Scam: Uphold 'Sicherheitsvorfall' über Drittanbieter?

Heute bin ich darüber "informiert" worden, dass es zu einer "Datenpanne" bei einem Drittanbieter gekommen sei, die Nutzer von Uphold betrifft. Uphold ist eine Plattform, die eine Wallet für Kryptogeld bereitstellt. Und diese Nachricht ist Scam. Ich ziehe mal einige Informationen zusammen, und warum man mutmaßlich die Finger von dem ganzen Zeugs lassen sollte.

Hintergrund zu Uphold

Uphold ist laut Eigenangabe eine Multi-Asset-Plattform für digitales Geld, die Finanzdienstleistungen für einen globalen Markt anbietet. Konkret bietet Uphold die Möglichkeit, ein Konto zu führen, um Kryptogelder zu verwalten und diese zu handeln und in US-Dollar oder Euro zu transferieren bzw. weitere Kryptogelder für diverse Kryptowährungen zu kaufen.

Beim Anbieter hört sich das so an: "Upholds einzigartiges „Anything-to-Anything"-Handelserlebnis ermöglicht es Kunden, direkt zwischen verschiedenen Anlageklassen zu handeln, wobei integrierte Zahlungen eine Zukunft fördern, in der jeder Zugang zu Finanzdienstleistungen hat."

Uphold bedient über 140 Länder mit mehr als 300 Währungen (traditionelle und Kryptowährungen) und Rohstoffen und bietet seinen Mitgliedern weltweit reibungslose Devisen- und grenzüberschreitende Überweisungen. Seit unserer Gründung im Jahr 2015 hat Uphold Transaktionen im Wert von über 40 Milliarden US-Dollar abgewickelt.

Auf BrokerChooser wird Uphold nicht als vertrauenswürdiger Dienstleister betrachtet. Diese Einschätzung basiert laut Eigenaussage auf öffentlich verfügbaren regulatorischen Informationen und der Tatsache, dass er von keiner erstklassigen Aufsichtsbehörde reguliert wird. Das könnte Investitionen und Guthaben gefährden, heißt es.

Was habe ich mit Uphold zu tun?

Zu Uphold bin ich "wie die Jungfrau zum Kind gekommen". Es gibt die Möglichkeit, Internetplattformen über Coil zu monetarisieren. Coil ermöglicht Leuten monatlich einen festen Beitrag zur Verteilung an besuchte Webseiten zu spenden. Webseiten binden bestimmte Meta-Informationen in den Header ein, und bekommen bei jedem Besuch eines Coil-Nutzers einen geringen Betrag (Bruchteile eines Cents) in Form einer Kryptowährung gut geschrieben (sozusagen Spotify for Web-Publisher). Das Ganze ist hier beschrieben.

Ich hatte Coil einige Zeit hier im Blog eingebunden (war ein mehrfacher und gut gemeinter Leser-Hinweis "muss Du unbedingt probieren", den ich skeptisch und widerwillig umgesetzt habe). Coil ist aber, wegen Erfolglosigkeit, längt wieder aus dem Blog rausgeworfen worden.

Habe gerade mal geschaut: Laut meinem Blog-Beitrag Flattr in aller Stille "beerdigt" aus 2024 hatte ich Coil seit Anfang 2023 hier im Blog eingebunden. Die Einnahmen eines ganzen Jahres 2023 bewegten sich im Januar 2024 bei 1,76 Euro. Und um dieses digitale Kryptogeld zu verwalten sowie ggf. wieder in Euro zurück zu transferieren, benötigte man ein Konto bei uphold.com. Natürlich wird bei jeder Transaktion in echtes Geld ein "Wegezoll" fällig.

Bereits 2022 schrieb ich im Blog-Beitrag 46.000 Leute verlieren durch Betrug mit Kryptowährungen 1 Milliarde US-$ seit 2021 folgendes:

Alte Erfahrung: Finger weg, wenn Du von der Sache nichts verstehst. Aus den obigen Erkenntnissen heraus bin ich persönlich nie das Risiko einer Investition in diesem Bereich eingegangen. Es läuft zwar eine Wallet bei uphold.com auf meinen Namen, in der Spenden von Blog-Besuchern, die am Coil-Projekt teilnehmen, gesammelt werden. Kontostand seit Anfang des Jahres so um die 2 Euro. Die Bestellung des Rolls Royce habe ich jetzt "etwas nach hinten geschoben", so irgendwo auf das Jahr 2200, denn ich warte noch auf die gigantischen Wertzuwächse der Kryptogeld-Guthaben.

