Ein Non-Fungible-Token, allgemein als NFT abgekürzt, ist ein Blockchain-Eintrag, der das Eigentum an einem bestimmten digitalen oder manchmal physischen Gegenstand repräsentiert. Die Technologie selbst ist neutral, doch der um sie herum entstandene Markt hat ein unverhältnismäßig hohes Maß an Betrug angezogen, teilweise weil das Erstellen eines neuen Tokens schnell, günstig und ohne jede Überprüfung möglich ist, ob der Ersteller tatsächlich Eigentümer des tokenisierten Kunstwerks, der Marke oder des Inhalts ist. Ein großer Marktplatz hat öffentlich erklärt, dass mehr als 80 Prozent der über sein kostenloses Minting-Tool erstellten Objekte gefälscht, plagiiert oder Spam waren, was einen Eindruck davon vermittelt, wie viel der sichtbaren Aktivität in diesem Bereich nicht das ist, was sie zu sein scheint.
Rug Pulls
Ein Rug Pull ist ein Projekt, das über ein Minting oder einen Presale Geld einsammelt, um eine Roadmap zukünftiger Funktionen herum eine aktiv wirkende Community aufbaut und dann verschwindet, sobald genug Gelder eingesammelt wurden. Manche Rug Pulls sind schlichte Aufgabe: Das Team reagiert nicht mehr, und die versprochene Roadmap materialisiert sich nie. Andere sind direkt in den Smart Contract eingebaut, mit versteckten Funktionen, die es den Entwicklern erlauben, eine Projektkasse zu leeren oder den Handel vollständig zu deaktivieren, sobald sie sich zum Ausstieg entscheiden.
Warnsignale für einen Rug Pull
- Ein anonymes Team ohne überprüfbare Geschichte in irgendeinem früheren Projekt
- Eine Roadmap voller zukünftiger Versprechen und mit wenig bereits Geliefertem
- Aggressive Presale- oder Minting-Preisgestaltung, die darauf ausgelegt ist, vor dem Launch möglichst viele Gelder einzusammeln
- Kein unabhängiges Audit des zugrunde liegenden Smart Contracts
- Plötzliches Schweigen in sozialen Medien oder Kontolöschung nach einem erfolgreichen Minting
Eine dokumentierte Strafverfolgung wegen eines Rug Pulls
Im März 2022 klagten Bundesstaatsanwälte im Südbezirk von New York zwei Personen wegen eines NFT-Projekts namens Frosties an und warfen ihnen vor, einen Rug Pull betrieben zu haben, der über einen Presale im Januar 2022 rund 1,1 Millionen Dollar einsammelte. Laut Justizministerium verschoben die Betreiber kurz nach Abschluss des Presales die eingesammelten Gelder über eine Reihe separater Kryptowährungs-Wallets, löschten die Website des Projekts und verschwanden aus den sozialen Medien, wodurch sie die Community abschnitten, die sie gerade finanziert hatte. Beide Angeklagten wurden wegen Verschwörung zum Begehen von Überweisungsbetrug und Verschwörung zur Geldwäsche angeklagt. Ermittler stellten fest, dass das Duo zum Zeitpunkt der Anklageerhebung bereits den Presale für ein zweites NFT-Projekt vorbereitete, was veranschaulicht, wie schnell ein Betreiber von einem Rug Pull zum nächsten übergehen kann, sobald der erste abgeschlossen ist. Der Fall ist eines der klareren Beispiele dafür, wie sich das oben beschriebene Muster in der Praxis vollzieht und wie es strafrechtlich verfolgt wurde, wenn es Ermittlern gelingt, die Gelder nachzuverfolgen.
Gefälschte und nachgeahmte Kollektionen
Da das Minting keine Eigentumsprüfung erfordert, tokenisieren Betrüger routinemäßig Kunst, Fotografie oder ganze Kollektionen, die jemand anderem gehören, und listen den nachgeahmten Token dann zum Verkauf, als handle es sich um das echte Originalobjekt. Käufer, die den Verifizierungsstatus einer Kollektion nicht prüfen oder sie nicht mit den eigenen Kanälen des ursprünglichen Erstellers abgleichen, können am Ende echtes Geld für einen Token bezahlen, der keinerlei Verbindung zu dem Werk hat, das er angeblich repräsentiert.
