BAYC Instagram-Hack: NFT Scam-as-a-Service und die AML-Warnsignale
Ein koordinierter Angriff auf das Instagram-Konto und den Discord-Server des Bored Ape Yacht Club während des Otherside-Metaverse-Mints im April 2022 kostete die Opfer schätzungsweise 13,7 Millionen US-Dollar in NFTs und ETH. Was zunächst wie eine opportunistische Phishing-Kampagne aussah, wurde später durch On-Chain-Analysen und Domain-Intelligence mit einer möglichen NFT-Scam-as-a-Service-Operation (NFT SaaS) in Verbindung gebracht. Für Wirtschaftsprüfungsgesellschaften, Auditoren und CFOs mit jeglichem Engagement in digitalen Assets ist das Muster aus Diebstahl, schneller Liquidierung von Vermögenswerten und Layering über mehrere Börsen genau die Art von Typologie, die die Abdeckung der Transaktionsüberwachung und die NFT-Gegenparteirichtlinien einem Belastungstest unterzieht.
Was geschah: Die Angriffssequenz
Der Bored Ape Yacht Club gehört zu den weltweit bekanntesten NFT-Kollektionen, eine Sammlung von 10.000 einzigartigen digitalen Affen, die lange vor dem Otherside-Launch zu einem kulturellen und finanziellen Statussymbol geworden war. Die Floor-Preise lagen damals bei rund 200.000 US-Dollar pro NFT, und die Nachfrage nach dem neuen Metaverse-Mint war intensiv, was idealen Schutz für böswillige Akteure bot.
Die Kompromittierung von Instagram und Discord
Bevor das Mint-Fenster sich öffnete, erlangten nicht identifizierte Angreifer die Kontrolle über das verifizierte Instagram-Konto von BAYC und veröffentlichten einen Link zu einer gefälschten Minting-Seite. Die URL war so gestaltet, dass sie legitim erschien. Nutzer, die ihre Krypto-Wallets verbanden, wurden unwissentlich aufgefordert, eine safeTransferFrom-Transaktion zu signieren, eine standardmäßige ERC-721-Funktion, die in diesem Kontext stillschweigend ihre NFTs auf die Wallet des Angreifers übertrug. Der Discord-Server wurde ebenfalls kompromittiert. An einem einzigen Tag erreichten die direkten Verluste durch gestohlene NFTs und ETH etwa 2,4 Millionen US-Dollar. BAYC selbst schätzte die Gesamtverluste, einschließlich der Differenz zwischen den von den Angreifern erzielten Notverkaufspreisen und dem zugrunde liegenden Marktwert der gestohlenen Vermögenswerte, auf rund 13,7 Millionen US-Dollar.
Nachahmer-Websites nach dem Mint
Der Angriff endete nicht mit dem Instagram-Phishing. Weitere gefälschte Websites, die die legitime Otherside-Plattform nachahmten, erschienen in den Stunden und Tagen nach dem Mint. Ein Beispiel, otlherside[.]xyz, wurde über einen nachahmenden Twitter-Account beworben, bevor er gesperrt wurde. Ermittler von TRM Labs identifizierten etwa 170 solcher Domains durch eine Kombination aus Domain-Intelligence, linguistischer Analyse und On-Chain-Korrelation. Die Konsistenz, mit der diese Websites eingesetzt wurden, ihre visuellen und strukturellen Ähnlichkeiten und gemeinsame Finanzierungs-Fingerabdrücke deuten auf eine zentralisierte Operation hin und nicht auf unabhängige Nachahmer.
On-Chain-Geldflüsse und das Layering-Muster
Blockchain-Forensik offenbarte eine Layering-Struktur, die Compliance-Fachleute sofort erkennen werden. Die gestohlenen NFTs wurden auf dem LooksRare-Marktplatz in WETH umgewandelt, ein schneller Liquidierungsschritt, der illiquide gestohlene Vermögenswerte in eine fungiblere Form überführte. Der Angreifer transferierte dann ETH und WETH auf ein zweites externes Konto (EOA), praktisch eine zweite Wallet unter separater Kontrolle, bevor er die Erlöse in kleinere Tranchen aufteilte und sie über fünf verschiedene zentralisierte Börsen einzahlte.
