Betreiber des gefälschten „Vladhood“-Tokens kassiert nach Hack des X-Kontos des Robinhood-CEOs weiter Gebühren

Das X-Konto von Robinhood-CEO Vlad Tenev wurde am Donnerstag kompromittiert und zur Bewerbung eines betrügerischen Memecoins genutzt, der auf Robinhood Chain aufgebaut war, wie das Unternehmen bestätigte. Onchain-Daten zeigen, dass das Schema bereits Stunden vor Veröffentlichung des Beitrags orchestriert wurde und darauf ausgelegt war, den anschließenden Handelsrausch zu monetarisieren, ohne dass die Betreiber jemals Liquidität abziehen mussten. Der Vorfall fügt sich in ein breiteres Muster ein, bei dem kompromittierte Konten prominenter Personen und Marken auf X genutzt werden, um betrügerische Token bei deren Followern zu bewerben, bevor die Aktivität gestoppt werden kann.

"Heads up: Our CEO Vlad Tenev's X account was compromised and posted a fake promotion for a meme coin," erklärte das Kommunikationsteam von Robinhood in einem Beitrag auf X rund 41 Minuten nach Erscheinen der betrügerischen Werbung. "We're working with X to restore access and the post has been removed."

Der Token mit dem Namen Vladhood (VLAD) generierte laut Daten von DexScreener innerhalb weniger Stunden nach dem Beitrag mehr als $22 Millionen Handelsvolumen und etwa 85.000 Swaps in seinem wichtigsten Uniswap-Pool. Um 3:55 pm ET handelte VLAD nahe $0.0026 bei einer vollständig verwässerten Bewertung von rund $2.6 Millionen — etwa 20% niedriger als in der vorangegangenen Stunde, aber immer noch mehr als 90.000% über dem Startpreis. Der Contract hatte 5.266 Holder angezogen und mehr als 137.000 Transfers im Block Explorer von Robinhood Chain verzeichnet, der ihn inzwischen als Betrug markiert hat.

Ein gezielt für den Hack konzipierter Token

Die für die Bereitstellung von Vladhood verantwortliche Wallet, identifiziert als 0xD706…438D, wurde eigens für die Operation erstellt. Onchain-Daten zeigen, dass sie ihre einzige Finanzierung von 0.2955 ETH am Donnerstag um 11:25 am ET von einer Wallet erhielt, die Block Explorer als Solver für Relay ausweisen, einen Cross-Chain-Bridging-Dienst — eine Routing-Methode, die die Ursprungskette verschleiert.

Um 12:38 pm ET führte die Wallet ihre erste Transaktion aus: den Start von Vladhood über Pons, die aktivste der im Stil von Pump.fun aufgebauten Token-Launchpads, die auf Robinhood Chain entstanden sind. Pump.fun, ursprünglich auf Solana gestartet, machte ein Modell populär, bei dem Token über Bonding Curves erstellt werden, ohne dass Ersteller Liquiditätspools anfänglich ausstatten müssen. Dadurch sinkt die Hürde für die Bereitstellung neuer Token, was zur Verbreitung von Memecoins über verschiedene Chains hinweg beigetragen hat. Die Startparameter führten https://x.com/vladtenev — Tenevs offizielles X-Profil — als vorgesehene Website des Tokens auf. Die betrügerische Werbung erschien 46 Minuten später auf diesem Konto, was darauf hindeutet, dass Token-Launch und Kontokompromittierung Bestandteile einer einzigen koordinierten Aktion waren und nicht die opportunistische Ausnutzung eines unabhängigen Sicherheitsvorfalls.