Wash Trading
Beim Wash Trading kontrolliert ein Betreiber heimlich mehrere Wallets und verkauft einen Token wiederholt zwischen ihnen hin und her. Dies erzeugt eine aufgeblähte Handelshistorie und den Anschein echter Nachfrage, was einen außenstehenden Käufer davon überzeugen kann, dass eine Kollektion beliebter und wertvoller ist, als sie tatsächlich ist. Diese Taktik ist allein anhand eines Marktplatz-Listings schwer zu erkennen, da die Transaktionen tatsächlich auf der Blockchain verzeichnet sind – sie spiegeln lediglich keinen echten, unabhängigen Käufer wider.
Phishing und Wallet-Drainer-Links
Die finanziell wohl schädlichste Kategorie umfasst gefälschte Websites, Direktnachrichten oder kompromittierte Social-Media-Konten, die einen Nutzer dazu verleiten, seine Wallet mit einem bösartigen Contract zu verbinden oder eine Transaktion zu genehmigen, die eine weitreichende Ausgabeberechtigung über den Inhalt der Wallet gewährt. Eine einzige genehmigte bösartige Transaktion kann ausreichen, um eine gesamte Wallet zu leeren – nicht nur das NFT, das angeblich beansprucht oder gekauft werden sollte. Diese Links werden häufig über gehackte Konten auf sozialen Plattformen oder über dringend klingende, zeitlich begrenzte Angebote verbreitet, die darauf ausgelegt sind, eine sorgfältige Prüfung zu umgehen. Die Mechanik überschneidet sich eng mit bösartigen Token-Genehmigungsangriffen im weiteren Sinne, da NFT-Phishing schlicht einer der gängigen Übermittlungswege für diese zugrunde liegende Technik ist.
Verbinden Sie Ihre Wallet niemals mit einer Website, zu der Sie über eine unaufgeforderte Nachricht geleitet wurden, und überprüfen Sie einen Minting-Link stets über den offiziellen Kanal eines Projekts, statt über einen direkt an Sie gesendeten Link.
Geklonte Marktplatz-Websites
Über gefälschte Einzelkollektionen hinaus klonen Betrüger manchmal das gesamte Erscheinungsbild eines bekannten NFT-Marktplatzes auf einer täuschend ähnlichen Domain und kopieren dabei Layout, Angebote und sogar echte Kollektionsbilder, die von der echten Website übernommen wurden. Ein Besucher, der über eine Suchanzeige oder einen geteilten Link statt über ein Lesezeichen dorthin gelangt, kann durch das browsen, was wie ein authentischer Marktplatz aussieht, ein echtes, begehrtes NFT auswählen und einen Kauf abschließen, der Gelder direkt an den Betrüger statt an den tatsächlichen Eigentümer sendet, ohne dass jemals ein NFT an den Käufer übertragen wird. Da die zugrunde liegenden Angebote von einem echten Marktplatz kopiert sind, wirken Preise und Bilder völlig plausibel, was diese Version des Betrugs gerade gegen Käufer wirksam macht, die ein offensichtlich gefälschtes Angebot normalerweise erkennen würden.
Der Schutz hier ist dieselbe Disziplin, die allgemein vor gefälschten Börsen schützt: Erreichen Sie einen Marktplatz nur, indem Sie die Adresse direkt eintippen oder ein gespeichertes Lesezeichen verwenden, und prüfen Sie die Domain sorgfältig, bevor Sie eine Wallet verbinden oder Zahlungsdaten eingeben, da eine geklonte Oberfläche optisch nicht von der echten zu unterscheiden sein kann.
Gefälschte Giveaways und Identitätsbetrug
Betrüger geben sich häufig als Gründer oder offizielles Konto eines seriösen Projekts aus und kündigen ein überraschendes Giveaway oder einen Airdrop an, für den eine Wallet-Verbindung oder das Senden eines kleinen Betrags Kryptowährung erforderlich ist, um im Gegenzug eine größere Belohnung zu erhalten. Kein legitimes Giveaway verlangt eine Zahlung oder Wallet-Verbindung, um eine tatsächlich kostenlose Belohnung zu beanspruchen.
