NFT-Phishing: Der Bait-and-Switch-Vertrag erklärt

Ein einziger Klick auf eine vermeintlich routinehafte NFT-Übertragungsaufforderung kann einem Angreifer die vollständige Kontrolle über die Wallet eines Opfers verschaffen, einschließlich aller darin befindlichen Token. Das Blockchain-Intelligence-Unternehmen TRM Labs hat eine technische Post-Mortem-Analyse genau dieser Art von Angriff veröffentlicht, und die anschließende Geldwäschekette hat direkte Auswirkungen auf jede Wirtschaftsprüfungsgesellschaft, jeden Wirtschaftsprüfer und jeden CFO, dessen Mandanten am NFT-Markt aktiv sind. Zu verstehen, wie der Betrug funktioniert, ist für Compliance-Funktionen nicht mehr optional: Er bestimmt die Ausgestaltung der AML-Überwachung, die Meldung verdächtiger Aktivitäten und die Integrität von Digital-Asset-Beständen in Jahresabschlüssen.

Was den Bait-and-Switch-Vertrag unterscheidet

NFT-Betrug hat viele Gesichter: Rug Pulls, gefälschte Kollektionen, Fake-Minting-Seiten, Gebotsmanipulation und Identitätsmissbrauch im Kundensupport sind alle gut dokumentiert. Der Bait-and-Switch-Vertrag ist gefährlicher als die meisten, weil das Opfer nichts offensichtlich Falsches tut. Es unterzeichnet etwas, das wie eine Standardtransaktion aussieht, wie sie der NFT-Markt dutzendfach am Tag erfordert.

Der Kernmechanismus: Genehmigungsfunktionen als Waffe

Der bösartige Vertrag enthält Funktionen wie atomicMatch_ und setApprovalForAll. In legitimen NFT-Protokollen autorisieren diese Funktionen einen Marktplatz, ein bestimmtes Asset im Namen eines Verkäufers zu bewegen. In der Version des Angreifers gewähren sie eine pauschale Genehmigung zur Übertragung der gesamten Wallet des Opfers. Das Opfer sieht in der Regel eine MetaMask-Aufforderung, die identisch mit einer normalen Handelsbestätigung aussieht. Geschwindigkeit ist der Verbündete des Angreifers: NFT-Auktionen und limitierte Drops erzeugen echten Zeitdruck, und Nutzer, die innehalten, um den Vertragscode zu lesen, verlieren Gebote.

Wie die Angriffswallet vorbereitet wird

Bevor ein Opfer angesprochen wird, befüllt der Angreifer die Angriffswallet, oft über einen Mixer wie Tornado Cash. TRM-Ermittler beobachteten eine anfängliche Selbst-Einzahlung an die Angriffswallet, die sowohl als Test der Wallet als auch des Vertrags dient. Im TRON-Netzwerk ist dieser Schritt strukturell notwendig: Eine TRON-Wallet benötigt ein positives TRX-Guthaben, bevor sie Transaktionen ausführen kann, sodass selbst an die Adresse gesendete Tether nicht ausgegeben werden können, bis dieses Minimum erreicht ist. Der Angreifer ruft dann den eigenen Vertrag von der Angriffswallet auf, um zu überprüfen, ob er wie beabsichtigt funktioniert, und hinterlässt dabei einen unverwechselbaren On-Chain-Fingerabdruck.

Der Phishing-Vektor und der Moment der Kompromittierung

Die Zustellkanäle variieren: Direktnachrichten auf Discord oder Telegram, E-Mails, In-Wallet-Werbung über Browsererweiterungen, Pop-ups in NFT-Marktplatzforen und Identitätsmissbrauch legitimer Support-Mitarbeiter. Der Kanal ist weniger wichtig als das Ziel. Jede Variante endet mit derselben Aufforderung: eine Transaktion unterzeichnen oder Private Keys herausgeben.

Peer-to-Peer-Handel als Deckmantel

Im konkreten Fall, den TRM analysierte, sprach der Angreifer das Opfer mit dem Angebot eines Peer-to-Peer-NFT-Handels an. Das Opfer wurde aufgefordert, den Handel durch Unterzeichnung eines Vertrags einzuleiten, was natürlich der Bait-and-Switch war. Aus Sicht des Opfers fühlte es sich wie eine normale Marktinteraktion an. Der Vertrag autorisierte nach der Unterzeichnung den Angreifer, das NFT und in einigen Varianten jedes andere Asset in der Wallet zu übernehmen, im Gegenzug für null ETH.

