NFT Scams im Wild Wild Web3 – Seid vorsichtig!

Gestern Abend, am 18.12.21, kamen die NFTs von Adidas raus und das hat mich 0.4 Ether plus Gas gekostet. Bekommen habe ich dafür nichts. 🤬
Ich bin auf einen Scam reingefallen, habe innerhalb weniger Sekunden etwa 1.400€ „verloren“ und kann nichts dagegen tun. Als es mir klar wurde, war es schon zu spät.
Damit du nicht auch in so eine Falle tappst, halte ich hier fest, was genau mir passiert ist, was ich falsch gemacht habe und worauf du immer achten solltest. 

Der Markt der NFTs wird immer größer und damit leider auch gefährlicher

Die ersten großen Marken wie Facebook, Adidas und Nike kommen in den Space. Das bringt zum einen immer mehr Leute hinein, was natürlich sehr positiv ist, auf der anderen Seite nehmen aber auch die Scam Versuche und Attacken zu. Vor allem für Neulinge in dem Bereich ist das durchaus riskant und dieses Mal hat es selbst mich erwischt.

Ganz kurz: Was ist ein Scam?

„Scam“ ist englisch für „Betrug“ und mehr ist es auch nicht.
Leider gibt es auch im NFT Bereich wie immer Arschlöcher in der Community und wie immer, versuchen diese Hurensöhne und -töchter ihre Mitmenschen und Gleichgesinnte abzuziehen und ihr Geld bzw. Token zu ergaunern. 🖕🏼

Was genau mir passiert ist:

Also, gestern gab es die offiziellen NFTs von Adidas. Erst hieß es „ab 18 Uhr“, dann irgendwie drei Stunden später und dann galt 24 Uhr für den General Release oder Public-Mint/Sale.
Kurz vor 12 Uhr und einfach nicht mehr 100 % bei der Sache, hab ich mir also wieder meinen Computer geschnappt, bin in Discord gegangen und das Erste, was ich sehe, war eine Nachricht wie diese hier:

Auf den ersten Blick sieht alles gut aus.

Der Scamer verwendet den gleichen Namen und das gleiche Profilbild, wie der Discord Server von Adidas. Diesen Discord haben wir als „gemeinsamen Server“ und es sieht so aus, als würde er einen angeblichen Post von Adidas zitieren.

Genauer hinsehen!

Dann sollten sofort die Alarmglocken läuten:

🚨 Die genannte URL macht keinen Sinn (ich habe sie weg gemacht, da ich sie auf keinen Fall weiterverbreiten will) und ist definitiv nicht die offiziellen Seite.

🚨 Plötzlich kann ich bis zu 10 NFTs minten!?
Adidas hat klar kommuniziert, dass es nur 1 NFT pro Wallet gibt. Da ich aber wusste, dass diese direkt im Wert steigen werden, hat diese Info die Gier einfach nur angefacht. Ich hatte mit 0.4 Eth also genug für 2 NFTs in der Wallet. Warum also nicht mehr Gewinne mitnehmen…

🚨  Und natürlich absolutes Red-Flag 🚩
Seriöse Projekte versenden keine Direktnachrichten zum Mint. NIE!
Warum sollte Adidas ausgerechnet mir eine Nachricht zum Mint schicken?
Ja, ich bin im Discord von ihnen, aber es gibt keinen Grund, dass sie mir das direkt senden sollten.

Normalerweise blockiere ich Direktnachrichten auch immer und das solltest du auch tun (!! Unten mehr dazu) aber da der Adidas-Discord nicht ganz so rund lief und ich irgendwie einmal gekickt wurde und neu rein musste, hab ich das beim zweiten Anlauf wohl nicht gemacht. 😖

Ich war also in dem Augenblick so dumm und unvorsichtig, habe zu wenig aufgepasst und bin auf den Link.

Gelandet bin ich dann auf Seite:

Auch hier wieder auf den ersten Blick alles ok.

Die Logos sind soweit korrekt, der Wolken-Hintergrund entspricht der offiziellen Seite.
Es war zwar kein Video mehr, sondern ein Bild, aber ich dachte mir noch, dass das nur Sinn macht, um die Ladezeit der Seite niedrig zu halten und sie wohl aus den Fehlern von CloneX gelernt haben. Wie naiv… 🙄

🚨  Das Design der Mint-Konsole entspricht vielleicht nicht ganz dem restlichen UX und Design der Adidas Seite, aber ich wusste ja auch nicht, wie die echte Adidas Mint Seite aussieht. Bzw. weiß man das allgemein nur selten. 