Ein Minting prüfen, bevor Sie eine Wallet verbinden
Den Link über einen offiziellen Kanal bestätigen
Bevor Sie eine Wallet mit einer Minting-Seite verbinden, navigieren Sie nur über einen Link dorthin, der auf der verifizierten offiziellen Website oder dem verifizierten Social-Media-Konto des Projekts veröffentlicht wurde, idealerweise indem Sie die Adresse selbst eintippen, statt auf einen in einer Direktnachricht oder einem Kommentar gesendeten Link zu klicken. Betrüger posten routinemäßig gefälschte Minting-Links in den Kommentaren der eigenen Ankündigung eines seriösen Projekts, zeitlich abgestimmt auf die Aufregung eines echten Launches, in der Erwartung, dass Menschen auf den ersten gesehenen Link klicken, statt zu prüfen, ob er tatsächlich vom Projekt stammt.
Die Transaktion lesen, bevor Sie sie genehmigen
Wenn eine Wallet zur Genehmigung auffordert, lesen Sie, was tatsächlich angefragt wird, statt automatisch durchzuklicken. Eine echte Minting-Transaktion fordert typischerweise eine konkrete, begrenzte Handlung an, etwa das Zahlen eines festgelegten Minting-Preises für eine festgelegte Anzahl an Token. Eine Anfrage, die eine breite, unbegrenzte Genehmigung über eine gesamte Token- oder NFT-Kollektion in Ihrer Wallet verlangt, ist keine normale Minting-Anfrage, und ihre Genehmigung kann weit mehr offenlegen als das einzelne Objekt, das Sie erwerben wollten.
Eine separate Wallet mit geringem Guthaben für neue Mintings verwenden
Viele erfahrene Sammler führen eine separate Wallet mit nur einem kleinen Guthaben speziell für die Interaktion mit neuen oder unverifizierten Minting-Seiten, statt ihre Haupt-Wallet zu verbinden, in der höherwertige Bestände liegen. Dies begrenzt den Schaden, den ein bösartiger Contract anrichten kann, selbst wenn sich ein Minting als betrügerisch herausstellt, da in dieser Wallet für einen Drainer wenig von Wert zu erreichen ist.
- Navigieren Sie zu Minting-Seiten nur über die verifizierte offizielle Website oder das Social-Media-Konto eines Projekts, nicht über einen Link aus einem Kommentar oder einer Direktnachricht
- Lesen Sie genau, was eine Wallet-Genehmigungsanfrage verlangt, bevor Sie bestätigen, und lehnen Sie breite oder unbegrenzte Ausgabegenehmigungen ab
- Verwenden Sie eine separate Wallet mit kleinem Guthaben für die Interaktion mit neuen oder unverifizierten Mintings
- Seien Sie skeptisch bei einem Minting-Link, der in den Kommentaren der eigenen Ankündigung eines echten Projekts gepostet wurde, da dies eine gängige Platzierung für gefälschte Links ist
- Behandeln Sie jeden Countdown-Timer oder jede behauptete begrenzte Stückzahl als Drucktaktik statt als Grund, die Überprüfung zu überspringen
Sich als Käufer schützen
Überprüfen Sie eine Kollektion über die eigene offizielle Website und die Social-Media-Konten des Projekts, statt einem Suchergebnis oder einem direkt erhaltenen Link zu vertrauen, prüfen Sie, ob die Kollektion auf dem Marktplatz ein Verifizierungsabzeichen trägt, und recherchieren Sie die Geschichte des Teams, bevor Sie an einem Minting teilnehmen. Ignorieren Sie Dringlichkeitstaktiken wie Countdown-Timer, da sie gezielt dazu dienen, die Art sorgfältiger Prüfung zu entmutigen, die die meisten dieser Betrugsmaschen sonst entlarven würde.
