Eine neue Untersuchung hat nun eine Zahl für etwas genannt, worüber sich jeder Krypto-Nutzer Sorgen machen sollte.

Das Threat-Intelligence-Unternehmen Infoblox identifizierte 236,493 verschiedene Second-Level-Domains, die alle auf dem gleichen chinesischen Open-Source-App-Framework, DCloud Uni-App, basieren. Ein Großteil dieser Domains dient nur einem Zweck: dem Plündern von Krypto-Wallets und dem Betrieb gefälschter Börsen. Das Framework selbst ist völlig legitim und wird von Entwicklern weltweit genutzt, um Apps für iOS, Android und das Web mit einer einzigen Codebasis zu veröffentlichen. Genau diese einfache Handhabung macht es für Betrüger so attraktiv. Sie erhalten innerhalb von Tagen statt Monaten eine professionelle, mobile-optimierte Fake-Börse oder ein gefälschtes Investment-Dashboard, und der zugrundeliegende Code ist von dem tausender echter Startups nicht zu unterscheiden.

Warum dies schlimmer ist als die übliche Flut an Betrugsseiten

Die Zahlen sprechen für sich und zeigen, wie schnell die Situation außer Kontrolle geriet. Vor Oktober 2024 verzeichnete Infoblox monatlich einige Tausend neue, mit DCloud-Daten identifizierte Betrugsseiten – bereits eine beträchtliche Menge. Nachdem der RainbowEx-Skandal im Herbst desselben Jahres international für Schlagzeilen sorgte, schnellte die Zahl auf bis zu 15,000 neu entdeckte Seiten pro Monat in die Höhe. Betrüger hatten die Berichterstattung offenbar zur Kenntnis genommen und beschlossen, die Vorgehensweise in großem Stil zu kopieren, anstatt sie aufzugeben. Die Seiten zielen auf Nutzer von mindestens acht Sprachen ab und sind auf allen Kontinenten verbreitet. Sie geben sich als alles Mögliche aus, von großen Börsen über Einzelhandelsriesen bis hin zu Messaging-Plattformen. Die meisten werden auf Cloudflare, AWS, Alibaba Cloud und Tencent Cloud gehostet, wodurch sie sich nahtlos in die Online-Welt echter Unternehmen einfügen und einfache IP-Sperrlisten praktisch wirkungslos machen.

Few RainbowEx und die argentinische Stadt, die ausgelöscht wurde

Wer verstehen will, was Opfer tatsächlich erleben, findet im Fall RainbowEx ein Paradebeispiel. Im Jahr 2024 investierten Einwohner von San Pedro, Argentinien, viel Geld in eine scheinbar seriöse Kryptowährungsbörse. Das Dashboard zeigte Live-Transaktionen an, die Kontostände stiegen stetig, und Einzahlungen in Stablecoins liefen problemlos. Doch dann funktionierten keine Auszahlungen mehr. Tausende Menschen in der kleinen Stadt entdeckten, dass die Transaktionen manipuliert, die Kontostände gefälscht und die Betreiber verschwunden waren. Die argentinischen Behörden verhafteten später sieben mutmaßliche Beteiligte, doch der Großteil des Geldes ist weg. Das gleiche System, lediglich mit kosmetischen Änderungen am Branding, ist nun auf einem messbaren Anteil der 236,000 Domains aktiv.

Was ein durchschnittlicher Händler tatsächlich tun sollte

Hier gibt es keine einfache Lösung, da die zugrundeliegende Software legitim ist und die Hosting-Anbieter etablierte Cloud-Anbieter sind, die nicht ihre gesamte Kundschaft sperren können. Etwa 6 % der bestätigten Betrugsdomains liefen auf sicheren Hosting-Plattformen wie CTG Server Limited, die bereits wegen betrügerischer Aktivitäten aufgefallen sind. Zumindest in diesen Fällen ist der Täter also klar identifiziert. Die übrigen Domains verstecken sich im normalen Datenverkehr. Wer eine neue Börse, eine Airdrop-Seite oder eine Investitionsmöglichkeit aus einer Telegram-Gruppe, einem WhatsApp-Chat oder einer Twitter-Direktnachricht prüft, sollte sich von der professionellen Gestaltung der Website nicht täuschen lassen. Prüfen Sie, ob das Unternehmen irgendwo registriert ist, ob Auszahlungen kleiner Beträge funktionieren, bevor Sie größere Beträge überweisen, und ob die Domain in den letzten Monaten registriert wurde. Wenn Ihnen eine dieser Fragen verdächtig vorkommt, sollten Sie Abstand nehmen. Weitere technische Details finden Sie auf Hacker News .

Die Erkenntnis aus dieser Zählung ist zwar unangenehm, aber wichtig. Die Kryptobetrugsszene besteht nicht mehr aus einer verstreuten Ansammlung einzelner Webseiten, die von Betrügern im Keller erstellt wurden. Sie ist eine industrielle Produktionslinie, die mit gemeinsam genutzten Tools, gängigen Hosting-Anbietern und bewährten Methoden arbeitet. Und 236,000 solcher Webseiten sind nur die, die sichtbar genug waren, um gezählt zu werden. Behandeln Sie jeden unbekannten Link zu einer Kryptobörse so, wie Sie eine unerwünschte E-Mail behandeln würden, in der nach Ihrem Passwort gefragt wird, denn in diesem Ausmaß stehen die Chancen schlecht für Sie.