Benachrichtigung über 'Datenvorfall'

Coil ist hier im Blog längst ausgebaut – ich weiß auch nicht, ob mein Wallet bei uphold.com zwischenzeitlich den Guthabenwert von 2 Euro überschreitet. Letztendlich war uphold.com eine Karteileiche und ich hatte immer "musst Du dich mal anmelden, ein Guthaben ggf. transferieren und das Konto auflösen" im Hinterkopf.

Heute bekam ich eine E-Mail von tarte.com, die mich darüber informierte, dass deren Sicherheitsteam am 17. Dezember 2025 eine Sicherheitsverletzung festgestellt habe, die mein Uphold-Konto betreffen könne. Betroffen seien meine E-Mail-Adresse, mein Namen und diverse weitere Daten. Es waren keine Links angegeben, sondern nur Telefonnummern in den USA, die man ggf. kontaktieren könne. Gut, der Schaden wäre gering und rangiert in der Kategorie des Witzes aus meiner Studentenzeit, mit denen wir unsere Kommilitonen aus Bayern zu ärgern pflegten (der Witz: "Es ist eine Atombombe auf Bayern gefallen, 65 Mark Sachschaden" – die Botschaft: das kannst Du kaum Schaden anrichten).

Scam von Tarte.com?

Mein erster Gedanke: Scam oder Phishing. Phishing wird schwierig, es sind ja keine Links, die man anklicken soll, in der Mail angegeben. Könnte noch sein, dass die angegebene Telefonnummer in den USA für Betrug genutzt wird. War für mich aber weit weg, da ich keine US-Telefonnummern anrufe.

Eine mögliche Erklärung: Die Mail zielt auf US-Bürger, die die angegebene Rufnummer +1888 278 1174 anrufen sollen. Dort werden Gebühren fällig, oder die Mail dient dazu, gültige Telefonnummern von Rückrufern abzufischen. Letzteres könnte man umgehen, indem man mit unterdrückter Rufnummer dort anruft.

Die wahrscheinlichere Erklärung: Jemand der ein Konto bei Uphold mit Wallet-Guthaben dort hat, ruft die Nummer an, die Betrüger versuchen dem Anrufer persönliche Daten zu entlocken und missbrauchen diese dann, um die Wallet im Uphold-Konto zu plündern. Habe ich nicht überprüft, da ich keine Telefonnummern in den USA anrufe.

Das Ganze ist wohl Vhishing

Inzwischen gehe ich von einer hohen Wahrscheinlichkeit aus, dass die Mail ein Fake ist. Die Absenderadresse tarte.com löst auf tartecosmetics[dot]com auf, eine Kosmetik-Marke in den USA. Die Firma ist zwar schon mal mit Datenpannen aufgefallen, scheint aber kein "Dienstleister von Uphold" zu sein. Verstärkt das Ganze in Richtung "obskure Mail".  An dieser Stelle hätte ich die Mail löschen und mir den Post sparen können.

Ergänzung: Gibt inzwischen diesen Bot-Beitrag, der das Ganze als Scam für Vishing outet. Ziel ist es wohl, an die Zugangsdaten für die Uphold-Konten heran zu kommen – da Mitmenschen dort ggf. hohe Werte in ihrer Wallet verwahren. Das dürfte mit den nachfolgenden Informationen aber mutmaßlich schwierig werden.

Aber auch Uphold ist für mich verbrannt

Abseits des Sachverhalts, ob die obige Mail inhaltlich stimmt oder nicht, gäbe es noch was zu Uphold zu sagen. Immerhin bieten die eine digitale Wallet für Kryptogelder und Funktion zum Handeln digitaler Werte an. Hier kommen wir zum Punkt, wo der Anbieter für mich verbrannt ist.

Schlechte Erfahrung beim Einrichten

Bereits beim Einrichten des Uphold-Kontos in 2021 0der 2022 (genau weiß ich es nicht mehr), welches ich für Coil-Zahlungen brauchte, war die Erfahrung alles andere als positiv. Ich musste das Benutzerkonto mehrfach zurücksetzen, bevor damals alles klappte und eine digitale Wallet funktionsfähig war.

Chrome-Browser zeigt schwarze Seite

Mein aktueller Versuch, mich nach langer Zeit über meine Uphold-Zugangsdaten an dem mir bekannten Uphold-Konto anzumelden, endete erneut mit einer unguten Erfahrung, die sich nahtlos an das anschließt, was ich aus 2022 erinnere. Im Ungoogled Chromium-Browser blitzt nach dem Eintippen der URL kurz irgend ein Inhalt auf, dann kommt eine Cookie-Anfrage und anschließend bekomme ich eine leere schwarze Seite angezeigt.

