Beim Bored Ape Yacht Club summierten sich seit 2022 mehrere Sicherheits- und Kostenfälle: Ein Angriff auf den Instagram-Account kostete Besitzer 91 NFTs im Wert von rund 2,8 Millionen US-Dollar, und beim Verkauf der Otherdeeds verbrannten Käufer mehr als 157 Millionen Dollar an Ethereum-Gasgebühren. Hinzu kamen ein Angriff auf Discord, Beschwerden nach dem ApeFest in Hongkong sowie Gerichtsverfahren gegen Yuga Labs. In einem weiteren Fall rund um den Payment Processor von Limit Break gingen 2026 nach Rückgaben noch Vermögenswerte im Wert von etwa 3,4 Millionen Dollar verloren.
Die Vorfälle hatten unterschiedliche Ursachen. Bei mehreren NFT-Diebstählen nutzten Angreifer kompromittierte Social-Media- oder Community-Konten und Phishing-Links. Der besonders teure Start der Otherdeeds scheiterte dagegen an stark gestiegenen Transaktionsgebühren und fehlgeschlagenen Käufen. Die Unterscheidung ist für Nutzer praktisch relevant: Ein sicherer NFT-Vertrag schützt nicht automatisch vor gefälschten Links, alten Wallet-Freigaben oder hohen Gebühren.
Instagram- und Discord-Angriffe kosteten Millionen
Am 25. April 2022 übernahmen Angreifer den Instagram-Account des Clubs und veröffentlichten dort einen gefälschten Airdrop. Dabei gingen 91 NFTs verloren, darunter vier Bored Apes und sechs Mutant Apes. Der Wert der gestohlenen Token lag laut den im Bericht angeführten Angaben bei etwa 2,8 Millionen Dollar.
Yuga-Mitgründer Greg Solano erklärte, die Zwei-Faktor-Authentifizierung sei eingeschaltet gewesen, und kündigte eine Untersuchung des Angriffs an. Eine veröffentlichte Analyse dazu ist nicht bekannt. Für Nutzer blieb damit offen, wie die Angreifer Zugriff auf das Konto erhalten hatten.
Am 4. Juni 2022 folgte ein Angriff auf den Discord-Server. Über das kompromittierte Konto eines Community-Managers verbreiteten die Täter einen Phishing-Link. Laut den Angaben wurden ungefähr 32 NFTs im Wert von rund 200 Ether entwendet. Zum damaligen Zeitpunkt entsprach das etwa 360.000 Dollar. Yuga beschrieb den Vorfall als kurze Ausnutzung des Servers.
Im März desselben Jahres hatte ein anderer Vorgang mit dem APE-Airdrop für Schlagzeilen gesorgt. Ein Nutzer kaufte zunächst einen Bored Ape und lieh sich über einen Flash Loan und NFTX fünf weitere. Für alle sechs erhielt er jeweils 10.094 APE, insgesamt 60.564 Token. Anschließend gab er die geliehenen Apes in derselben Transaktion zurück. Der Erlös betrug laut The Block 399 Ether oder rund 1,1 Millionen Dollar.
Check Point Research ordnete die Ursache dem Ablauf des Airdrops zu, nicht einem Fehler in den Verträgen von BAYC oder ApeCoin. Eine öffentliche Stellungnahme von Yuga zu diesem Vorgang ist nicht bekannt. Der Fall unterscheidet sich damit von den Angriffen auf Instagram und Discord: Hier ging es um eine Schwachstelle im Verteilungsprozess und nicht um gestohlene Zugangsdaten.
Otherdeeds: mehr als 157 Millionen Dollar an Gasgebühren
Am 30. April 2022 verkaufte Yuga Labs 55.000 Otherdeeds, Grundstücks-NFTs für das Metaverse-Projekt Otherside. Der Preis lag bei 305 APE je Token. Der Ansturm auf den Verkauf ließ die Gebühren im Ethereum-Netzwerk stark steigen.
Käufer zahlten insgesamt mehr als 157 Millionen Dollar an Gas. Für einzelne Transaktionen wurden zwischen 2,6 und 5 Ether fällig. Ein Teil der Käufe scheiterte; auch bei diesen fehlgeschlagenen Transaktionen war das Gas verloren. Der praktische Schaden bestand also nicht nur darin, dass Käufer kein NFT erhielten. Sie mussten teils trotzdem hohe Gebühren tragen.
Am 4. Mai erstattete Yuga laut Decrypt Gasgebühren für fehlgeschlagene Transaktionen. Etherscan zufolge zahlte das Unternehmen 90,57 Ether zurück, damals rund 265.500 Dollar. Käufer mit erfolgreichen Transaktionen erhielten keine Rückzahlung. Einige Käufer berichteten zudem, dass angekündigte Erstattungen bei ihnen nicht angekommen seien.
Der Abstand zwischen den mehr als 157 Millionen Dollar an gezahltem Gas und den 90,57 Ether Erstattung zeigt, wie begrenzt die Rückzahlung ausfiel: Sie betraf fehlgeschlagene Transaktionen und nicht die Gebühren aller Käufer. Wer beim Verkauf erfolgreich war, musste seine Transaktionskosten selbst tragen.