Die Wallet musste keine Liquidität abziehen, um Gewinne zu realisieren. Pons sperrt die Liquidität eines gestarteten Tokens in einem Locker-Contract, erlaubt den Erstellern aber, die von ihrem Token generierten Handelsgebühren einzufordern. Dieser Mechanismus unterscheidet das Schema vom häufigeren Rug-Pull-Muster, bei dem Betreiber Liquidität aus einem Pool abziehen, den Token dadurch unhandelbar machen und seinen Preis einbrechen lassen — und erschwert die Erkennung des Betrugs, da der Token vollständig funktionsfähig bleibt und der Pool weiter finanziert ist.

Sieben Minuten nach Erscheinen des gefälschten Beitrags rief die Wallet innerhalb von etwa zwei Stunden sechsmal die Gebühreneinziehungsfunktion des Lockers auf und sammelte dabei laut Blockscout-Daten etwa 31.6 ETH — im Wert von rund $59.000 — sowie rund 72 Millionen VLAD ein, was etwa 7% des Gesamtangebots entspricht und zu aktuellen Preisen mit etwa $188.000 bewertet wird.

Die Erlöse wurden anschließend auf drei neu erstellte Wallets verteilt. Der jüngste Gebührenanspruch der Wallet erfolgte um 3:33 pm ET, was darauf hindeutet, dass die Operation zum Zeitpunkt der Veröffentlichung weiterhin aktiv war. Da die Liquidität gesperrt bleibt, ist der Token trotz der Betrugskennzeichnung durch den Block Explorer weiterhin vollständig handelbar.

„Welcome to the Hood“

Der betrügerische Beitrag war so formuliert, dass er wie eine legitime Unternehmensmitteilung wirkte.

"Ahead of earnings, we've seen a lot of people asking… Does Robinhood love memes? The answer is yes," hieß es in dem Beitrag laut Screenshots, die vor seiner Löschung erstellt wurden. "So today we're introducing Vladhood ($VLAD), the official Robinhood chain mascot."

Der Beitrag behauptete, der Token werde "also be listed in the Robinhood app," enthielt die Contract-Adresse des Tokens und endete mit der Formulierung "Welcome to the Hood," begleitet von einem Meme-Bild, das Tenev mit einer Robin-Hood-Kappe zeigte, wie er zwischen Schaltflächen mit den Beschriftungen "MEMES" und "RWA" auswählt.

Die im Beitrag enthaltene Contract-Adresse entspricht dem onchain als Betrug markierten Vladhood-Contract. Der Beitrag sammelte in weniger als 20 Minuten mehr als 175.000 Aufrufe, bevor Nutzer ihn meldeten. Innerhalb weniger Stunden entstanden etwa 30 nachgeahmte VLAD-Pools; mindestens drei wurden auf null geleert.

Dritter Vorfall in drei Wochen

Der Sicherheitsverstoß ist mindestens der dritte Social-Media-Betrug im Zusammenhang mit Memecoins auf Robinhood Chain — dem auf Arbitrum basierenden Layer-2-Netzwerk, das Robinhood am July 1 gestartet hat, um tokenisierte Aktien und andere Real-World Assets zu hosten, und auf dem Memecoins seit Beginn den Großteil der Aktivität ausmachen. Am July 12 wurden gekaperte X-Konten von SpaceX und Starlink genutzt, um einen Memecoin auf Robinhood Chain zu bewerben, der eine Marktkapitalisierung von $2 Millionen erreichte, bevor seine Ersteller Liquidität abzogen. Tage später behauptete ein viraler X-Beitrag, Tenev habe während eines Livestreams versehentlich die Seed Phrase seiner Wallet offengelegt — eine Behauptung, die zu einem Honeypot-Betrugsmuster passte und nie bestätigt wurde.

Die Betrugsserie hat das Netzwerk nicht wesentlich gebremst; drei Wochen nach dem Start überholte es Base bei den täglich aktiven Nutzern. Ob die wiederholten Vorfälle Änderungen daran auslösen, wie Token-Launchpads im Netzwerk Gebührenansprüche von Erstellern oder Betrugskennzeichnungen handhaben, bleibt für Plattformbetreiber eine offene Frage.