JSON-Krypto-Überweisungen

Betrügerische Übertragungsmodelle für digitale Vermögenswerte mittels „tokenisierter Dateien“

IFB International Finance Bank – Hinweis zur Betrugsprävention

International Finance Bank („IFB“) hat eine zunehmende Zahl betrügerischer Kontaktaufnahmen festgestellt, bei denen angeblich Übertragungen digitaler Vermögenswerte von hohem Wert über sogenannte „tokenisierte JSON-Dateien“, „Krypto-Host-Empfänger“, „Bank-Endpunkte“, „Wallet-Aktivierungsprotokolle“ oder ähnliche improvisierte Begriffe ausgeführt worden sein sollen.

Diese Betrugsmaschen betreffen nicht nur USDT. Dasselbe Betrugsmuster kann Bitcoin, Ethereum, Stablecoins, tokenisierte Vermögenswerte, Behauptungen zu digitalem Zentralbankgeld, private Blockchain-Coins, Wrapped Assets, angeblich goldgedeckte Token oder fiktive digitale Instrumente umfassen, die als „bankentauglich“ oder „institutionell“ bezeichnet werden.

Die Terminologie ändert sich. Die Betrugsarchitektur bleibt dieselbe.

Eine Datei, ein Zertifikat, ein Code, ein Screenshot, eine Wallet-Anzeige, eine API-Nachricht oder ein privater „Host“ kann für sich genommen weder das Eigentum an digitalen Vermögenswerten belegen noch diese übertragen. Eine rechtmäßige Übertragung digitaler Vermögenswerte setzt die Kontrolle über die betreffende Wallet, eine gültige kryptografische Signatur, die Übermittlung an die jeweilige Blockchain bzw. das jeweilige Abwicklungsnetzwerk sowie eine unabhängige Verifizierung voraus.

Die zentrale Falschdarstellung

Betrüger behaupten häufig, digitale Vermögenswerte könnten durch das Senden, Hochladen oder „Hosten“ einer Datei übertragen werden. Die Datei wird dabei mitunter als JSON, XML, verschlüsselt, tokenisiert, codiert, ledgerbasiert, Smart-Contract-fähig oder bankzertifiziert beschrieben.

Dies ist technisch unzutreffend.

Eine Datei kann Informationen enthalten. Sie kann Adressen, Metadaten, Transaktionsvorlagen, Screenshots, fingierte Salden oder beliebige Behauptungen enthalten. Sie ist für sich genommen weder ein Wallet, ein Verwahrkonto, ein Bankinstrument noch ein Abwicklungsmechanismus.

Digitale Vermögenswerte bewegen sich nicht, weil eine Datei dies besagt. Sie bewegen sich nur dann, wenn eine gültige Transaktion von der Partei autorisiert wird, die die Vermögenswerte kontrolliert, und vom jeweiligen Netzwerk akzeptiert wird.

Wie rechtmäßige Transfers digitaler Vermögenswerte funktionieren

Bei einer echten Abwicklung digitaler Vermögenswerte ist der entscheidende Nachweis weder ein Dokument noch ein Versprechen. Entscheidend sind nachprüfbare Verfügungsgewalt und nachprüfbare Ausführung.

Der Absender muss die jeweilige Wallet bzw. das jeweilige Verwahrkonto kontrollieren. Eine Transaktion muss ordnungsgemäß autorisiert sein. Bei einer öffentlichen Blockchain bedeutet dies in der Regel eine kryptografisch signierte Transaktion, die an das Netzwerk übertragen wird. Nach ihrer Annahme kann die Transaktion über den jeweiligen Blockchain-Explorer oder den institutionellen Verwahrnachweis unabhängig geprüft werden.

Für institutionelle Geschäfte ist diese technische Ebene lediglich der Anfang. Eine ordnungsgemäße Ausführung erfordert zudem Identitätsprüfung, Sanktionsprüfung, Analyse der Mittelherkunft, Prüfung der Vermögensherkunft, Transaktionsüberwachung, Prüfung der Rechts- und Geschäftsfähigkeit sowie die Freigabe durch Compliance. Große Transaktionen werden weder durch Geschwindigkeit noch durch Dringlichkeit oder beeindruckende Terminologie legitim.

Häufige Warnsignale

Diese Ansprachen verwenden häufig erfundene Begriffe wie „Bank-Krypto-Host“, „Host-Empfänger“, „Endpoint-Wallet“, „tokenisierte Datei“, „Wallet-Freigabecode“, „Gas-Tranche“, „Ledger-Aktivierung“, „private Blockchain-Einlösung“ oder „Wallet-Registrierung des Begünstigten“.

