Beim Bored Ape Yacht Club gingen 2022 NFTs im Wert von rund 2,8 Millionen US-Dollar über ein gekapertes Instagram-Konto verloren; wenige Tage später verbrannten Käufer beim Verkauf der Otherdeed-Landstücke mehr als 157 Millionen Dollar an Ethereum-Gasgebühren. Seit 2021 kamen weitere Sicherheitsvorfälle, ein Festival mit möglichen UV-A-bedingten Beschwerden und mehrere Gerichtsverfahren hinzu. Die Folgen reichen von konkreten Verlusten für NFT-Besitzer bis zu weiterhin ungeklärten Ansprüchen gegen Yuga Labs und prominente Werbeträger.
Angriffe auf Instagram und Discord
Am 25. April 2022 übernahmen Angreifer den Instagram-Account des Clubs und veröffentlichten dort einen gefälschten Airdrop. 91 NFTs wechselten den Besitzer, darunter vier Bored Apes und sechs Mutant Apes. The Block bezifferte ihren Wert auf etwa 2,8 Millionen Dollar. Yuga-Mitgründer Greg Solano erklärte, die Zwei-Faktor-Authentifizierung sei aktiviert gewesen, und kündigte eine Untersuchung des Vorfalls an. Ein veröffentlichter Bericht über diese Prüfung war nach Angaben des Ausgangsberichts nicht auffindbar.
Am 4. Juni desselben Jahres traf es den Discord-Server. Über das gekaperte Konto eines Community-Managers verbreiteten die Täter einen Phishing-Link. Laut The Block wurden dabei rund 32 NFTs im damaligen Wert von etwa 200 ETH beziehungsweise rund 360.000 Dollar erbeutet. Yuga bezeichnete den Vorfall als kurzen Angriff auf den Server.
In beiden Fällen lag der Angriff nicht nach den vorliegenden Angaben an einem Fehler im Bored-Ape-Smart-Contract. Nutzer wurden über kompromittierte Konten zu gefälschten Angeboten geführt. Für NFT-Besitzer bedeutet das praktisch: Ein bekannter Account ist allein keine Garantie, dass ein dort geteilter Claim-Link echt ist.
Airdrop und hohe Transaktionskosten
Schon am 17. März 2022 nutzte ein Nutzer einen Flash Loan, um im Rahmen des ApeCoin-Airdrops 60.564 APE zu beanspruchen. Der Ablauf: Er kaufte einen Bored Ape, lieh über NFTX fünf weitere, beanspruchte für alle sechs jeweils 10.094 APE und gab die geliehenen Apes noch in derselben Transaktion zurück. Laut The Block brachte das 399 ETH ein, damals rund 1,1 Millionen Dollar.
Check Point Research führte den Vorfall auf den Ablauf des Airdrops zurück, nicht auf einen Fehler in den BAYC- oder APE-Verträgen. Eine Stellungnahme von Yuga zu diesem Vorgang war laut Quelle nicht bekannt. Der Fall zeigt, dass auch ein Verfahren rund um einen Token-Airdrop unerwartete Ergebnisse ermöglichen kann, ohne dass der zugrunde liegende NFT-Vertrag selbst als Ursache gilt.
Am 30. April 2022 verkaufte Yuga 55.000 Otherdeeds, digitale Grundstücke für das Metaverse-Projekt Otherside, zum Preis von jeweils 305 APE. Der Andrang ließ die Ethereum-Transaktionsgebühren stark steigen. Käufer zahlten insgesamt mehr als 157 Millionen Dollar an Gas; für einzelne Transaktionen fielen laut Decrypt zwischen 2,6 und fünf ETH an. Zahlreiche Transaktionen scheiterten, doch die dafür verbrauchten Gebühren wurden trotzdem abgezogen.
Yuga erstattete am 4. Mai Gas für fehlgeschlagene Käufe. Etherscan zufolge flossen 90,57 ETH zurück, damals rund 265.500 Dollar. Erfolgreiche Käufer erhielten keine Erstattung. Auch bei einigen gescheiterten Transaktionen meldeten Käufer laut Fortune fehlende Rückzahlungen. Der praktische Unterschied war erheblich: Wer ein Grundstück erhielt, trug die hohen Gebühren selbst; wer beim Kauf scheiterte, musste auf eine Erstattung hoffen, die nur einen Teil der gesamten Gas-Ausgaben abdeckte.
Weitere Sicherheitsrisiken und ApeFest
Am 24. September 2026 nutzten Angreifer nach Angaben von Revoke.cash eine Schwachstelle im Payment Processor von Limit Break aus. Dabei handelte es sich um einen Handelsvertrag, für den viele Nutzer zuvor über den früheren Ethereum-Marktplatz von Magic Eden eine Berechtigung erteilt hatten. Die Täter erbeuteten demnach rund 622 WETH und NFTs im Wert von mindestens 2,5 Millionen Dollar, vor allem auf Ethereum, Polygon und Base. Nach Rückgaben bezifferte die Quelle den verbleibenden Verlust auf etwa 3,4 Millionen Dollar.
Sicherheitsforscher, darunter der Yuga-Entwickler 0xQuit, nutzten dieselbe Schwachstelle, um mehr als 200.000 NFTs in Sicherheit zu bringen. Besitzer erhielten Vermögenswerte im Wert von über vier Millionen Dollar zurück. Limit Break empfahl, alle Berechtigungen für den betroffenen Vertrag sofort zu widerrufen. Yuga warnte am 30. September, die Angriffe dauerten an. Der Vorfall macht deutlich, dass alte Freigaben für Smart Contracts auch dann ein Risiko darstellen können, wenn ein Nutzer den betreffenden Marktplatz nicht mehr verwendet.