Innerhalb der sogenannten „Schweineschlachtungs“-Pipeline

Die dahinter steckenden Betrugsmaschen sind den meisten Krypto-Nutzern bereits bekannt, selbst wenn sie nicht direkt betroffen sind. Es handelt sich um die altbekannten Liebes- und Freundschaftsbetrügereien, die mit einer SMS an die falsche Nummer oder einem allzu freundlichen Gespräch beginnen. LinkedIn Die Masche beginnt mit einer Nachricht, zieht sich über Monate hin und endet damit, dass das Opfer durch eine gefälschte Handelsplattform geführt und aufgefordert wird, Kryptowährung einzuzahlen. Der in der Branche übliche, aus dem Mandarin entlehnte Begriff dafür lautet „Schweineschlachtung“ – das Opfer wird emotional gefügig gemacht, bevor es finanziell ruiniert wird. Das US-Justizministerium wirft der Prince Group vor, genau diese Vorgehensweise im industriellen Maßstab angewendet und in ganz Kambodscha Anlagen betrieben zu haben, in denen Zwangsarbeiter unter Androhung von Gewalt gezwungen wurden, die vorgegebenen Abläufe umzusetzen. Laut Staatsanwaltschaft waren die Anlagen von hohen Mauern und Stacheldraht umgeben und glichen eher Gefängnissen als Büros.

Die Operation Blackout ist ein Dachprojekt, das mindestens vier separate Ermittlungen umfasst. Der Fall der Prince Group trägt den Namen Operation Zephyr Exodus. Ein zweiter Strang, die Operation Sand Dollar, zielte auf betrügerische Anwesen in den Vereinigten Arabischen Emiraten ab und führte mit Unterstützung der örtlichen Polizei zur Festnahme von 275 Personen in Dubai. Sechs von ihnen sollen nun zur Auslieferung nach San Diego vor einem Bundesgericht ausgeliefert werden. Das US-Justizministerium wirft den Beschuldigten vor, in jedem der neun durchsuchten Anwesen in Dubai jährlich rund sechs Millionen US-Dollar an Betrugsgeldern erwirtschaftet zu haben. Die weiteren Operationen im Rahmen von Blackout decken verwandte Zellen in ganz Südostasien ab, in Zusammenarbeit mit Strafverfolgungsbehörden in Großbritannien und anderen Partnerländern.

Weiterreichende Implikationen...

Die entscheidende Zahl sind nicht die 8 Milliarden Dollar. Vielmehr ist es die Zahl, die das Internet Crime Complaint Center (ICCC) des FBI Anfang des Monats veröffentlichte: Fast 72,000 Anzeigen im vergangenen Jahr im Zusammenhang mit Betrug bei Kryptowährungsinvestitionen, mit gemeldeten Verlusten von über 7.5 Milliarden Dollar. Das ist mehr als der Gesamtschaden der meisten Börsen-Hacks zusammengenommen, und fast alle Verluste sollen von Privatpersonen und nicht von Institutionen stammen. Das FBI gibt außerdem an, dass sein Programm „Operation Level Up“, das Personen, die sich mitten in einem Betrugsversuch befinden, proaktiv warnt, bisher fast 9,000 Opfer identifiziert hat. 77 Prozent von ihnen wussten nichts von dem Betrug. Dem Programm wird zugeschrieben, Verluste von über 560 Millionen Dollar verhindert zu haben, bevor das Geld überhaupt transferiert werden konnte.

Für Trader und langfristige Anleger ist die praktische Erkenntnis zwar unangenehm, aber nützlich. Die größte Bedrohung für die meisten Krypto-Privatanleger ist derzeit weder die Ausnutzung von Smart Contracts noch der Zusammenbruch einer zentralisierten Börse. Es ist vielmehr ein Fremder, der drei Monate lang vorgibt, sich für Ihr Wochenende zu interessieren, bevor er Ihnen eine Wallet-Adresse nennt. Alles, was unaufgefordert eintrifft, insbesondere alles, was mit einem Link zu einer Ihnen unbekannten „Investitionsplattform“ endet, verdient dasselbe Misstrauen wie ein Scheck von einem nigerianischen Prinzen. Die Tatsache, dass die US-Regierung gerade 8 Milliarden Dollar dieser Gelder zurückgefordert hat, bedeutet nicht, dass der Geldfluss versiegt ist. Es bedeutet lediglich, dass wir nun endlich wissen, wie groß dieser Geldfluss tatsächlich ist.

Was mit den beschlagnahmten Coins geschieht, ist noch völlig offen. Das US-Justizministerium hat signalisiert, dass die Bitcoins einem formellen Einziehungsverfahren unterzogen werden, das Jahre dauern kann, und dass die Regierung versuchen wird, die Gelder nach Möglichkeit an identifizierbare Opfer zurückzuerstatten. In der Praxis sind diese Rückführungen jedoch meist nur teilweise und langwierig. Der Rest könnte in die Auktionskette des US Marshals Service gelangen oder, abhängig von den politischen Entscheidungen in Washington, in die strategische Bitcoin-Reserve des Landes aufgenommen werden. So oder so handelt es sich um die größte jemals verzeichnete Bitcoin-Übertragung von Kriminellen an die US-Regierung. Für eine Anlageklasse, die ihr erstes Jahrzehnt lang argumentierte, sie sei für die traditionelle Strafverfolgung unantastbar, ist dies ein bemerkenswerter Moment.