Solche Begriffe werden in der Regel verwendet, um das Fehlen einer tatsächlichen Verwahrung, einer tatsächlichen Wallet-Kontrolle und tatsächlicher Abwicklungsmechanismen zu verschleiern.

Ein weiteres häufiges Warnsignal ist die Anforderung von Informationen zur Bankinfrastruktur, von IP-Adressen, Server-Endpunkten, Wallet-Zugängen oder privaten technischen Daten. Diese Angaben sind für den Erhalt einer regulären Blockchain-Überweisung nicht erforderlich. Anfragen dieser Art können auf Social Engineering, Phishing, Cyber-Aufklärung oder versuchten unbefugten Zugriff hindeuten.

Betrüger verweisen zudem häufig auf außergewöhnliche Transaktionsvolumina, oft im dreistelligen Millionen- oder im Milliardenbereich. Anschließend erzeugen sie künstlichen Zeitdruck und versprechen, die Transaktion könne innerhalb weniger Stunden abgeschlossen werden, sofern der Empfänger technische Angaben macht, Gebühren zahlt oder Annahmedokumente unterzeichnet. Dies ist ein klassisches Druckmuster.

Ein weiteres Indiz ist eine irrationale Provisionsstruktur. Echte Vermögensinhaber überlassen unbekannten Zwischenhändlern keine außergewöhnlichen Prozentsätze, nur um liquide digitale Vermögenswerte zu bewegen. Verspricht ein Angebot übermäßige Provisionen für minimalen Aufwand, ist die wirtschaftliche Logik in der Regel betrügerisch.

Risiko von Vorabgebühren (Vorschussbetrug)

Viele dieser Betrugsmaschen münden schließlich in eine Zahlungsaufforderung. Die Zahlung kann als Gasgebühr, Aktivierungskosten, Compliance-Gebühr, Registrierungsgebühr, Validierungsgebühr, Steuerfreigabe, Freigabegebühr, Versicherungsbürgschaft, Wallet-Aufladung, Spiegeltransaktion oder Liquiditätsnachweis bezeichnet werden.

Diese Bezeichnungen ändern nichts an der Substanz. Das Opfer wird aufgefordert, Geld zu zahlen, bevor eine unabhängig überprüfbare Übertragung eines Vermögenswerts stattgefunden hat.

Kein umsichtiges Institut sollte unbekannten Gegenparteien im Austausch für einen angeblichen Zugang zu digitalen Vermögenswerten, die nicht durch anerkannte Verwahr-, Bank- oder Blockchain-Verfahren verifiziert wurden, Vorauszahlungen leisten.

Dokumente sind keine Abwicklung

Betrügerische Parteien legen häufig Abtretungsurkunden, Bankschreiben, Screenshots, Zertifikate, Codes, Transaktionsübersichten, Wallet-Ausdrucke oder angebliche Compliance-Formulare vor.

Solche Unterlagen können gefälscht, irrelevant oder wirtschaftlich bedeutungslos sein.

Ein Dokument kann eine Transaktion stützen, die Abwicklung (Settlement) aber nicht ersetzen. Rechtliche Unterlagen belegen weder, dass ein digitaler Vermögenswert existiert, dass der Absender darüber verfügt, dass er unbelastet ist, dass er rechtmäßigen Ursprungs ist, noch dass er übertragen werden kann.

Bei digitalen Vermögenswerten besteht die Mindestanforderung in der unabhängigen Verifizierung des Vermögenswerts, der Wallet bzw. des Verwahrkontos, der verfügungsberechtigten Partei, der Transaktionshistorie und der rechtmäßigen Herkunft der Mittel.

Position von IFB

IFB behandelt unaufgeforderte Angebote, die „tokenisierte Dateien“, „Krypto-Hosts“, „Bank-Endpunkte“, „Wallet-Aktivierung“, „private Einlösung“ oder ähnliche Strukturen beinhalten, als risikoreich, sofern sie nicht über anerkannte rechtliche, bankbezogene, Verwahrungs- und Blockchain-Kanäle unabhängig verifiziert wurden.

IFB nimmt keine Vorschläge zu digitalen Vermögenswerten an, die auf nicht überprüfbaren Dateien, Screenshots, privaten Codes, Serveradressen oder informellen Zusicherungen von Intermediären beruhen.

Die IFB stellt weder Daten zur Infrastruktur des Private Banking, Daten zu Server-Endpunkten, Wallet-Zugangsdaten, private Schlüssel, Seed-Phrasen noch Vorauszahlungen oder institutionelle Bestätigungen für Transaktionen bereit, die nicht unabhängig verifiziert werden können.