Beim ApeFest in Hongkong klagten Gäste nach der Hauptveranstaltung am 4. November 2023 über Augenschmerzen und Hautreizungen. Yuga riet Betroffenen laut Artnet, ärztliche Hilfe zu suchen. Das Unternehmen stand nach eigenen Angaben mit 15 Personen in Kontakt; das entsprach weniger als einem Prozent der ungefähr 2.250 Gäste und Mitarbeitenden. Medien berichteten von mehr als 15 Fällen, teils von über 20.
Yuga und die Veranstaltungsagentur Jack Morton Worldwide nannten am 9. November UV-A-Lampen in einer Ecke des Veranstaltungsorts als wahrscheinliche Ursache. Ein Gründer des Unternehmens Artfi schickte Yuga nach eigener Aussage ein rechtliches Schreiben als ersten Schritt auf dem Weg zu einer Klage. Ein öffentlich bekanntes Ergebnis dieses Vorgangs enthält die Quelle nicht.
Gerichte, Markenrecht und SEC-Untersuchung
Der Künstler Ryder Ripps und der YouTuber Philion warfen dem Club ab Anfang 2022 vor, die Bilder und das Logo enthielten rassistische Karikaturen und Nazi-Bezüge. Yuga wies die Vorwürfe zurück. Im Juni 2022 verklagte das Unternehmen Ripps und Jeremy Cahen wegen einer unter dem Namen RR/BAYC verkauften Sammlung mit denselben Bildern. Ripps und Cahen bezeichneten das Projekt als satirische Konzeptkunst und beriefen sich auf freie Meinungsäußerung und Fair Use.
Ein US-Bezirksgericht entschied im April 2023 teilweise zugunsten Yugas. Ende Oktober setzte es den Schaden auf rund 1,6 Millionen Dollar fest. Im endgültigen Urteil Anfang Februar 2024 sprach es Yuga laut The Block rund neun Millionen Dollar zu, davon etwa sieben Millionen für Anwaltskosten.
Am 23. Juli 2025 hob das Berufungsgericht des neunten Bezirks die Teilentscheidungen zu Markenverletzung und Domains auf. Es hielt NFTs zwar für Waren im Sinne des Markenrechts, befand aber, dass eine Verwechslungsgefahr ohne ein Verfahren nicht festgestellt werden könne, und verwies den Fall zurück. Im April 2026 einigten sich die Parteien. Die Verträge, Domains und verbliebenen NFTs von RR/BAYC gingen an Yuga; Zahlungen wurden nicht berichtet. Über die Vorwürfe zu den Symbolen entschied kein Gericht.
Eine Sammelklage gegen Yuga, Sotheby’s und Prominente wie Justin Bieber, Paris Hilton und Madonna wurde am 8. Dezember 2022 in Kalifornien eingereicht. Die Kläger behaupteten, Prominente hätten NFTs gegen Bezahlung beworben, ohne diese Zahlungen offenzulegen; MoonPay sei als verdeckter Kanal eingesetzt worden. Die Beklagten wiesen die Vorwürfe zurück. Am 30. September 2025 wies Richter Fernando Olguin die Klage in ihrer damaligen Form ab. Die Kläger hätten weder ausreichend dargelegt, dass NFTs und ApeCoin Wertpapiere seien, noch dass sie die Werbung der Prominenten gesehen hätten.
Am 10. Oktober 2025 reichten die Kläger eine geänderte Klage ein. Yuga und die übrigen Beklagten beantragten erneut die Abweisung; laut Gerichtsakte stand eine Entscheidung zum 6. November 2026 noch aus. Auch die SEC untersuchte seit Oktober 2022 Yugas NFTs und ApeCoin. Yuga teilte am 3. März 2025 mit, die Behörde habe die Untersuchung ohne Maßnahmen beendet. Die SEC selbst kommentierte den Vorgang nicht.
Was NFT-Besitzer daraus praktisch ableiten können
Die dokumentierten Fälle betreffen unterschiedliche Schwachstellen: kompromittierte Social-Media-Konten, Phishing, ein Airdrop-Verfahren, überlastete Ethereum-Transaktionen und länger bestehende Vertragsfreigaben. Entsprechend unterscheiden sich auch die Schutzmaßnahmen. Nutzer sollten Berechtigungen für Smart Contracts prüfen und nicht mehr benötigte Freigaben widerrufen. Das Zurückziehen eines NFT-Angebots löscht eine zuvor erteilte Genehmigung nicht automatisch.
Wertvolle NFTs lassen sich von einer Wallet trennen, die regelmäßig mit neuen Mint- oder Claim-Seiten verbunden wird. Eine Hardware-Wallet schützt den privaten Schlüssel, verhindert aber nicht, dass ein Nutzer eine schädliche Transaktion selbst bestätigt. Claims und Käufe sollten ausschließlich über verifizierte offizielle Kanäle aufgerufen werden. Vor einer Bestätigung lohnt sich außerdem ein Blick auf die angezeigte Gebühr: Bei der Otherdeed-Verkaufswelle kosteten einzelne Transaktionen 2,6 bis fünf ETH, und auch fehlgeschlagene Vorgänge verbrauchten Gas.
Für Käufer bleibt die Kostenseite deshalb ebenso relevant wie der NFT-Preis. Beim Otherdeed-Verkauf summierten sich die Gebühren auf mehr als 157 Millionen Dollar; die dokumentierte Rückzahlung von 90,57 ETH betraf fehlgeschlagene Transaktionen, nicht erfolgreiche Käufe.