🚨 Der Zähler „10000 / 11,100“ war animiert und die linke Zahl zählte nach oben, was den typischen Zeitdruck bei einem Mint und die FOMO („Fear of missing out“) pusht und so zur Leichtsinnigkeit führen sollen – und in meinem Fall: geführt hat.

🚨 Adidas hat klar kommuniziert, dass es mindestens 9.620 NFTs im General Sale gibt. Aber oft ist es so, wenn der Pre-Sale oder Early-Access nicht ausverkauft ist, werden die restlichen NFTs dem Public Sale hinzugefügt.
Dass es ziemlich unrealistisch ist, dass diese Zahl dann genau bei 11.100 gelandet ist, hätte mir sofort auffallen müssen aber gefühlt musste jetzt ja alles schnell gehen, um den Zuschlag nicht zu verpassen. 😖

🚨 „MINT 3 GET 3 REE.“ war so auch nirgends offiziell kommuniziert. Würde für Adidas oder so ein Projekt auch überhaupt keinen Sinn machen und ist damit eigentlich der nächste Red-Flag.
In dem Augenblick der FOMO und unter dem gefühlten Zeitdruck hat das aber leider ganz gut funktioniert. Hätte ich 0.6 Eth in der MetaMask Wallet gehabt, hätte ich es probiert und noch mehr verloren. Wenn ich in die Transaktionen auf Etherscan einsehe, hat das leider auch zu oft funktioniert.

Ich habe (zu) schnell schnell „2“ eingegeben und auf den Mint-Button geklickt und hatte plötzlich ein schlechtes Gefühl.
Na toll… das kam irgendwie spät! Habe die Transaktion anschließend sofort auf Etherscan verfolgt, aber da war es schon zu spät.

https://etherscan.io/tx/0x60c3c51fbbb76bcde831b427bee5adde804b37b98d5e21d68ec350f2e33f792f

Transaktion war durch. Mein geliebtes Eth war weg. 🤬
FUCK! 🤬🤬🤬🤬🤬

Um auf Nummer sicher zu gehen, hätte ich den Smart Contract hinter der vermeidlichen Mint-Seite mal lieber vorher geprüft. Hierzu hätte ich „eigentlich nur schnell“ die Contract Adresse mit der offiziellen von Adidas abgleichen müssen und festgestellt, dass es ein Scam ist. …………..

Was hätte ich anders machen können / MÜSSEN

Weil ich es eigentlich besser weiß…
Was solltest du also immer anders machen, damit dir sowas nicht passiert:

1. NIEMALS, man kann es nicht oft genug wiederholen:
NIEMALS auf Links aus Discord Direktnachrichten klicken und dort minten.

Seriöse NFT Projekte schreiben dich NIEMALS persönlich an. Alles was du hier bekommst ist höchst wahrschreinlich Fake und will dich bestehlen.

Auch wenn das Profil, der Name, die verlinkte Website noch so echt erscheint.
Sorry, aber du hast den Whitelist Platz nicht gewonnen und darfst auch nicht exklusiv bereits jetzt minten. Wenn du eine PM bekommst, die dir etwas in der Art verspricht, sei super vorsichtig und frage im Zweifel lieber erst noch im Discord des Projekts nach.
Klicke auf keinen Link, minte auf gar keinen Fall von der verlinkten Seite und noch wichtiger, gebe NIEMALS auf so einer Seite deine Seed Phrase ein. Deine Wallet würde dich niemals einfach so, mittendrin nach deiner Seed Phrase fragen!

2. Aufmerksamer und skeptischer sein

Es lief einfach viel zu gut, um wahr/echt zu sein. Ich dachte mir sogar noch „Wow, da bin ich ja jetzt echt mal zum perfekten Zeitpunkt gekommen und kann direkt minten? Wow!“
Aus meiner Erfahrung aus vergangenen NFT Drops + den Fakt, dass es sich hier um den von Adidas handelte, hätte ich vorsichtiger sein müssen. Ich hätte es besser wissen müssen – ich wusste, ich weiß es besser. Aber da war es schon zu spät.

3. Wie immer: Discord Direktnachrichten ausstellen.

Ist leider immer, je Server ein manueller Prozess, aber eigentlich sind es auch nur ein paar Klicks, und die können sich auszahlen!

III) „Direktnachrichten von Servermitgliedern erlauben“ ausstellen (= grau) > auf Fertig klicken.

