Am Donnerstagabend erschien auf dem verifizierten X-Account von Vlad Tenev, dem CEO des US-Brokers Robinhood, ein Beitrag, der einen neuen Token vorstellte. Vladhood, Kürzel $VLAD, sei das offizielle Maskottchen der Robinhood Chain, hieß es dort. Der Token werde außerdem in der Robinhood-App gelistet. Der Beitrag enthielt eine Contract-Adresse und endete mit der Zeile „Welcome to the Hood“.
Nichts davon stimmte. Der Account war kompromittiert. Robinhood bestätigte den Vorfall rund 41 Minuten später über seinen Kommunikationskanal: Der Account des CEO sei übernommen worden, der Beitrag entfernt, man arbeite mit X an der Wiederherstellung des Zugriffs. Zu diesem Zeitpunkt hatte der Post bereits über 175.000 Aufrufe gesammelt – der Großteil davon in den ersten zwanzig Minuten.
Für Anleger ist die eigentliche Lehre aus diesem Fall aber nicht der Hack. Sie liegt in der Bauweise des Tokens.
Warum $VLAD kein klassischer Rugpull war
Der Standardablauf eines Token-Betrugs ist bekannt: Der Täter legt einen Coin auf, zieht Käufer über eine Reichweitenquelle an, entnimmt anschließend die gesamte Liquidität aus dem Handelspool und lässt die Käufer mit wertlosen Token zurück. Genau das ist am 12. Juli passiert, als die X-Konten von SpaceX und Starlink übernommen wurden, um einen Token namens SCATMAN zu bewerben – ebenfalls auf der Robinhood Chain. Der Täter verkaufte dort seinen kompletten Bestand und realisierte nach Angaben von On-Chain-Analysten rund 135.000 US-Dollar.
Bei $VLAD lief es anders. Der Token wurde über Pons aufgelegt, eine Launchpad-Plattform auf der Robinhood Chain. Dort ist die Liquidität gesperrt. Der Ersteller kann sie nicht abziehen. Was er dagegen kann: laufend Handelsgebühren abrufen. Je mehr Volumen der Token erzeugt, desto mehr fließt an die Ersteller-Wallet.
Der Token wurde damit nie in dem Sinne „gerugt“, vor dem übliche Warnhinweise schützen sollen. Er funktionierte stattdessen als Gebührenmaschine. Das Handelsvolumen erreichte laut DEX-Daten rund 22 Millionen US-Dollar innerhalb weniger Stunden, der Kurs stieg zwischenzeitlich um mehr als 90.000 Prozent, gut 5.200 Adressen hielten den Token.
Zur Höhe der Einnahmen liegen unterschiedliche Angaben vor. Ein On-Chain-Beobachter berichtete von rund 650 ETH, umgerechnet etwa 1,2 bis 1,3 Millionen US-Dollar, wobei nicht abschließend belegt ist, wie diese Bewegung mit dem Post zusammenhängt. Eine andere Auswertung nannte für einen früheren Zeitpunkt etwa 59.000 US-Dollar an abgerufenen Gebühren, mit steigender Tendenz. Belastbar ist die Größenordnung damit nicht, die Mechanik dagegen schon.
Der Ablauf war vorbereitet, nicht spontan
Ein Detail aus den On-Chain-Daten ordnet den Fall ein: Der Contract wurde 46 Minuten vor dem gehackten Beitrag aufgesetzt. Die Wallet dahinter war neu und erhielt ihre einzige Finanzierung wenige Stunden zuvor über einen Cross-Chain-Bridging-Dienst, was die Herkunft der Mittel verschleiert.
Der Hack war also nicht der Auslöser einer Gelegenheit, sondern der geplante Verstärker einer vorbereiteten Struktur. Die Reihenfolge war: Token bauen, Zugang zum Account beschaffen, Reichweite zünden.
Warum ausgerechnet die Robinhood Chain
Robinhood hat sein eigenes Layer-2-Netzwerk am 1. Juli gestartet, technisch auf Basis des Arbitrum-Orbit-Stacks. Die kommunizierte Zielsetzung war die Tokenisierung realer Vermögenswerte, etwa Aktien. Was das Netzwerk tatsächlich anzog, war etwas anderes.
Nach Daten eines öffentlichen Dune-Dashboards kamen binnen weniger Wochen über 700 Millionen US-Dollar an Werten zusammen, verteilt auf Stablecoins, tokenisierte Aktien und Memecoins. Das Netzwerk überschritt 300.000 täglich aktive Adressen. Der spekulative Handel dominierte dabei die eigentlich beabsichtigte Nutzung deutlich.
Damit entstand eine Umgebung mit genau den Eigenschaften, die solche Angriffe attraktiv machen: sehr niedrige Transaktionskosten, hohe Aufmerksamkeit, ein junges Ökosystem ohne etablierte Filter und eine Nutzerschaft, die neue Token ohnehin erwartet. Der SCATMAN-Vorfall elf Tage zuvor lief auf demselben Netzwerk. Nach dem $VLAD-Post tauchten laut Marktbeobachtern innerhalb kurzer Zeit Nachahmer-Token mit ähnlichem Namen auf.
Warnung vor neuen Coins: Woran Anleger den Betrug erkennen
Der Fall liefert eine ungewöhnlich klare Prüfliste, weil fast jedes Warnsignal vorhanden war.
