Fake-KYC-Portal-Scams: das Playbook der RWA-Drainer

Warum Finanzierungsrunden für tokenisierte Vermögenswerte ein Magnet für Phishing sind

Die Tokenisierung von Real-world assets (RWA) hat sich zu einem der aktiveren Bereiche von Krypto entwickelt. Produkte wie ONDO, BUIDL, PAXG und XAUT repräsentieren Ansprüche auf US-Staatsanleihen, Geldmarktfonds und Gold, und sie werden sowohl an krypto-native Anleger als auch an traditionelle Finanzabteilungen vermarktet. Da die zugrunde liegenden Vermögenswerte regulierte Wertpapiere sind, sind die Plattformen, die sie vertreiben, gesetzlich verpflichtet zu verifizieren, wer ihre Kunden sind, bevor irgendwelche Tokens in einer Wallet landen.

Diese Anforderung ist der ganze Grund, warum diese Betrugskategorie existiert. Ein Nutzer, der seit Jahren in Krypto unterwegs ist, weiß, dass das Hochladen eines Passfotos und eines Selfies auf eine Website kein normales Krypto-Verhalten ist, aber ein Nutzer, der in einen tokenisierten Treasury-Fonds aufgenommen wird, rechnet damit, gefragt zu werden. Der Betrug übernimmt die Legitimität regulierter Finanzmärkte und kombiniert sie mit der Geschwindigkeit von Krypto-Wallet-Interaktionen.

Hinzu kommt ein Timing-Faktor. Wenn ein echter Emittent eine Finanzierungsrunde oder einen öffentlichen Verkauf ankündigt, verbreiten sich die Nachrichten innerhalb von Stunden über X, Telegram, Discord und E-Mail. Betreiber von Drainer-Kits überwachen dieselben Kanäle, und sie können noch am selben Tag eine ähnlich aussehende Domain registrieren und eine geklonte Landingpage online stellen. Wenn ein neugieriger Anleger nach dem Projektnamen sucht, können das bezahlte Suchergebnis, der beworbene Tweet und die gesponserte Discord-Antwort bereits alle auf den Betrug verweisen.

Das Ergebnis ist ein Umfeld, in dem genau das, was eine RWA-Plattform vertrauenswürdig macht, nämlich reguliertes Onboarding, auch das ist, was Opfer ausnimmt. Die Verteidigung besteht nicht darin, KYC abzulehnen, sondern zu lernen, wie legitimes KYC im Vergleich zur von Angreifern betriebenen Skriptversion aussieht.

Wie Drainer-Kits gefälschte KYC-Abläufe industrialisiert haben

Vor zwei oder drei Jahren waren Phishing-Kits grob gestrickt. Ein Betrüger kopierte vielleicht eine MetaMask- oder Uniswap-Seite, fragte nach einer Seed-Phrase und hoffte, dass ein technisch weniger versierter Nutzer sie eintippte. Diese Kits gibt es immer noch, aber parallel dazu ist ein Markt rund um Dienste wie drainer-as-a-service gereift, bei dem ein Entwickler ein Abonnement-Dashboard verkauft, das den gesamten Angriffsablauf automatisiert.

Moderne Drainer-Kits werden mit Vorlagen für Dutzende Ziele ausgeliefert, darunter Plattformen für tokenisierte Vermögenswerte. Eine Vorlage enthält typischerweise eine Landingpage, die zu den Markenfarben und dem Logo des Emittenten passt, ein Formular zum Dokumenten-Upload, das die Fragen eines echten KYC-Anbieters nachbildet, und ein Backend, das den hochgeladenen Ausweis an den Angreifer weiterleitet, während dem Opfer ein gefälschter Verifizierungsbildschirm angezeigt wird. Sobald der Upload abgeschlossen ist, fordert die Seite das Opfer auf, eine Wallet zu verbinden, um "Tokens zu erhalten". Dort erscheint die Signaturanfrage.

Deshalb ist das unbedingt zu erwähnende Detail wichtig: Das Lockmittel ist nicht mehr eine generische Seite mit "Wallet verbinden, um Airdrop zu beanspruchen". Es ist ein glaubwürdiger, gebrandeter Onboarding-Ablauf, der reguliert wirkt. Die Aufgabe des Kits ist es, das Opfer durch die Schritte zu führen, bis eine Wallet-Signatur, die das Opfer als routinemäßige Anmeldung liest, tatsächlich eine Token-Genehmigung für einen vom Angreifer kontrollierten Contract erteilt.

