USA legen Xinbi Guarantee lahm und frieren 52,8 Millionen US-Dollar aus globalen Betrugsnetzwerken ein

Telegram-Kanäle und Kryptowährungs-Wallets vom Netz genommen

Die US-Behörden haben am Mittwoch ein koordiniertes Vorgehen gegen Xinbi Guarantee angekündigt, einen chinesischsprachigen Marktplatz, der Infrastruktur und Finanzdienstleistungen für cybergestützte Betrugsoperationen bereitstellte.

Das US-Justizministerium beschlagnahmte die Telegram-Kanäle und Nutzernamen, über die der Marktplatz betrieben wurde, nachdem es am Montag zuvor die Genehmigung eines Bezirksgerichts erhalten hatte. Der Hauptkanal von Xinbi war bis Mittwoch nicht mehr erreichbar.

Die Ermittler beschlagnahmten außerdem zwei Kryptowährungs-Wallets mit rund 12 Millionen US-Dollar. In einer breiter angelegten Finanzoperation arbeitete der US Secret Service mit dem Blockchain-Analyseunternehmen Elliptic und dem Stablecoin-Emittenten Tether zusammen, um 52,8 Millionen US-Dollar auf 52 Wallets einzufrieren, die mit Xinbi und seinem Händlernetzwerk in Verbindung stehen.

Das Justizministerium erklärte, dass an einem einzigen Tag rund 52 Millionen US-Dollar an mutmaßlich aus Betrug stammenden Geldern eingefroren wurden. Damit erhöhte sich der von der Scam Center Strike Force insgesamt eingefrorene Betrag auf etwa 938 Millionen US-Dollar.

Das Office of Foreign Assets Control des US-Finanzministeriums sanktionierte Xinbi und zwei Unternehmen, die beschuldigt werden, dessen Betrieb unterstützt zu haben. The Record identifizierte die Unternehmen als Anwen Technology und SafeW Technology Co.

Das in Kambodscha ansässige Unternehmen Anwen Technology entwickelte die Kryptowährungs-Zahlungsanwendung XinbiPay. SafeW Technology stellte eine verschlüsselte Messenger-Anwendung her, die mutmaßlich von Xinbi-Händlern und Geldwäschenetzwerken genutzt wurde.

Es wurden keine Wallet-Adressen, Domains, Telegram-Kennungen oder sonstigen technischen Indikatoren öffentlich bereitgestellt. Das schränkt ein, wonach Finanzinstitute und Sicherheitsteams in ihren internen Aufzeichnungen eigenständig suchen können.

Ein Komplettanbieter für industrialisierten Betrug

Der 2022 gegründete Marktplatz Xinbi fungierte als Treuhand-Vermittler zwischen spezialisierten Anbietern und den kriminellen Gruppen, die Scam-Compounds betreiben. Elliptic bezeichnet ihn als den bislang zweitgrößten illegalen Online-Marktplatz, der dokumentiert wurde.

Die Schätzungen zum Transaktionsvolumen gehen auseinander. Eine genannte Zahl beziffert die Aktivität seit der Gründung des Marktplatzes auf rund 30 Milliarden US-Dollar, eine andere spricht von mindestens 24 Milliarden US-Dollar. DarkTower zählte in der Vorwoche mehr als 4.600 Crime-as-a-Service-Anbieter auf Xinbi.

Der Marktplatz unterstützte Pig-Butchering- und Romance-Scams, bei denen die Betreiber Beziehungen zu Opfern aufbauen, bevor sie diese zu betrügerischen Investitionen lenken. Die Rolle von Xinbi ging über Zahlungen hinaus.

Zu den über die Plattform beworbenen Diensten gehörten Berichten zufolge:

• Maßgeschneiderte Investment-Websites, die seriöse Handelsdienste imitieren sollten.
• Geldwäsche für Erlöse aus Überweisungsbetrug.
• Gestohlene persönliche Daten, um Opfer zu profilieren oder sich als sie auszugeben.
• Deepfake-Tools für Social Engineering und betrügerische Identitäten.
• Anwerbung oder Verschleppung von Arbeitskräften in südostasiatische Scam-Compounds.
• Finanz- und Kommunikationsdienste für Händler, die diese Compounds bedienen.