Der wichtigste Punkt zuerst: Ein verifizierter Account ist kein Echtheitsnachweis. Das blaue Häkchen bestätigt eine Identität, nicht die Kontrolle über das Konto zum Zeitpunkt des Beitrags.
Zweitens die fehlende Bestätigung über zweite Kanäle. Weder der Unternehmensaccount von Robinhood noch der Krypto-Kanal des Brokers hatten etwas veröffentlicht. Eine echte Produktankündigung eines börsennotierten Unternehmens läuft nie über einen einzelnen Post eines einzelnen Kontos. Das war für aufmerksame Beobachter der erste Hinweis.
Drittens das Alter des Contracts. 46 Minuten zwischen Deployment und Bewerbung sind kein Startzeitpunkt, sondern ein Betriebsmerkmal. Blockchain-Explorer zeigen das Erstellungsdatum eines Contracts öffentlich an. Bei jedem Token, der über Social Media beworben wird, ist das die erste Prüfung, die sich in unter einer Minute erledigen lässt.
Viertens der Zeitdruck im Post selbst. Contract-Adresse direkt im Beitrag, kein Verweis auf eine offizielle Seite, keine Dokumentation, keine überprüfbare Struktur dahinter. Wer eine Adresse zum sofortigen Kauf liefert, verkauft Geschwindigkeit – und Geschwindigkeit ist genau das, was Prüfung verhindert.
Fünftens, und das ist der neue Punkt: Gesperrte Liquidität ist kein Sicherheitsmerkmal. In der Ratgeberliteratur zu Krypto-Betrug gilt ein Liquidity Lock traditionell als Entwarnung, weil er den klassischen Rugpull ausschließt. Der Fall $VLAD zeigt, dass diese Regel überholt ist. Ein Token kann vollständig „gelockt“ sein und trotzdem allein dem Zweck dienen, Gebühren aus dem Handelsvolumen abzuschöpfen. Der Schaden entsteht dann nicht durch einen plötzlichen Absturz nach Liquiditätsentzug, sondern durch den Kursverlauf eines Assets, das keinerlei Grundlage hat.
Sechstens die Holder-Verteilung. Beim SCATMAN-Vorfall im Juli kontrollierte eine einzelne Adresse nach Explorer-Daten fast 90 Prozent des Angebots. Diese Information ist öffentlich einsehbar und im Zweifel aussagekräftiger als jede Ankündigung.
Was der Fall über den aktuellen Marktzyklus aussagt
Zwei Angriffe dieser Art auf demselben Netzwerk innerhalb von elf Tagen sind kein Zufall. Sie folgen der Aufmerksamkeit. Übernommene Konten prominenter Personen als Pump-Vehikel sind seit der Memecoin-Welle 2024 ein wiederkehrendes Muster, das damals unter anderem Konten aus dem Unterhaltungsbereich traf und später auch politische Persönlichkeiten erreichte.
Neu ist die Professionalisierung der Ertragsseite. Der Übergang vom einmaligen Liquiditätsabzug hin zur laufenden Gebührenabschöpfung über eine Launchpad-Infrastruktur bedeutet, dass der Täter nicht mehr auf einen einzigen Ausstiegsmoment angewiesen ist. Solange gehandelt wird, verdient er. Das verlängert die Lebensdauer solcher Konstrukte und macht sie für Außenstehende schwerer als Betrug erkennbar, weil das offensichtliche Ereignis – der Absturz nach dem Rug – ausbleibt.
Für Robinhood ist der Vorfall vor allem ein Reputationsproblem an einem ungünstigen Punkt. Das Unternehmen positioniert sein Netzwerk gegenüber institutionellen Adressen als Infrastruktur für tokenisierte Vermögenswerte. Ein Ökosystem, in dem der eigene CEO-Account als Werbefläche für einen Fake-Token dient, erschwert diese Positionierung erheblich. Nutzerkonten und interne Systeme des Brokers waren nach Unternehmensangaben zu keinem Zeitpunkt betroffen.
Für Anleger bleibt die nüchterne Konsequenz: Bei neu aufgelegten Token ist die Quelle einer Empfehlung kein Prüfkriterium. Die Prüfkriterien liegen auf der Blockchain und sind in wenigen Minuten zugänglich – Contract-Alter, Holder-Verteilung, Handelshistorie, Bestätigung über offizielle Unternehmenskanäle. Wer diese Schritte auslässt, weil ein bekannter Name im Absender steht, kauft genau das, was der Angreifer verkauft.
Dieser Beitrag könnte Dich auch interessieren: Aktueller Hardware-Wallet-Vergleich.
Alex Merten hat Wirtschaftswissenschaften mit Fokus auf Geldpolitik und digitale Märkte studiert. Seit mehr als 5 Jahren analysiert er die Entwicklungen im Krypto- und Finanzsektor und beschäftigt sich besonders mit der Rolle von Bitcoin in einem globalen Marktumfeld. Neben makroökonomischen Einschätzungen liegt sein Fokus auf datenbasierten Kursprognosen, Marktanalysen und verständlich aufbereiteten Infografiken. Neben seiner Tätigkeit auf boersen-parkett.de veröffentlicht er auch Beiträge auf cryptonews.com und 99bitcoins.com. Bei seiner Arbeit legt er besonderen Wert auf Faktentreue, Relevanz und eine klare Einordnung des täglichen Marktgeschehens.
Boersen-Parkett bei Google als bevorzugte Nachrichtenquelle markieren und keine Finanz- und Krypto-News mehr verpassen. Wie funktioniert das?