Da die Kits Abonnementprodukte sind, optimieren die Betreiber fortlaufend, was funktioniert. Wenn das Branding eines bestimmten Emittenten gut konvertiert, wird die Vorlage bei jeder nachfolgenden Finanzierungsrunde dieses Emittenten erneut verwendet. Wenn eine Aufsichtsbehörde eine ähnlich aussehende Domain abschaltet, setzt der Eigentümer des Kits einfach eine weitere über einen Registrar auf, der nicht schnell auf Takedown-Anfragen reagiert.

Die drei Schritte, die ein Drainer-Kit miteinander verkettet

• Lockmittel. Eine E-Mail, eine DM, eine bezahlte Anzeige oder eine gekaperte Discord-Antwort teilt dem Opfer mit, dass es für ein Angebot tokenisierter Vermögenswerte ausgewählt, mit einer Zuteilung versehen oder auf eine Warteliste gesetzt wurde und dass dafür KYC erforderlich ist.
• Identitätserfassung. Das Opfer landet auf einer geklonten Seite und lädt einen amtlichen Ausweis, ein Selfie und manchmal einen Adressnachweis hoch. Der Angreifer hat nun genügend personenbezogene Informationen, um außerhalb der Plattform Identitätsbetrug zu versuchen.
• Wallet-Abzug. Die Seite fordert eine Wallet-Verbindung an, verlangt eine Signatur, oft als Verifizierungsschritt oder gasfreier Claim getarnt, und verwendet diese Signatur, um einem vom Angreifer kontrollierten Contract Token-Genehmigungen zu erteilen. Ein separater Sweeper-Bot überträgt die Vermögenswerte des Opfers dann innerhalb von Minuten nach außen.

Risiken: Was bei Opfern tatsächlich schiefläuft

Die Risiken eines Krypto-Betrugs mit einem gefälschten KYC-Portal lassen sich in drei Kategorien einteilen, wobei das finanzielle Risiko nur das sichtbarste ist. Identitätsdiebstahl ist die unauffälligere und länger anhaltende Folge. Der Scan eines Reisepasses, ein Selfie mit diesem Reisepass und eine Versorgerrechnung reichen einem Angreifer aus, um betrügerische Konten zu eröffnen, Kredite zu beantragen oder das gesamte Datenpaket auf Darknet-Marktplätzen an andere Kriminelle zu verkaufen. Opfer entdecken dies oft erst Monate später, wenn eine Bonitätsprüfung scheitert oder in einem Finanzkonto eine unbekannte Rechnungsadresse auftaucht.

Das Onchain-Risiko tritt schneller ein und ist deutlicher sichtbar. Bei der Signatur, die das Opfer abgibt, handelt es sich selten um eine einfache Nachricht. Meistens ist es eine Token-Genehmigung, die es einem bestimmten Smart Contract erlaubt, einen bestimmten Token zu übertragen. Bei vielen Drainer-Kits ist diese Genehmigung unbeschränkt, also ohne Ausgabenlimit, sodass der Angreifer sämtliche Bestände in der Wallet übertragen kann. Einige Kits fordern anschließend eine weitere Signatur für eine ERC-721- oder ERC-1155-Genehmigung an, damit sie auch NFTs erbeuten können. Wer einmal signiert und sich dann abwendet, findet bei der Rückkehr möglicherweise eine leere Wallet vor.

Außerdem besteht ein Risiko bei Wiederherstellungsversuchen, das nicht genug Beachtung findet. Da das Opfer echte Dokumente in ein echt wirkendes Formular hochgeladen hat, gibt es ein Zeitfenster, in dem es möglicherweise weiterhin mit dem Betrüger interagiert, weil es glaubt, das Onboarding laufe noch. Einige Kits enthalten einen gefälschten „Support-Chat“, der vom Angreifer betreut wird. Dieser stellt höflich weitere Fragen, bis das Opfer eine Seed-Phrase preisgegeben oder Geld überwiesen hat, um „die Wallet zu verifizieren“. Je länger das Opfer den Ablauf für legitim hält, desto größer ist der Verlust.