Diese Struktur ermöglichte es Betrugsbetreibern, die Komponenten einer Kampagne bei verschiedenen Anbietern zu kaufen und sich gleichzeitig darauf zu verlassen, dass Xinbi die Zahlung verwahrt oder überweist. Das Treuhandmodell verringerte das Misstrauen unter Kriminellen, die sonst nur zögerlich mit anonymen Anbietern Geschäfte gemacht hätten.

Das Finanzministerium erklärte, die Plattform sei Berichten zufolge von nordkoreanischen Hackern und von bereits sanktionierten Organisationen genutzt worden. Dazu gehörten die Jin Bei Group Co., Ltd. und Einheiten der transnationalen kriminellen Organisation Prince Group.

USDT-Einfrierungen treffen das Zahlungsmodell des Marktplatzes

Xinbi stützte sich in der Vergangenheit auf den Stablecoin USDT von Tether, der hauptsächlich über die TRON-Blockchain übertragen wurde. Diese Abhängigkeit schuf einen entscheidenden Ansatzpunkt für die Strafverfolgung, denn Tether kann Token, die mit benannten Adressen verbunden sind, zentral einfrieren.

Das Einfrieren von 52,8 Millionen US-Dollar zeigt, wie Blockchain-Transaktionen technisch weiterhin übertragbar bleiben können, während die Vermögenswerte selbst von ihrem Emittenten unbrauchbar gemacht werden. Blockchain-Analysen halfen, die relevanten Wallets zu identifizieren, während die Kooperation von Tether die Beschränkungen ermöglichte.

Die Administratoren von Xinbi reagierten mit der Ankündigung, auf USDD umzusteigen, einen weiteren an den Dollar gekoppelten Stablecoin auf TRON. Der Marktplatz tauschte Berichten zufolge verbliebene USDT im Wert von etwa 2,8 Millionen US-Dollar über eine dezentrale Börse in USDD.

Der Schritt könnte direkte Eingriffe erschweren, beseitigt aber nicht das Risiko von Einfrierungen. Der Grad der Dezentralisierung von USDD ist umstritten, und ein Teil seiner Sicherheiten besteht Berichten zufolge aus USDT, das weiterhin den Kontrollen von Tether unterliegt.

Die Administratoren von Xinbi kritisierten öffentlich, was sie als willkürliche Einfrierungen bezeichneten. Sie räumten außerdem ein, dass das Freischalten erheblicher Mengen an USDT und der Nachweis von Compliance schwieriger und zeitaufwendiger geworden seien als erwartet.

Die Finanzmaßnahmen gehen daher über die eingefrorenen Gelder hinaus. Garantie-Marktplätze hängen davon ab, dass Anbieter ihre Zahlungen erhalten und Betreiber Guthaben abheben können. Sobald Händler wissen, dass ihre Wallets zurückverfolgt, sanktioniert und eingefroren werden können, verliert der Treuhanddienst an Glaubwürdigkeit.

Xinbi wuchs nach dem Zusammenbruch konkurrierender Marktplätze

Xinbi expandierte, nachdem im vergangenen Jahr HuiOne Guarantee und dessen Nachfolger Tudou Guarantee geschlossen worden waren. HuiOne hatte ein Aktivitätsvolumen von rund 31 Milliarden US-Dollar abgewickelt, bevor Telegram den Kanal auf internationalen Druck hin abschaltete.

Kriminelle Händler wanderten in der Folge zu Xinbi ab. Forschende hatten Telegram aufgefordert, auch gegen diesen Marktplatz vorzugehen, doch weitere Maßnahmen blieben zunächst aus.

Xinbi erholte sich auch von einer früheren Telegram-Störung. Elliptic-Mitgründer Dr. Tom Robinson sagte im Januar, die Plattform habe ihren Betrieb wieder aufgenommen, nachdem Telegram eingegriffen hatte, und der Messaging-Anbieter habe weitere Maßnahmen abgelehnt, was zum Wachstum weiterer Märkte beigetragen habe.

Die jüngsten Kanal-Beschlagnahmungen verändern diese Rechnung, indem sie die Störung der Plattform mit Sanktionen und dem Einfrieren von Kryptowährungen kombinieren. Das alleinige Entfernen eines Telegram-Kanals dürfte die Administratoren nur dazu veranlassen, einen Ersatz zu schaffen. Die Einschränkung der Finanzinfrastruktur des Marktplatzes erhöht die Kosten eines Wiederaufbaus.