Limit Break: alte Freigaben wurden zum Risiko
Am 24. September 2026 nutzten Angreifer eine Schwachstelle im Payment Processor von Limit Break. Viele NFT-Besitzer hatten dem Handelsvertrag zuvor eine Freigabe erteilt, unter anderem über den früheren Ethereum-Marktplatz von Magic Eden. Laut Revoke.cash entwendeten die Täter rund 622 Wrapped Ether sowie NFTs im Wert von mindestens 2,5 Millionen Dollar. Betroffen waren vor allem Ethereum, Polygon und Base.
Nach Rückgaben blieben Vermögenswerte im Wert von etwa 3,4 Millionen Dollar verloren. Sicherheitsforscher aus dem Umfeld des Yuga-Entwicklers 0xQuit sicherten mehr als 200.000 NFTs, die derselben Schwachstelle ausgesetzt waren. Besitzer erhielten dadurch Vermögenswerte im Wert von mehr als vier Millionen Dollar zurück.
Limit Break riet Nutzern, sämtliche Freigaben für den Vertrag umgehend zu widerrufen. Yuga warnte am 30. September, dass die Angriffe weiterliefen. Der Vorfall zeigt einen konkreten Unterschied zwischen dem Verwahren eines NFTs und der Verwaltung von Wallet-Rechten: Eine alte Freigabe kann auch dann relevant bleiben, wenn ein Nutzer den betreffenden Marktplatz nicht mehr verwendet.
ApeFest: Beschwerden nach UV-A-Beleuchtung
Nach dem Hauptabend des ApeFest am 4. November 2023 in Hongkong meldeten Gäste Augenschmerzen und Hautreizungen. Yuga bat Betroffene laut den damaligen Berichten, ärztliche Hilfe in Anspruch zu nehmen. Das Unternehmen stand nach eigenen Angaben mit 15 Personen in Kontakt. Diese Zahl entsprach weniger als einem Prozent der ungefähr 2.250 Gäste und Beschäftigten; Medien berichteten von mehr als 15 Fällen, teils von über 20.
Yuga und die Veranstaltungsagentur Jack Morton Worldwide bezeichneten am 9. November UV-A-Lampen in einem Bereich des Veranstaltungsorts als wahrscheinliche Ursache. Der Gründer von Artfi schickte Yuga ein Rechtsschreiben, das er als ersten Schritt zu einer Klage beschrieb. Ein öffentlich bekanntes Ergebnis dieses Vorgangs liegt nicht vor.
Gerichtsverfahren und SEC-Untersuchung
Yuga verklagte den Künstler Ryder Ripps und Jeremy Cahen im Juni 2022. Ripps und der YouTuber Philion hatten zuvor behauptet, Bilder und Logo des Clubs enthielten rassistische Karikaturen und Nazi-Anspielungen. Yuga wies diese Vorwürfe zurück. Im Verfahren ging es um Marken- und Domainrechte sowie Gegenklagen, nicht um eine gerichtliche Bewertung der Symbolvorwürfe.
Ein Bundesgericht gab Yuga 2023 in einem Teilurteil zunächst recht. Anfang 2024 sprach es dem Unternehmen laut The Block rund neun Millionen Dollar zu, darunter etwa sieben Millionen Dollar Anwaltskosten. Am 23. Juli 2025 hob ein Berufungsgericht die Entscheidungen zur Markenverletzung und zu den Domains auf. Es hielt NFTs zwar für Waren im Sinne des Markenrechts, sah das Risiko einer Verwechslung aber ohne Gerichtsverhandlung nicht als erwiesen an und verwies den Fall zurück.
Im April 2026 einigten sich die Parteien. Die Vereinbarung sieht ein dauerhaftes Verbot vor; Verträge, Domains und verbliebene RR/BAYC-NFTs gehen an Yuga. Über Zahlungen wurde nichts bekannt. Das Gericht entschied nicht über die Behauptungen zu den Symbolen.
Eine Sammelklage gegen Yuga, Sotheby’s und rund 40 weitere Beklagte, darunter Justin Bieber, Paris Hilton und Madonna, warf Prominenten nicht offengelegte Werbung für NFTs vor. Auch der Zahlungsdienst MoonPay soll laut Klage als verdeckter Kanal gedient haben. Yuga wies die Vorwürfe zurück. Am 30. September 2025 wies ein Richter die damalige Fassung der Klage ab: Die Kläger hätten weder überzeugend dargelegt, dass NFTs und ApeCoin Wertpapiere seien, noch, dass sie die Prominentenwerbung gesehen hätten.
Am 10. Oktober 2025 reichten die Kläger eine neue Klage ein. Die Beklagten beantragten erneut deren Abweisung; eine Entscheidung lag laut dem Stand vom 6. November 2026 noch nicht vor. Separat untersuchte die US-Börsenaufsicht SEC seit Oktober 2022 die NFTs von Yuga und ApeCoin. Yuga teilte am 3. März 2025 mit, die Untersuchung sei ohne Maßnahmen beendet worden. Die SEC kommentierte dies nicht.
Für Käufer bleiben die dokumentierten Kosten konkret: Beim Otherdeeds-Verkauf lagen einzelne Gaszahlungen bei 2,6 bis 5 Ether; bei Limit Break empfahl das Unternehmen am 30. September 2026, alle betroffenen Freigaben sofort zu widerrufen.