Historische Muster, die man kennen sollte

• Address Poisoning wurde bei Plünderungen von Wallets für ähnliche Tricks mit dem richtigen Zeitpunkt eingesetzt: Zunächst erfolgt eine Transaktion über 0,001 USD von einer täuschend ähnlichen Adresse, anschließend wird durch hektisches Kopieren und Einfügen die echte Adresse geplündert. KYC-Drainer nutzen dieselbe emotionale Logik: Dringlichkeit plus eine kleine Verpflichtung, etwa das Hochladen eines Ausweises, die den Widerstand gegen die nächste Verpflichtung, eine Signatur, verringert.
• Ice-Phishing-Genehmigungen, die 2022 und 2023 bekannt wurden, zeigten, dass eine harmlos wirkende Signatur umfassende Token-Berechtigungen erteilen kann. Moderne KYC-Drainer integrieren Ice-Phishing-Payloads in Abläufe mit Markenauftritt, sodass sich die Signatur wie ein gewöhnlicher Anmeldeschritt anfühlt.
• Hype-Zyklen vor der Markteinführung tokenisierter Staatsanleihen oder tokenisierter Goldprodukte führen zuverlässig zu einer Welle gefälschter KYC-Seiten. Das Muster wiederholt sich, weil es erfolgreich Opfer überzeugt.

So unterscheiden Sie ein gefälschtes KYC-Portal von einem echten

Legitime KYC-Prüfungen gibt es. Es geht nicht darum, sie abzulehnen, sondern einen Nachweis dafür zu verlangen, dass die Seite, die danach fragt, tatsächlich dem Emittenten gehört. Einige konkrete Merkmale helfen, beide voneinander zu unterscheiden.

Erstes Merkmal: die Domain. Das mit Abstand stärkste Signal ist die URL in der Adressleiste. ONDO Finance ist unter einer einzigen kanonischen Domain erreichbar (ondo.finance). Die Betreiber der Drainer registrieren Varianten wie ondo-fi.com, ondofinance.io, ondo-finance.app oder ondo-claims.net. Sie können plausibel wirkende Subdomains wie kyc.ondo-finances.com hinzufügen, um die tatsächlich registrierte Domain in einer langen Zeichenfolge zu verbergen. Wenn die URL nicht exakt mit jener übereinstimmt, die der Emittent nachweislich bereits verwendet hat, sollten Sie sie als feindselig einstufen.

Zweites Merkmal: die Dringlichkeit. Ein echtes reguliertes Onboarding läuft nicht nach fünfzehn Minuten ab. Köder von Drainer-Betreibern tun das sehr wohl. Formulierungen wie „Verifizieren Sie sich innerhalb der nächsten 30 Minuten, sonst verfällt Ihre Zuteilung“, „begrenzt auf die ersten 200 Bewerber“ oder „Ihr Platz wird freigegeben, wenn Sie die Identitätsprüfung nicht sofort abschließen“ sollen verhindern, dass das Opfer innehält und nachdenkt. Ein legitimes Onboarding-Zeitfenster umfasst Tage, nicht Minuten.

Drittes Merkmal: die Signaturanforderung nach dem Hochladen. Dies ist ein seltenes, aber eindeutiges Warnsignal. Bei einem regulierten KYC-Ablauf werden Dokumente angefordert. Anschließend wird gewartet, bis ein menschlicher Prüfer oder ein Drittanbieter (Onfido, Sumsub, Persona, Jumio) eine Entscheidung übermittelt. Der Nutzer wird danach nicht sofort aufgefordert, eine Wallet-Nachricht zu signieren, um den „Erhalt von Token zu bestätigen“. Ein kombinierter Ablauf mit Identitätsprüfung und Signatur in einer einzigen Sitzung ist derzeit fast immer ein Betrugsmuster. Die Signatur plündert die Wallet. Der Ausweis sorgt dafür, dass sich das Opfer beim Signieren sicher fühlt.

Viertes Merkmal: die Herkunft des Links. Echte Emittenten kündigen das Onboarding über ihre eigenen Kanäle an: ein verifiziertes X-Konto, einen offiziellen Blogbeitrag auf ihrer kanonischen Domain oder eine E-Mail von einer Domain, die zum Emittenten gehört. Ein per Direktnachricht versandter Link von einem Konto, das erst letzte Woche erstellt wurde, ein gesponsertes Suchergebnis oberhalb des echten Emittenten oder eine Telegram-Nachricht von einem „Admin“ sind nicht gleichwertig. Betrachten Sie unaufgefordert zugesandte Links als schädlich, bis ihre Unbedenklichkeit bewiesen ist.

Praktische Schritte, wenn Sie bereits Dokumente hochgeladen haben

Wenn Sie bereits einen Ausweis auf eine Seite hochgeladen haben, die Sie nun für gefälscht halten, kommt es auf die richtige Reihenfolge der Maßnahmen an. Erstens: Signieren Sie auf dieser Seite nichts Weiteres und interagieren Sie nicht mit einem dort angebotenen „Support“-Chat. Schließen Sie den Tab. Zweitens: Wenn Sie eine Wallet verbunden und auch nur einmal signiert haben, müssen Sie diese Wallet als kompromittiert betrachten. Übertragen Sie die verbleibenden Vermögenswerte auf eine neue Wallet, die noch nie mit der verdächtigen Website interagiert hat, und widerrufen Sie mit einem entsprechenden Widerrufstool jede auffindbare Token-Genehmigung, bevor Sie die alte Adresse anderweitig verwenden.