Warum die Blockchain es im Nachhinein offensichtlich macht

Auf der Blockchain ist der Diebstahl eindeutig. Das NFT bewegt sich von der Wallet des Opfers zur Wallet des Angreifers ohne entsprechende Zahlung. Diese Null-ETH-Transaktion ist ein Transaktionsmerkmal, das jede kompetente Blockchain-Analyseabfrage aufdecken kann. Das Problem ist, dass die meisten Opfer und viele Compliance-Teams es erst sehen, nachdem der Angreifer bereits weitergezogen ist.

Die Geldwäschekette: Vom gestohlenen NFT zu sauberem Fiat

Fungible Token wie ETH können relativ schnell durch Mixer und Hochrisiko-Börsen geschleust werden. NFTs können das nicht: Sie sind nicht fungibel und ihre Herkunft ist dauerhaft auf dem Ledger sichtbar. Der Angreifer muss das gestohlene NFT daher in etwas Ausgebbares umwandeln.

Der Weiterverkauf am Sekundärmarkt

Der Angreifer listet das gestohlene NFT auf einem offenen Marktplatz zu einem marktüblichen Preis. Ein Käufer, der die Herkunft nicht kennt, erwirbt es für ETH. Der Angreifer erhält sauber aussehende ETH-Erlöse. Aus Sicht der Blockchain-Analyse ist die Bewegung des NFTs, von der Wallet des Opfers zur Wallet des Angreifers zu Nullkosten und dann sofort zu einem Open-Market-Listing, ein erkennbares Muster. Die Zeitspanne zwischen der Diebstahltransaktion und dem Marktlisting ist oft kurz.

Konsolidierung und Auszahlung

Sobald der Angreifer ETH hält, fanden TRMs Ermittler heraus, dass die Erlöse an Wallets flossen, die mehrere eingehende ETH-Einzahlungen von NFT-Märkten und ein oder zwei große konsolidierende Abflüsse aufwiesen. Der Auszahlungsweg kombiniert typischerweise Mixer, Hochrisiko- oder unregulierte Börsen, Peer-to-Peer-Plattformen, Chain-Hopping über Netzwerke hinweg und die Umwandlung in Stablecoins, alles Taktiken, die darauf abzielen, die Spur zwischen gestohlenem Asset und Fiat-Exit zu kappen. Diese Layering-Sequenz ist strukturell identisch mit anderen Krypto-Geldwäsche-Typologien und fällt eindeutig unter die Transaktionsüberwachungspflichten, die für Virtual Asset Service Provider und regulierte Finanzinstitute gelten.

AML-Pflichten für Unternehmen und Plattformen

Für Wirtschaftsprüfungsgesellschaften, die Krypto-Börsen, NFT-Marktplätze oder Verwahrer beraten, und für CFOs in Institutionen mit Digital-Asset-Portfolios übersetzt sich die TRM-Analyse direkt in Compliance-Arbeit, die jetzt erfolgen muss.

Transaktionsüberwachung und Auslöser für verdächtige Aktivitäten

Das von TRM beschriebene Geldwäschemuster, eine wertlose eingehende NFT-Übertragung, gefolgt von einem schnellen Open-Market-Verkauf und dann einer raschen ETH-Konsolidierung, sollte in die Logik für verdächtige Aktivitäten jeder von Compliance-Teams genutzten Krypto-Buchhaltungssoftware oder Blockchain-Analyse-Stack integriert werden. Wallets, die wiederholt NFTs ohne Gegenleistung erwerben und sie für ETH weiterverkaufen, sind eine dokumentierte Typologie, keine theoretische. Unternehmen sollten sicherstellen, dass ihre Transaktionsüberwachungsregeln ausdrücklich NFT-Marktplatzflüsse abdecken und nicht nur Transfers fungibler Token, die nach wie vor den Standardfokus vieler veralteter Regelsätze bilden.

Wallet-Screening und Due Diligence von Gegenparteien

TRM stellt fest, dass Angriffswallets nach Abschluss einer Untersuchung in Blockchain-Intelligence-Plattformen oft mit dem Angreifer zugeordnete Labels tragen. Krypto-Börsen, Verwahrstellen und NFT-Marktplätze, die Wallet-Screening-Tools nutzen, sollten automatische Expositionswarnungen konfigurieren, damit jede Interaktion mit einer gekennzeichneten Angreiferadresse, selbst eine indirekte über einen späteren Käufer, zur Überprüfung angezeigt wird. Der Käufer eines gestohlenen NFTs ist ein unwissender Teilnehmer, kann aber je nach Jurisdiktion dennoch Meldepflichten haben.

