Eine neue Untersuchung hat nun eine Zahl für etwas genannt, worüber sich jeder Krypto-Nutzer Sorgen machen sollte.

Das Threat-Intelligence-Unternehmen Infoblox identifizierte 236,493 verschiedene Second-Level-Domains, die alle auf dem gleichen chinesischen Open-Source-App-Framework, DCloud Uni-App, basieren. Ein Großteil dieser Domains dient nur einem Zweck: dem Plündern von Krypto-Wallets und dem Betrieb gefälschter Börsen. Das Framework selbst ist völlig legitim und wird von Entwicklern weltweit genutzt, um Apps für iOS, Android und das Web mit einer einzigen Codebasis zu veröffentlichen. Genau diese einfache Handhabung macht es für Betrüger so attraktiv. Sie erhalten innerhalb von Tagen statt Monaten eine professionelle, mobile-optimierte Fake-Börse oder ein gefälschtes Investment-Dashboard, und der zugrundeliegende Code ist von dem tausender echter Startups nicht zu unterscheiden.

Warum dies schlimmer ist als die übliche Flut an Betrugsseiten

Die Zahlen sprechen für sich und zeigen, wie schnell die Situation außer Kontrolle geriet. Vor Oktober 2024 verzeichnete Infoblox monatlich einige Tausend neue, mit DCloud-Daten identifizierte Betrugsseiten – bereits eine beträchtliche Menge. Nachdem der RainbowEx-Skandal im Herbst desselben Jahres international für Schlagzeilen sorgte, schnellte die Zahl auf bis zu 15,000 neu entdeckte Seiten pro Monat in die Höhe. Betrüger hatten die Berichterstattung offenbar zur Kenntnis genommen und beschlossen, die Vorgehensweise in großem Stil zu kopieren, anstatt sie aufzugeben. Die Seiten zielen auf Nutzer von mindestens acht Sprachen ab und sind auf allen Kontinenten verbreitet. Sie geben sich als alles Mögliche aus, von großen Börsen über Einzelhandelsriesen bis hin zu Messaging-Plattformen. Die meisten werden auf Cloudflare, AWS, Alibaba Cloud und Tencent Cloud gehostet, wodurch sie sich nahtlos in die Online-Welt echter Unternehmen einfügen und einfache IP-Sperrlisten praktisch wirkungslos machen.

Few RainbowEx und die argentinische Stadt, die ausgelöscht wurde

Wer verstehen will, was Opfer tatsächlich erleben, findet im Fall RainbowEx ein Paradebeispiel. Im Jahr 2024 investierten Einwohner von San Pedro, Argentinien, viel Geld in eine scheinbar seriöse Kryptowährungsbörse. Das Dashboard zeigte Live-Transaktionen an, die Kontostände stiegen stetig, und Einzahlungen in Stablecoins liefen problemlos. Doch dann funktionierten keine Auszahlungen mehr. Tausende Menschen in der kleinen Stadt entdeckten, dass die Transaktionen manipuliert, die Kontostände gefälscht und die Betreiber verschwunden waren. Die argentinischen Behörden verhafteten später sieben mutmaßliche Beteiligte, doch der Großteil des Geldes ist weg. Das gleiche System, lediglich mit kosmetischen Änderungen am Branding, ist nun auf einem messbaren Anteil der 236,000 Domains aktiv.

Was ein durchschnittlicher Händler tatsächlich tun sollte

Hier gibt es keine einfache Lösung, da die zugrundeliegende Software legitim ist und die Hosting-Anbieter etablierte Cloud-Anbieter sind, die nicht ihre gesamte Kundschaft sperren können. Etwa 6 % der bestätigten Betrugsdomains liefen auf sicheren Hosting-Plattformen wie CTG Server Limited, die bereits wegen betrügerischer Aktivitäten aufgefallen sind. Zumindest in diesen Fällen ist der Täter also klar identifiziert. Die übrigen Domains verstecken sich im normalen Datenverkehr. Wer eine neue Börse, eine Airdrop-Seite oder eine Investitionsmöglichkeit aus einer Telegram-Gruppe, einem WhatsApp-Chat oder einer Twitter-Direktnachricht prüft, sollte sich von der professionellen Gestaltung der Website nicht täuschen lassen. Prüfen Sie, ob das Unternehmen irgendwo registriert ist, ob Auszahlungen kleiner Beträge funktionieren, bevor Sie größere Beträge überweisen, und ob die Domain in den letzten Monaten registriert wurde. Wenn Ihnen eine dieser Fragen verdächtig vorkommt, sollten Sie Abstand nehmen. Weitere technische Details finden Sie auf Hacker News .

Die Erkenntnis aus dieser Zählung ist zwar unangenehm, aber wichtig. Die Kryptobetrugsszene besteht nicht mehr aus einer verstreuten Ansammlung einzelner Webseiten, die von Betrügern im Keller erstellt wurden. Sie ist eine industrielle Produktionslinie, die mit gemeinsam genutzten Tools, gängigen Hosting-Anbietern und bewährten Methoden arbeitet. Und 236,000 solcher Webseiten sind nur die, die sichtbar genug waren, um gezählt zu werden. Behandeln Sie jeden unbekannten Link zu einer Kryptobörse so, wie Sie eine unerwünschte E-Mail behandeln würden, in der nach Ihrem Passwort gefragt wird, denn in diesem Ausmaß stehen die Chancen schlecht für Sie.