Done. Schon kann dir aus dem Server niemand mehr direkt schreiben und du kannst einigen Spam und Scam Versuchen einfach aus dem Weg gehen.

4. Immer mit der Ruhe!

Ich hätte mir einfach ein bisschen mehr Zeit nehmen sollen, dann hätte ich den Scam ziemlich sicher noch erkannt. Und da sind wir uns bestimmt einig: Lieber kein NFT bekommen, als 0.4 Eth verlieren und auch kein NFT bekommen. 🤷🏼‍♂️
Tief durchatmen, die FOMO kurz mal abschalten und ein paar schnelle Checks durchführen:

Was einfach noch besser und sicherer werden muss:

Der Space wächst und gedeiht. Immer mehr Menschen und Brands kommen dazu und Sicherheit ist und wird ein immer wichtigeres Thema. Wofür wir in Zukunft Sicherheitsmechanismen entwickeln müssen:

– Discord sicherer machen.

An meinem Fehler ist selbstverständlich nicht Discord schuld, aber die Chat-Plattform stellt doch einen ziemlich großen Schwachpunkt in der NFT Welt dar.
Man hört von immer mehr Projekten, dass der Discord Server gehackt wurde und falsche, Scam-Links an die Follower verteilt wurden. Immer mehr Fake-Nachrichten werden versendet und erbeuten durchaus große Summen.

Auf der Adresse, die mich gestern gescammet hat, gingen bereits 264 (!!) Transaktionen ein. Alleine gestern Abend erbeutete der Scammer etwa 32 Eth! Das sind zum heutigen Kurs etwa 112.761,58 Euro 🤬
0x8e2dA4B38B082282F297f88ec8d98F63cf49B6f4 – WHAT A CUNT! 🖕🏼

Die Person dahinter ist dabei sicher nicht die Einzige, die das macht und ein Großteil solcher Scams starten auf Discord. Hier sollte also auf jeden Fall eine bessere Lösung her.

– Verifizierte Mint Seiten einführen.

NFT Projekte werden in der Regel auf den Projekt-eigenen-Websites geminted und hierfür wird oft eine extra Seite erstellt, oft mit dem Slug „…/mint“. Bei Adidas war die Mint Seite zum Beispiel auch „adidas.com/into_the_metaverse/mint“.

Diese Seiten werden meist exakt zur Uhrzeit des Drops/Launch live genommen.
Natürlich haben die Seiten immer ein gemeinsamen Design aber außer dem Team selbst, weiß erstmal niemand, wie diese Seite, also wie die ECHTE Mint-Seite eines Projekts, aussieht.
Und der Großteil der Leute ist technisch nicht versiert genug, um diese Seiten auf Echtheit zu prüfen oder zu sehr unter selbstgemachten Zeitdruck, wie ich es war.

Wie hoffentlich deutlich wurde, ist der NFT Space noch recht gefährlich und ich muss zugeben, dass ich bis gestern unterschätzt habe, wie schnell es gehen kann.

Es ist ein bisschen wie im wilden Westen (oder zumindest, wie es in Filmen immer dargestellt wird).
Es gibt immer egoistische Arschlöcher. Menschen versuchen sich gegenseitig abzuziehen und es gibt aktuelle nicht wirklich eine Instanz, die das irgendwie unterbindet oder an die man sich wenden könnte, wenn etwas passiert ist.

Bei einem Betrug über PayPal könnte ich jetzt z.B. einen Fall eröffnen und PayPal würde mir helfen, mein verlorenes Geld wiederzubekommen. In der dezentralen Welt der Blockchains und NFTs gibt es das nicht.

Ich habe den Account zwar sofort bei Discord und die Wallet Adresse bei Etherscan gemeldet, aber mir persönlich wird das nichts bringen.

Und ich kann nur hoffen, dass ich dadurch andere NFT Fans vor dem Scam bewahren konnte.

Deshalb habe ich heute auch direkt diesen Text geschrieben und ich hoffe, dass du etwas daraus lernst und vorsichtiger als ich bin.

Mein Lehrgeld ist hoffentlich unser Lehrgeld!

Bisher bin ich ohne einen solchen Fail weggekommen, aber ich habe schon von vielen, viel Größeren gehört. Aber einmal nicht richtig aufgepasst, boom 🤢

Wenn du dich in die Welt der NFTs begibst, solltest du dir darüber im Klaren sein, dass so eine Scheiße passieren kann. Setze also immer nur Geld ein, welches du auch verlieren kannst!!

Sei vorsichtig und immer skeptisch! Stay safe!

Cheers
Björn