Mixer-Exposition und der regulatorische Kontext

Die Nutzung von Tornado Cash zur Finanzierung der Angriffswallet ist für regulierte Unternehmen von Bedeutung. OFAC hat Tornado Cash bereits als sanktioniert eingestuft, und jedes Institut, dessen Kundenwallets Interaktionen mit sanktionierten Mixer-Adressen aufweisen, steht vor Melde- und Abhilfepflichten. Compliance-Teams sollten dies im Zusammenhang mit der Rücknahme der CVC-Mixing-Regel durch FinCEN und deren Bedeutung für AML-Programme lesen, die den aktuellen US-Regulierungskontext für mixerbezogene Exposition setzt.

Rechnungslegungs- und Prüfungsimplikationen

Der Diebstahl von NFTs und die anschließenden betrügerischen Erlöse führen zu Buchungen, die Wirtschaftsprüfer und CFOs sorgfältig behandeln müssen.

Ansatz gestohlener digitaler Vermögenswerte

Wenn ein NFT durch einen Phishing-Vertrag aus der Wallet eines Mandanten oder eines Unternehmens entnommen wird, wird das Asset ausgebucht. Der Verlust sollte sofort nach Bestätigung des Diebstahls erfasst werden, nicht erst nach Abschluss der Phishing-Untersuchung. Nach den meisten aktuellen Rahmenwerken müssen digitale Vermögenswerte, die als immaterielle Vermögenswerte gehalten werden oder, wo Fair-Value-Bilanzierung gilt, als bewertete Instrumente, zum Buchwert am Tag des Diebstahls abgeschrieben werden. Jede Versicherungserstattung wäre separat zu erfassen. Wirtschaftsprüfer, die NFT-Portfolios prüfen, sollten im Rahmen von Vollständigkeitsverfahren gezielt auf ausgehende Übertragungen ohne Gegenleistung testen.

Erlöse, die ein unwissender Käufer erhält

Ein Unternehmen, das ein gestohlenes NFT in gutem Glauben auf einem offenen Marktplatz erworben hat, steht vor einem anderen Problem. Wenn das NFT später durch ein Gerichtsverfahren zurückgeholt oder der Kauf rückabgewickelt wird, hängt die Bilanzierung davon ab, ob die Zahlung bereits als Asset-Erwerb erfasst wurde. Unternehmen, die Käufer in dieser Position beraten, sollten die Eigentumskette sorgfältig dokumentieren und prüfen, ob eine Angabe zu Eventualverbindlichkeiten im Jahresabschluss erforderlich ist.

Buchhaltungssoftware für digitale Vermögenswerte und Prüfpfade

Robuste Buchhaltungssoftware für digitale Vermögenswerte sollte jede On-Chain-Transaktion erfassen, einschließlich eingehender NFT-Übertragungen und ausgehender Smart-Contract-Genehmigungen, im Moment ihres Auftretens. Wenn Genehmigungstransaktionen nicht erfasst und abgestimmt werden, erscheint ein Phishing-Diebstahl möglicherweise erst nach einer manuellen Wallet-Überprüfung im Ledger. Wirtschaftsprüfer sollten testen, ob die von Mandanten genutzte Buchhaltungssoftware für digitale Vermögenswerte Smart-Contract-Interaktionsdaten protokolliert und nicht nur Token-Bestandsänderungen, und ob die Krypto-Buchhaltungssoftware des Unternehmens Nullwerttransfers als überprüfungspflichtig kennzeichnet. Unternehmen, die ihre Ermittlungstools stärken möchten, sollten auch prüfen, wie TRM Labs Ardence zur Automatisierung der Krypto-Kriminalitätsermittlung einführte, was für die hier beschriebene Art der Mustererkennung direkt relevant ist.

Warnsignale, die Compliance-Teams operationalisieren sollten

TRMs Untersuchung zeigt eine Reihe von Indikatoren, die sich direkt in Compliance-Kontrollen übersetzen lassen. Diese sind nicht theoretisch: Sie wurden in einem aktiven, laufenden Betrug beobachtet, den TRM gemeinsam mit Strafverfolgungsbehörden verfolgt.

