Einem Internet-Betrüger ist es am Wochenende gelungen, NFTs (digitale Kunst- und Sammelobjekte) im Wert von mehreren Millionen Dollar zu erbeuten. Dafür kopierte er eine E-Mail der grössten NFT-Tauschbörse OpenSea und versetzte diese mit Links zu manipulierten Verträgen. Bei genauerem Hinsehen wären diese als solche zu erkennen gewesen. Trotzdem klickten diverse NFT-Besitzer einmal zu viel.
Dem Täter spielte in die Hände, dass OpenSea aktuell seine Verträge (Smart-Contracts) updated und per Mail seine Kunden dazu aufruft, zum Verkauf angebotene NFTs in einen neuen Vertrag zu migrieren. Die dazu nötige Berechtigung können eingeloggte User mit einem Klick erteilen.
Genau das glaubten die Geschädigten zu tun. Anstelle einer harmlosen Berechtigung für eine Migration erteilten sie aber dem Dieb die Berechtigung, das entsprechende NFT kostenlos zu übernehmen.
Der digitale Langfinger ging dabei sehr wählerisch vor. Die Crème de la Crème seines Raubs bot er zum Verkauf an – zum Teil für die Hälfte des Marktwertes. So gelangen ihm zahlreiche Verkäufe. Weniger wertvolle NFTs transferierte er den Geschädigten umgehend zurück.
Zu den erbeuteten NFTs gehören unter anderem drei «Bored Ape Yacht Club» (BAYC) im Wert von knapp einer Million Dollar, 36 «Azukis» (Gesamtsumme 1,2 Millionen) und 21 «NFT-World»-Welten (Gesamtsumme ca. 1 Million Dollar). Auch auf das von Nike erworbene Projekt «CloneX» und auf Adidas-NFTs hatte es der Übeltäter abgesehen.
Weil die Transaktionen auf der einfach zurückverfolgbaren Ethereum-Blockchain getätigt wurden, kann der Tatverlauf auch von Laien leicht reproduziert werden. Die entsprechende Adresse wurde mittlerweile mit dem Zusatz Fake_Phishing5169 versehen. Dabei sind einige erstaunliche Dinge ersichtlich.
Mindestens drei NFTs der Kollektion «Mutant Ape Yacht Club» wurden an die Besitzer zurückgesendet. Der Wert der drei Mutanten: 144'000 Dollar. Auch die Kollektion «mfers» tat es dem Deliquenten nicht an. Mindestens sechs der neun entwendeten Meme-Bildchen im Wert von 94'000 Dollar gingen zurück an ihre rechtmässigen Besitzer.
Zunächst hatten diverse Unklarheiten der Phishing-Aktion die NFT-Szene in Angst und Schrecken versetzt. Das Ausmass des Betruges wurde zuerst auf bis zu 200 Millionen geschätzt. Ausserdem behaupteten angeblich Betroffene, ihre Verluste wären nach der Interaktion mit einem tatsächlichen OpenSea-Vertrag zustande gekommen. Die Behauptungen erwiesen sich bisher als haltlos.