Drittens: Gehen Sie davon aus, dass die hochgeladenen Dokumente missbraucht werden. Der Scan eines Reisepasses zusammen mit einem Selfie und einem Adressnachweis ist ein vollständiges Starterpaket für Identitätsdiebstahl. Erstatten Sie bei Ihrer örtlich zuständigen Stelle für Identitätsdiebstahl oder Betrug Anzeige, überwachen Sie in den nächsten Monaten Ihre Bonitätsauskünfte und erwägen Sie, bei den großen Auskunfteien einen Betrugswarnhinweis hinterlegen zu lassen, damit jede neue Kontoeröffnung eine zusätzliche Überprüfung erfordert.

Viertens: Melden Sie die Seite. Der offizielle Supportkanal des Emittenten benötigt in der Regel die URL, um andere Nutzer zu warnen und die Entfernung der Seite zu beantragen. Domainregistrare und Hostinganbieter verfügen ebenfalls über Kontaktstellen für Missbrauchsmeldungen, die zwar langsam reagieren, aber mitunter Maßnahmen ergreifen. Eine Meldung bringt das Verlorene nicht zurück, verringert aber den Verlust des nächsten Opfers.

So überprüfen Sie die Legitimität eines RWA-Onboardings

Entscheidend ist nur eine unabhängige Überprüfung. Klicken Sie nicht auf den Link, den Sie erhalten haben. Öffnen Sie einen neuen Browser-Tab, geben Sie die kanonische Domain des Emittenten von Hand ein oder verwenden Sie ein zuvor gespeichertes Lesezeichen und rufen Sie von dort aus die Antragsseite auf. Wenn das Projekt eine KYC-Prüfung anbietet, muss die Antragsseite über die eigene Navigation des Emittenten erreichbar sein und nicht nur über eine separate Landingpage, die mit Anzeigen oder Direktnachrichten beworben wird.

Achten Sie auf der offiziellen Website auf zwei Dinge. Erstens: den Namen des KYC-Anbieters. Legitime Plattformen nennen ihren Dienstleister (Sumsub, Onfido, Persona, Jumio) und verlinken innerhalb des Verifizierungsablaufs auf dessen Domain. Sie können dies überprüfen, indem Sie während des Uploadschritts die URL kontrollieren. Wenn sie nicht zur tatsächlichen Domain des genannten Anbieters führt, ist sie gefälscht. Zweitens: den Schritt zur Verbindung der Wallet. Echte RWA-Plattformen verlangen während der KYC-Prüfung entweder überhaupt keine Wallet-Signatur oder lediglich eine einfache, schreibgeschützte Signatur, also eine signierte Nachricht, die den Besitz der Adresse nachweist, ohne Genehmigungen zu erteilen. Ein Ablauf, der eine Genehmigungstransaktion verlangt, insbesondere eine mit unbeschränktem Ausgabenlimit, ist nicht legitim.

Es empfiehlt sich außerdem, die offiziellen Ankündigungskanäle des Emittenten als maßgebliche Informationsquelle zu betrachten. Das verifizierte X-Konto, der offizielle Blog und die E-Mail-Liste unter der kanonischen Domain sind die drei Kanäle, die ein Angreifer nicht zuverlässig gleichzeitig imitieren kann. Wenn das Onboarding, das Sie abschließen sollen, an keinem dieser drei Orte erwähnt wird, existiert es nicht.

RWA-Finanzierungsrunden verfolgen, ohne in einen Drainer zu geraten

Nachrichten zu tokenisierten Vermögenswerten bewegen sich schnell, und das gilt auch für die Betrugskopien, die ihnen folgen. Jede Ankündigung manuell zu lesen, jede Domain doppelt zu prüfen und auf eine Bestätigung der Community zu warten, bevor du auf irgendetwas klickst, ist der richtige Instinkt, aber das lässt sich nicht skalieren. Zippfeed verfolgt RWA-Schlagzeilen mit Sentiment-Bewertung (bullish, neutral oder bearish) und einer Wichtigkeitseinstufung, sodass du sehen kannst, welche Tokenisierungsstorys tatsächlich an Fahrt gewinnen, und jeden Onboarding-Schritt über einen einzigen, geprüften Feed bestätigen kannst, statt Links in DMs und Suchanzeigen hinterherzujagen.