du Mail, 75002 Paris, France
This is an automated message. Please do not reply to this email.