Xinbi könnte sich weiterhin umbenennen oder einen Neustart versuchen, wie es HuiOne mit Tudou versuchte. Forschende erwarten dennoch, dass Sanktionen und das geschädigte Vertrauen der Händler das Überleben erschweren. Tudou selbst blieb nicht lange aktiv.

Das Vereinigte Königreich hatte Xinbi bereits im März sanktioniert und war damit das erste Land, das den Marktplatz benannte. Die britische Maßnahme verwies auf Aktivitäten wie den Verkauf gestohlener persönlicher Daten und von Satelliten-Internettechnik, die zur Kontaktaufnahme mit Betrugsopfern genutzt wurde. Die US-Maßnahmen folgten mehr als fünf Monate später.

Einsatz in Madagaskar zielt auf die physischen Scam-Compounds

Die Durchsetzungskampagne beschränkte sich nicht auf Telegram und Kryptowährungen. Die Scam Center Strike Force entsandte Personal nach Madagaskar, als sie ihr Mandat auf die weltweite Verfolgung von Scam-Compounds ausweitete.

Die Operation trug zur Zerschlagung von 13 Zentren bei, die mutmaßlich von chinesischen Syndikaten der organisierten Kriminalität kontrolliert wurden. Die Behörden beschlagnahmten mehr als 3.200 elektronische Geräte und leiteten auf der Grundlage von Befragungen von fast 400 Festgenommenen Ermittlungen ein.

Rund 30 mutmaßliche chinesische Anführer der Compounds wurden von der chinesischen Regierung nach China zurückgeführt. Die US-Staatsanwältin Jeanine Pirro bezeichnete die rasche Rückführung Dutzender mutmaßlicher Anführer separat als interessante Entwicklung.

Scam-Compounds bilden die operative Ebene hinter vielen Pig-Butchering-Kampagnen. Arbeitskräfte werden möglicherweise unter Vorspiegelung falscher Tatsachen angeworben oder verschleppt und dann gezwungen, Opfer zu kontaktieren, Beziehungen aufzubauen und sie zu betrügerischen Finanzplattformen zu lotsen.

Das Anbieter-Ökosystem von Xinbi unterstützte diese Aktivität, indem es Betreiber von Compounds mit Zahlungsdiensten, Datenhändlern, Website-Entwicklern und Geldwäsche-Anbietern verband. Der Einsatz in Madagaskar zielte auf die Menschen und Geräte hinter den Betrugsfällen, während die Wallet-Sperren deren Finanzkanäle angriffen.

Für diese Bedrohung gibt es keinen Patch

Dies ist eine Störung durch Strafverfolgung und Finanzmaßnahmen, keine Software-Schwachstelle. Es gibt keine betroffenen Softwareversionen, CVE-Kennungen, Patches oder Workarounds.

Die Behörden haben auch keine opferspezifischen Schutzanweisungen veröffentlicht. Ohne Wallet-Adressen, Domains oder Kontokennungen können Unternehmen allein aus den öffentlichen Informationen keine präzisen Erkennungsregeln erstellen.

Der berichtete US-Einsatz etabliert dennoch mehrere Druckpunkte: Telegram-Infrastruktur kann auf gerichtliche Anordnung beschlagnahmt werden, Stablecoin-Guthaben können eingefroren werden, und Anbieter können zusammen mit dem zentralen Marktplatz sanktioniert werden.

Die unmittelbaren Auswirkungen sind erheblich, aber nicht unbedingt dauerhaft. Die Betreiber von Xinbi könnten auf neue Kanäle ausweichen, einen anderen Namen annehmen oder mit Vermögenswerten experimentieren, die so konzipiert sind, dass sie sich zentralem Einfrieren widersetzen.

Das Vertrauen wiederherzustellen wird die schwierigere Aufgabe sein. Händler wissen jetzt, dass scheinbar stabile Treuhandguthaben unzugänglich werden können, während Transaktionen den Ermittlern helfen können, ein größeres kriminelles Netzwerk zu kartieren. Für einen Marktplatz, der geschaffen wurde, um Vertrauensprobleme unter Kriminellen zu lösen, ist diese Unsicherheit eine direkte Bedrohung für sein Geschäftsmodell.