On-Chain-Indikatoren

Achten Sie auf Wallets, die NFTs ohne oder mit nahezu keiner ETH-Gegenleistung erhalten und diese Vermögenswerte dann innerhalb eines kurzen Zeitfensters zum Marktpreis zum Verkauf anbieten. Suchen Sie nach der Finanzierung von Angriffswallets über Mixing-Dienste vor jeder Opferinteraktion. Konsolidierungswallets mit mehreren eingehenden ETH-Einzahlungen von NFT-Märkten und ein oder zwei großen Abflüssen sind eine Signatur der Auszahlungsphase. Die wiederholte Verwendung von setApprovalForAll-Aufrufen von derselben Wallet an mehrere Opferwallets ist ein Indikator mit hoher Konfidenz für koordiniertes Phishing.

Operative und kundenbezogene Indikatoren

Für Unternehmen, die einzelne Mandanten beraten oder Verwahrungsdienste betreiben: Jeder Bericht über eine unerwartete Vertragsunterzeichnungsaufforderung, insbesondere wenn sie per DM, E-Mail oder Pop-up während einer laufenden Auktion eingeht, sollte sofort eine Wallet-Berechtigungsprüfung auslösen. Mandanten sollten angewiesen werden, unbekannte Genehmigungen über das Connected-Sites-Panel ihrer Wallet zu widerrufen, bevor weitere Transaktionen durchgeführt werden. Getrennte Wallets für hochwertige NFT-Bestände und eine dedizierte Test-Wallet für unbekannte Verträge sind praktische Hygienemaßnahmen, die die Exposition erheblich reduzieren.

Häufig gestellte Fragen

Was ist ein Bait-and-Switch-NFT-Vertrag?

Es ist ein bösartiger Smart Contract, der als routinemäßiger NFT-Handel oder als Genehmigung getarnt ist. Er enthält Funktionen, oft setApprovalForAll oder atomicMatch_, die dem Angreifer die Erlaubnis geben, einige oder alle Vermögenswerte der Wallet des Opfers zu übertragen, nicht nur das besprochene NFT. Das Opfer unterzeichnet eine Aufforderung, die wie eine normale Transaktion aussieht.

Wie wandelt der Angreifer ein gestohlenes NFT in nutzbare Mittel um?

Da NFTs eine sichtbare On-Chain-Herkunft haben, können sie nicht direkt gewaschen werden. Der Angreifer listet das gestohlene NFT auf einem offenen Marktplatz, verkauft es an einen ahnungslosen Käufer für ETH und leitet die ETH-Erlöse dann durch Mixer, Hochrisiko-Börsen, Peer-to-Peer-Plattformen und Stablecoin-Umwandlungen, um die Spur vor der Auszahlung zu verschleiern.

Welche AML-Pflichten entstehen regulierten Unternehmen durch NFT-Betrugsexposition?

Virtual Asset Service Provider und Finanzinstitute mit Krypto-Exposition sind im Allgemeinen verpflichtet, verdächtige Transaktionen zu überwachen und zu melden. Eine dokumentierte Typologie, wie wertlose NFT-Übertragungen, gefolgt von sofortigem Wiederverkauf auf dem offenen Markt, sollte in Transaktionsüberwachungsregelsätze aufgenommen werden. Wallet-Interaktionen mit sanktionierten Mixer-Adressen begründen je nach Jurisdiktion zusätzliche OFAC- oder gleichwertige Meldepflichten.

Wie sollte ein Wirtschaftsprüfer einen NFT-Diebstahl in der Bilanz eines Mandanten behandeln?

Das gestohlene Asset sollte zum Buchwert zum Zeitpunkt der Bestätigung des Diebstahls ausgebucht werden. Jede spätere Versicherungserstattung wird separat erfasst. Wirtschaftsprüfer sollten gezielt auf ausgehende Übertragungen ohne Gegenleistung testen und überprüfen, ob die Buchhaltungssoftware für digitale Vermögenswerte des Mandanten Smart-Contract-Genehmigungsereignisse erfasst und nicht nur Bestandsänderungen.

Was sollte ein Unternehmen sofort tun, wenn ein Mandant meldet, einen unerwarteten Vertrag unterzeichnet zu haben?

Die Priorität besteht darin, alle unbekannten Wallet-Genehmigungen sofort über die Connected-Applications-Einstellungen der Wallet zu widerrufen, bevor weitere Transaktionen durchgeführt werden. Der Vorfall sollte dokumentiert, die betroffene Wallet-Adresse gegen Blockchain-Intelligence-Datenbanken abgeglichen und eine Überprüfung auf verdächtige Aktivitäten eingeleitet werden, wenn das Unternehmen ein reguliertes Unternehmen ist. Je nach Wert der verlorenen Vermögenswerte kann auch eine Weiterleitung an Strafverfolgungsbehörden angemessen sein.

Quelle: TRM Labs