Wenn Sie bereits eine Wallet mit einer verdächtigen Website verbunden oder eine Transaktion genehmigt haben, die Sie jetzt bereuen, widerrufen Sie diese Genehmigung so schnell wie möglich mit einem seriösen Token-Genehmigungs-Checker, da eine nicht widerrufene Genehmigung zu jedem späteren Zeitpunkt genutzt werden kann, um weitere Vermögenswerte aus der Wallet abzuziehen – nicht nur in dem Moment, in dem sie erteilt wurde. Unser Leitfaden zu wie Sie eine Token-Genehmigung widerrufen führt durch diesen Prozess für die gängigsten Wallets und Chains, und es lohnt sich, dies zu tun, selbst wenn bisher scheinbar nichts entwendet wurde, da eine ruhende bösartige Genehmigung jederzeit in der Zukunft ausgeübt werden kann.
Ersteller, die ihre eigenen Werke listen, sind einem verwandten, aber eigenständigen Risiko ausgesetzt: dass ihre Kunst oder Marke ohne Erlaubnis von jemand anderem tokenisiert und verkauft wird. Regelmäßig Marktplätze nach dem eigenen Namen, der eigenen Marke oder unverwechselbaren Kunstwerken zu durchsuchen, ist eine sinnvolle Gewohnheit für jeden, der öffentlich kreative oder markengeschützte Inhalte veröffentlicht, da nachgeahmte Angebote oft gemeldet und entfernt werden, sobald sie direkt beim Marktplatz gemeldet werden – aber nur, wenn jemand bemerkt, dass sie existieren.
Häufig gestellte Fragen
Nach manchen Maßstäben sehr verbreitet. Ein großer Marktplatz hat öffentlich erklärt, dass über 80 Prozent der über sein kostenloses Minting-Tool erstellten Objekte gefälscht, plagiiert oder Spam waren, und NFT-bezogene Betrugsverluste wurden laut Verbraucherbeschwerdedaten in einem einzigen zurückliegenden Jahr auf mehr als 100 Millionen Dollar geschätzt.
Ein Rug Pull ist ein NFT- oder Krypto-Projekt, das über ein Minting oder einen Presale Gelder einsammelt, eine Community um versprochene zukünftige Funktionen aufbaut und das Projekt dann aufgibt oder seine Gelder abzieht, sobald genug Geld eingesammelt wurde. Manche Rug Pulls beinhalten versteckte Funktionen, die direkt in den Smart Contract eingebaut sind, um diesen Ausstieg zu ermöglichen.
Es ist im Allgemeinen sicher, eine Wallet mit seriösen, etablierten Marktplätzen für normales Browsen und Kaufen zu verbinden. Das Risiko entsteht durch die Verbindung mit unbekannten Websites, die über unaufgeforderte Links erreicht werden, da eine bösartige Website eine Ausgabegenehmigung anfragen kann, die weit über das einzelne NFT hinausgeht, mit dem Sie interagieren wollten.
Prüfen Sie auf etablierten Marktplätzen auf ein Verifizierungsabzeichen, bestätigen Sie, dass die Kollektion von der eigenen offiziellen Website oder den verifizierten Social-Media-Konten des Erstellers verlinkt ist, und suchen Sie vor dem Kauf nach dem Projektnamen zusammen mit Begriffen wie Betrug oder Rug Pull, besonders bei allem, was über eine unaufgeforderte Nachricht beworben wird.
Ja. Im März 2022 klagten Bundesstaatsanwälte zwei Personen wegen des NFT-Projekts Frosties an und warfen ihnen vor, in einem Presale rund 1,1 Millionen Dollar eingesammelt und die Gelder dann über separate Wallets verschoben zu haben, bevor sie verschwanden – ein klassischer Rug Pull. Beide wurden wegen Verschwörung zum Begehen von Überweisungsbetrug und Geldwäsche angeklagt, was zeigt, dass solche Schemata strafrechtlich verfolgt werden können, wenn Gelder rechtzeitig nachverfolgt und identifiziert werden.
Quellen und weiterführende Informationen
- More Than 80% of NFTs Created for Free on OpenSea Are Fraud or Spam, Company Says · Vice
- 9 common NFT scams and how to avoid them · Norton
- What are some common web3 scams? · OpenSea Help Center
- Two Individuals Charged In Non-Fungible Token ('NFT') Fraud And Money Laundering Scheme · U.S. Attorney's Office, Southern District of New York