Geldmuli-Konten und KYC-Betrugsrisiko
In vergleichbaren Fällen, die TRM-Ermittler beobachtet haben, werden Konten dieser Art häufig von Geldmulis betrieben oder mit gestohlenen oder gefälschten KYC-Nachweisen eröffnet. Die Erlöse werden dann entweder in andere digitale Assets getauscht, um die Spur weiter zu verschleiern, oder in Fiat-Währung abgehoben. Die Nutzung mehrerer Börsen ist eine bewusste Strategie, um die Einzahlungsgröße pro Börse zu reduzieren und unter internen Überwachungsschwellen zu bleiben.
Entscheidend ist, dass TRMs Analyse darauf hindeutete, dass einige Finanzierungen vor dem Angriff für die beiden identifizierten Hacker-Wallets mit einem separaten Phishing-Betrug in Verbindung stehen könnten, der sich Anfang April 2022 ereignete, dem Revoke.site-Vorfall. Diese finanzielle Verknüpfung über separate Vorfälle hinweg ist ein Kennzeichen organisierter krimineller Infrastruktur und nicht von Einzeltätern.
Die NFT-Scam-as-a-Service-Hypothese
Der Begriff "Scam-as-a-Service" hat einen etablierten Präzedenzfall in der Cyberkriminalität und umfasst Operationen, bei denen ein zentraler Anbieter Tools, Infrastruktur und manchmal Personal bereitstellt, um mehrere Betrugskampagnen gleichzeitig zu ermöglichen. Die Identifizierung von etwa 170 Nachahmer-Websites durch TRM Labs, mit konsistenter Bereitstellungsmethodik und offensichtlichen finanziellen Verbindungen über Vorfälle hinweg, wirft die glaubwürdige Möglichkeit auf, dass NFT SaaS jetzt ein Betriebsmodell im Bereich digitaler Assets ist.
Strukturelle Parallelen zu anderen organisierten Machenschaften
Der Ansatz ist strukturell ähnlich wie Phishing-as-a-Service-Kits, die im traditionellen Finanzbetrug zu sehen sind, wo eine kriminelle Gruppe die Infrastruktur aufbaut und andere dafür bezahlen, Kampagnen gegen ausgewählte Ziele durchzuführen. Wenn dieses Modell auf NFT-Mints angewendet wurde, hat es erhebliche Auswirkungen auf das Ausmaß potenzieller zukünftiger Angriffe. Jeder hochkarätige NFT-Launch oder Token-Mint wird zu einem potenziellen Ziel fenster, und Wirtschaftsprüfungsgesellschaften, die Kunden mit NFT-Treasury-Beständen oder NFT-nahen Geschäftsbereichen beraten, sollten dieses Risiko als wiederkehrend und nicht als außergewöhnlich betrachten.
Eine zusätzliche Dynamik, die in einer Studie von CUJO AI festgestellt wurde, ist, dass Betrüger selbst manchmal Opfer von NFT-SaaS-Systemen werden, was auf eine mehrstufige kriminelle Hierarchie hindeutet, in der der Infrastrukturanbieter bereit ist, genau die Akteure zu betrügen, die seine Plattform nutzen.
Regulatorischer Kontext: NFTs, AML und Wertpapierrecht
Der Angriff fiel mit einer Phase zunehmender regulatorischer Prüfung des NFT-Marktes zusammen. Die SEC untersuchte damals, ob bestimmte NFTs nach US-Recht Wertpapiere darstellen, eine Frage mit direkten Auswirkungen darauf, wie Unternehmen NFT-Bestände klassifizieren und bilanzieren. Das Justizministerium hatte separat gegen die Schöpfer des Frosties-NFT-Projekts wegen Betrugs und Geldwäsche ermittelt. Gesetzgeber im Bundesstaat New York prüften Gesetze, die sogenannte "Rug Pulls" und bestimmte Formen von Krypto-Betrug unter Strafe stellen würden. Im Vereinigten Königreich erkannten Gerichte NFTs als Privateigentum an, ein Urteil, das die Behandlung beschlagnahmter oder strittiger NFT-Vermögenswerte in Insolvenz- und Vollstreckungsverfahren beeinflusst.