Schutzmaßnahmen

Kunden und Gegenparteien sollten einen einfachen Maßstab anlegen: Sind die Vermögenswerte real, lassen sie sich anhand ordnungsgemäßer Verwahrungsnachweise oder On-Chain-Nachweise verifizieren. Verfügt der Absender über sie, kann er die Verfügungsgewalt belegen. Ist die Transaktion rechtmäßig, kann der Absender vollständige Angaben zu Identität, Mittelherkunft und Compliance-Dokumentation vorlegen.

Jede Weigerung, einen solchen Nachweis zu erbringen, ist als wesentliches Warnsignal zu werten.

Verdächtige Kontaktaufnahmen sollten an die Bereiche Compliance, Recht und Cybersicherheit eskaliert werden, bevor ein weiterer Austausch erfolgt. Es dürfen keine operativen Daten übermittelt, keine Zahlungen veranlasst, keine Unterschriften geleistet und kein Zugang zu Wallets gewährt werden, bevor die Transaktion förmlich überprüft wurde.

Kurz gefasst

Betrug mit digitalen Vermögenswerten stützt sich zunehmend auf technische Inszenierung. Betrüger verwenden komplexe Fachsprache, erfundene Bankfunktionen und fingierte dateibasierte Verfahren, um den Anschein von Professionalität zu erzeugen.

Die Grundlagen bleiben einfach. Eine Datei ist keine Wallet. Ein Screenshot ist kein Nachweis über Finanzmittel. Ein Server-Endpunkt ist kein Abwicklungsweg. Ein Dokument ist keine Blockchain-Transaktion. Das Versprechen einer außergewöhnlichen Provision ist keine kommerzielle Legitimität.

Rechtmäßige Übertragungen digitaler Vermögenswerte sind überprüfbar, autorisiert, regelkonform und prüffähig. Jedes Angebot, das diese Standards umgeht, ist abzulehnen.

Eine JSON-Datei kann innerhalb der internen digitalen Vermögensinfrastruktur einer Bank rechtmäßig als Anweisungsnutzlast fungieren, jedoch nur unter streng kontrollierten Bedingungen. In einem solchen Fall enthält die JSON-Datei selbst keine Kryptowährung und überträgt sie auch nicht. Sie transportiert lediglich strukturierte Transaktionsanweisungen, die von den autorisierten Backend-Systemen von IFB interpretiert werden.

Verfügt ein IFB-Kunde beispielsweise bereits über eine verifizierte Verwahrung digitaler Vermögenswerte bei der Bank, kann eine JSON-Nachricht Daten wie die folgenden enthalten:

• Kundenkontokennung
• Blockchain-Netzwerk
• Wallet-Adresse des Empfängers
• Token-Typ
• Transaktionsbetrag
• Compliance-Referenzen
• kryptografische Signaturen
• API-Authentifizierungsdaten

Nach Eingang würden die internen Systeme der IFB Folgendes validieren:

• Kundenauthentifizierung
• Wallet-Eigentum
• Kontostände
• AML-/KYC-Compliance
• Sanktionsprüfung
• Limits der Transaktionsrichtlinie
• interne Genehmigungsbefugnisse

Bestehen alle Kontrollen, kann die Verwahrinfrastruktur oder das Treasury-Wallet-System der IFB anschließend eine tatsächliche Blockchain-Transaktion unter Verwendung der gesicherten privaten Schlüssel bzw. der Verwahrumgebung der Bank erzeugen. Die eigentliche Übertragung erfolgt erst, wenn die autorisierte Signaturinfrastruktur der IFB die Transaktion kryptografisch signiert und im Blockchain-Netzwerk veröffentlicht.

Der entscheidende Unterschied ist folgender:

Die JSON-Datei überträgt selbst keine Kryptowerte.

Die Bank überträgt Kryptowerte, nachdem sie die Anweisung unabhängig geprüft und eine tatsächliche Blockchain-Transaktion aus bereits in Verwahrung gehaltenen Vermögenswerten ausgeführt hat.

Dies ist mit dem SWIFT-Nachrichtenverkehr im traditionellen Bankgeschäft vergleichbar. Eine SWIFT-Nachricht MT103 enthält selbst kein Geld. Sie ist eine authentifizierte Anweisung, die Banksysteme veranlasst, Gelder über regulierte Abwicklungsinfrastrukturen zu bewegen. JSON kann in institutionellen Systemen für digitale Vermögenswerte eine ähnliche Steuerungsfunktion erfüllen, jedoch niemals als eigenständiges Inhaberinstrument.