Irgendwie habe ich es mal geschafft, zu erkennen, dass mir noch ein Fehler "Sorry, there was an Error" (in grau auf schwarzem Hintergrund) angezeigt wird. Es ist immer beruhigend, wenn "absolute Spezialisten" beim GUI-Design dran sind – da fühlst Du dich doch gleich aufgehoben.

Im Firefox will die Uphold-Wallet-Anmeldung eine App

Ich habe dann ersatzweise den aktuellen Firefox als Browser benutzt und die mir bekannte URL der Uphold-Seite aufgerufen. Dort kann ich die Anmeldeseite für das Uphold-Konto anwählen. Beim Versuch einer Anmeldung bekomme ich aber die Ansage, dass ich den Anmeldeversuch über die Uphold-App bestätigen soll.

Klingt nach 2FA – Problem ist aber, dass ich keine Uphold-App habe – muss wohl irgendwann eingeführt worden sein. Ich müsste mir eine Uphold-App aus dem Google Play Store herunterladen. Über diese App soll ich meine Anmeldung bestätigten, aber irgendwie  ist der Ansatz "halbseiden" – denn ich muss mich an der App ja auch mindestens einmalig authentifizieren.

Eine kurze Recherche in den Bewertungen der Uphold-Android-App ergab kein sonderlich motivierendes Bild. Unbrauchbar und die Aussage, dass dort eine Identitätsfeststellung per Ausweis etc. erfolgen soll und nichts wirklich funktioniert (deckt sich mit meiner alten Erfahrung). Ich habe daher das mit der App sein lassen und werde nun auch auf die mutmaßlich 2 Euro Uphold-Guthaben in meiner Wallet verzichten.

Und die Moral von der Geschicht?

Und damit sind wir wieder bei meinem obigen Satz: "Alte Erfahrung: Finger weg, wenn Du von der Sache nichts verstehst. " Aber nun werde ich nie erfahren, ob ich inzwischen vielleicht Krypto-Milliardär geworden bin. Ok, die Chance auf Krypto-Milliardär ist gering, erinnere nicht mehr, welche Kryptowährung es war, aber als der Bitcoin-Kurs steil ging, dümpelte diese Kryptowährung in meiner Wallet seitwärts vor sich hin –  meiner Erinnerung nach bin ich nie über einen Wert von 2 Euro gekommen). Immerhin kann ich mich nun im Gedanken "wer weiß, vielleicht bist Du längst Krypto-Millionär" suhlen – muss aber diesbezüglich wohl dumm sterben.

Zudem hat mich die Erinnerung bei der Einrichtung des Uphold-Kontos vorsichtig werden lassen – ich brauchte viele Durchläufe, bis ich das endlich funktionsfähig hatte. War dann der Punkt, wo ich mir sagte "versuche mal Coil, aber ziehe sofort das Geld ab, wenn es mal mehr als 5 Euro werden".

Die Moral von der Geschicht ist aber eine gänzlich andere. Da wir hier im Blog oft beim Thema "Digitalisierung, AI, Fortschritt und die Fortschritts-feindlichen Alten sind, die alles ablehnen", kann ich mir einen Seitenhieb nicht verkneifen: Meine Frau erzählt mir gelegentlich, dass "andere Rentner im Kreise ihrer Bekanntinnen sich mit Kryptogeldern befassen – das sei Fortschritt, das müsse man können". Hippe Youngster haben das auf jeden Fall drauf …

Wenn ich mal Revue passieren lasse, wie vielen Leuten ihr Krypto-Wallet schon gehackt wurde, bin ich doch gerne "alter weißer Mann, der seine paar Kröten in einer Geldkatze am Gürtel trägt, und ansonsten von der modernen Digitalisierungswelt keine Ahnung hat und nicht auf jeden Scheiß aufspringt".

Nur letztens beim Rewe wollte die Selbstscanner-Kasse nix von meiner Geldkatze wissen und hat nach "App gefragt". Gut, hab dann die kalte Schulter gezeigt und bin eins weiter zu Denns gewandert, um meine Brötchen zu kaufen. Die haben noch echtes Bargeld genommen, war richtig krass. Das Leben kann schon hart sein …

Ähnliche Artikel:
Flattr in aller Stille "beerdigt"
46.000 Leute verlieren durch Betrug mit Kryptowährungen 1 Milliarde US-$ seit 2021