FATF und die Travel-Rule-Lücke bei NFTs
Aus globaler AML-Perspektive nehmen NFTs eine ambivalente Position in der FATF-Guidance ein. Ob eine spezifische NFT-Übertragung in den Anwendungsbereich der Travel Rule fällt, hängt davon ab, ob die NFT als virtueller Vermögenswert eingestuft wird, eine Bestimmung, die je nach Jurisdiktion und wirtschaftlicher Substanz des Tokens variiert. Der BAYC-Vorfall veranschaulicht genau, warum diese Unklarheit operativ kostspielig ist: Die Erlöse flossen über zentralisierte Börsen, die Travel-Rule-Verpflichtungen unterliegen, aber der vorgelagerte Diebstahl und die anfängliche Umwandlung fanden in einem Raum statt, in dem AML-Pflichten bestenfalls uneinheitlich sind. Unternehmen, die sich auf Krypto-Buchhaltungssoftware verlassen, um digitale Asset-Flüsse zu verfolgen, müssen sicherstellen, dass NFT-Transaktionen nicht stillschweigend aus ihren Transaktionsüberwachungspipelines ausgeschlossen werden.
Für einen breiteren Überblick darüber, wie Regulierungsbehörden AML-Abdeckungslücken bei digitalen Assets angehen, sind der Rückzug der FinCEN CVC-Mixing-Regel und die gleichzeitige Überprüfung des CFTC-Rahmens direkt relevanter Kontext.
Praktische Implikationen für Wirtschaftsprüfungsgesellschaften und CFOs
Der BAYC-Vorfall ist nicht nur eine warnende Geschichte für NFT-Sammler. Er hat konkrete operative Auswirkungen für jede professionelle Firma, die digitale Asset-Konten, Bewertungen oder Compliance-Berichterstattung berührt.
Vermögensbewertung und Wertminderung
Durch Phishing-Angriffe gestohlene NFTs werfen sofortige Bilanzierungsfragen auf. Wenn ein Kunde BAYC-NFTs hielt, die ohne Zustimmung übertragen wurden, müssen der Zeitpunkt der Verlustrealisierung, der angemessene Buchwert zum Zeitpunkt des Verlusts und etwaige Versicherungs- oder Wiederherstellungserlöse nach den geltenden Standards behandelt werden. Die Lücke zwischen dem von Angreifern erzielten Notverkaufspreis (der die 2,4 Millionen US-Dollar ergibt) und dem von BAYC geschätzten Verlust des fairen Marktwerts (13,7 Millionen US-Dollar) veranschaulicht, wie stark NFT-Bewertungen in Notverkaufsszenarien auseinandergehen können. Unternehmen, die Software zur Buchhaltung digitaler Assets verwenden, sollten bestätigen, dass ihre Bewertungsmethodik diese Art von Zwangsverkaufsrabatt gegebenenfalls berücksichtigt.
Sorgfaltspflicht gegenüber Gegenparteien und Börsen
Die Geldwäscheroute in diesem Fall führte über fünf zentralisierte Börsen. Wenn einer Ihrer Kunden während des relevanten Zeitfensters Einzahlungen bei oder Auszahlungen von diesen Börsen vorgenommen hat und diese Börsen auch Kunden oder Gegenparteien Ihrer Firma sind, ist das Risiko einer indirekten Exposition gegenüber belasteten Geldern real. Robuste VASP-Sorgfaltspflicht, einschließlich der Überprüfung von AML-Kontrollen auf Börsenebene, ist eine Mindestanforderung. Tools, die Entity-Risikobewertung und Herkunftsnachweis von Geldern bieten und direkt in Ihre Krypto-Buchhaltungssoftware-Workflows integriert sind, reduzieren den manuellen Aufwand hier erheblich.
KYC-Nachweisbetrug als Audit-Risiko
Die Möglichkeit, dass die in diesem Layering verwendeten Börsenkonten mit gestohlenen oder gefälschten KYC-Dokumenten eröffnet wurden, hat Auswirkungen auf Auditoren. Eine Firma, die eine Börse, einen Krypto-Fonds oder eine Einheit prüft, die im relevanten Zeitraum Kunden aufgenommen hat, steht vor der Frage, ob die KYC-Prozesse ihres Kunden robust genug waren, um synthetische oder gestohlene Identitätsdokumente zu erkennen. Dies ist kein theoretisches Anliegen: Es ist eine explizite Typologie, die in der TRM-Untersuchung identifiziert wurde und die direkt auf bestehende FATF-Warnsignale für Geldwäsche über virtuelle Asset-Dienstleister abbildet.
Für ein breiteres Bild davon, wie KI-gestützte Untersuchungstools genau auf diese Typologien angewendet werden, lesen Sie unsere Berichterstattung über den Start von TRM Labs' Ardence-Plattform.
NFT-spezifische Lücken bei der Transaktionsüberwachung
Die meisten Transaktionsüberwachungssysteme wurden für fungible Token-Flüsse entwickelt. NFT-Übertragungen, Marktplatzabrechnungen und Lizenzzahlungen passieren diese Systeme oft, ohne dieselben Regeln auszulösen, die äquivalente ETH- oder Stablecoin-Volumina kennzeichnen würden. Der BAYC-Fall ist ein nützlicher Anlass zu prüfen, ob Ihre Überwachungskonfiguration NFT-Marktplatzinteraktionen abdeckt und ob safeTransferFrom-Aufrufe von unbekannten Verträgen Warnungen generieren. Wenn Ihre Krypto-Buchhaltungssoftware NFT-Vertragsinteraktionen nicht nativ verarbeitet, ist das eine Lücke, die es wert ist, an Ihren Technologieanbieter eskaliert zu werden.
Was Unternehmen jetzt tun sollten
Die praktische Handlungsliste ist kurz, aber folgenreich. Erstens: Überprüfen Sie jegliche Kunden- oder Portfolio-Exposition gegenüber NFT-Beständen und bestätigen Sie, dass diese Vermögenswerte von Ihren bestehenden Richtlinien zur Vermögensklassifizierung und Überwachung abgedeckt sind. Zweitens: Bewerten Sie, ob die Gegenpartei-Börsen, die für die Aktivitäten Ihrer Kunden mit digitalen Assets genutzt werden, über angemessene AML-Kontrollen verfügen, einschließlich KYC-Verfahren, die robust genug sind, um synthetischen Identitätsbetrug zu erkennen. Drittens: Aktualisieren Sie Ihre internen Warnsignal-Typologien um NFT-SaaS-Muster: schnelle NFT-zu-WETH-Umwandlung, Aufteilung der Erlöse auf mehrere Börsen und Finanzierung vor dem Angriff von früheren Betrugs-Wallets. Viertens: Wenn Sie Kunden zu NFT-Projekten oder Metaverse-Launches beraten, stellen Sie sicher, dass diese Kunden Incident-Response-Pläne haben, die die Kompromittierung sozialer Medien abdecken, da der Angriffsvektor hier eine Übernahme eines Instagram-Kontos war und nicht ein Smart-Contract-Exploit.
Das regulatorische Umfeld für NFTs bewegt sich in eine Richtung. Sowohl US-amerikanische als auch internationale Behörden weiten die AML-, Betrugs- und Wertpapieraufsicht auf den NFT-Bereich aus. Unternehmen, die jetzt die Überwachungs- und Dokumentationsinfrastruktur aufbauen, werden besser positioniert sein als diejenigen, die darauf warten, dass die Durchsetzung die Sache erzwingt.
Quelle: TRM Labs
Häufig gestellte Fragen
Wie wandelten die Angreifer gestohlene NFTs so schnell in Bargeld um?
Die gestohlenen NFTs wurden auf dem LooksRare-NFT-Marktplatz gegen WETH, eine umhüllte Version von ETH, gelistet und verkauft. Dieser Schritt wandelte illiquide gestohlene Vermögenswerte in einen fungiblen Token um, der dann bewegt und über mehrere Börsenkonten fragmentiert werden konnte. Die Geschwindigkeit der Umwandlung, die deutlich innerhalb desselben Tages wie der Diebstahl lag, entspricht einer vorab geplanten Exit-Strategie und nicht einer improvisierten Aktion.
Was ist NFT Scam-as-a-Service und warum ist es für Compliance-Teams wichtig?
NFT SaaS bezeichnet ein Modell, bei dem eine zentrale kriminelle Operation die Infrastruktur, gefälschte Websites, Wallet-Draining-Skripte und möglicherweise Geldmuli-Konten bereitstellt, die andere böswillige Akteure nutzen, um Phishing-Kampagnen durchzuführen. Wenn dieses Modell bestätigt wird, bedeutet dies, dass einzelne NFT-Betrugskampagnen technische und finanzielle Infrastruktur teilen können, was die Blockchain-Verfolgung über Vorfälle hinweg produktiver macht und jeden neuen hochkarätigen NFT-Launch zu einer vorhersehbaren Angriffsmöglichkeit macht. Compliance-Teams sollten jeden bedeutenden NFT-Mint als Zeitfenster mit erhöhtem Risiko betrachten.
Löst dieser Vorfall AML-Meldepflichten für Börsen aus?
In den USA müssen Börsen, die als Money Services Businesses registriert sind, Suspicious Activity Reports (SARs) einreichen, wenn sie Transaktionen feststellen, die möglicherweise Gelder aus illegalen Aktivitäten betreffen. Der Erhalt von Erlösen, die über mehrere Konten aufgeteilt werden, insbesondere wenn die Quelle eine bekannte bösartige Wallet-Adresse ist, würde normalerweise die SAR-Schwelle erreichen. Die Verwendung potenziell betrügerischer KYC-Konten fügt eine separate Verpflichtung hinzu, betroffene Kundenbeziehungen zu überprüfen und möglicherweise erneut zu verifizieren.
Wie sollten Buchhalter NFT-Diebstahlverluste für Kunden behandeln?
Die bilanzielle Behandlung hängt davon ab, wie der Kunde die NFT ursprünglich klassifiziert hat, als immateriellen Vermögenswert, Vorrat oder Finanzinstrument nach den geltenden Standards. Ein Diebstahlverlust wird im Allgemeinen erfasst, wenn er wahrscheinlich und schätzbar ist. Die Bewertungsfrage ist bedeutend: Der vom Angreifer erzielte realisierte Verkaufspreis kann weit unter dem Buchwert des Vermögenswerts liegen, und die Firma muss die Grundlage für den verwendeten Verlustbetrag dokumentieren. Jede Versicherungserstattung oder potenzielle zivilrechtliche Verurteilung sollte als Eventualforderung behandelt werden, bis der Eingang praktisch sicher ist.
Welche Warnsignale sollte Krypto-Buchhaltungssoftware für NFT-bezogene Transaktionen kennzeichnen?
Zu den wichtigsten Warnsignalen gehören: Wallet-Adressen, die NFT-Übertragungen erhalten, unmittelbar gefolgt von schneller Marktplatzliquidierung; Erlöse, die aufgeteilt und innerhalb eines kurzen Zeitfensters bei mehreren nicht verbundenen Börsen eingezahlt werden; eingehende Gelder, die auf zuvor gekennzeichnete Betrugsadressen zurückverfolgt werden; und Börsenkonten, die kurz vor dem Erhalt großer eingehender Überweisungen eröffnet wurden. Wenn Ihre aktuelle Software zur Buchhaltung digitaler Assets NFT-Vertragsinteraktionen nicht sichtbar macht oder nicht gegen Blockchain-Intelligence-Feeds abgleicht, sind das Fähigkeitslücken, die Sie mit Ihrem Anbieter angehen sollten.