Die Vorfälle hatten unterschiedliche Ursachen. Bei mehreren NFT-Diebstählen nutzten Angreifer kompromittierte Social-Media- oder Community-Konten und Phishing-Links. Der besonders teure Start der Otherdeeds scheiterte dagegen an stark gestiegenen Transaktionsgebühren und fehlgeschlagenen Käufen. Die Unterscheidung ist für Nutzer praktisch relevant: Ein sicherer NFT-Vertrag schützt nicht automatisch vor gefälschten Links, alten Wallet-Freigaben oder hohen Gebühren.

Instagram- und Discord-Angriffe kosteten Millionen

Am 25. April 2022 übernahmen Angreifer den Instagram-Account des Clubs und veröffentlichten dort einen gefälschten Airdrop. Dabei gingen 91 NFTs verloren, darunter vier Bored Apes und sechs Mutant Apes. Der Wert der gestohlenen Token lag laut den im Bericht angeführten Angaben bei etwa 2,8 Millionen Dollar.

Yuga-Mitgründer Greg Solano erklärte, die Zwei-Faktor-Authentifizierung sei eingeschaltet gewesen, und kündigte eine Untersuchung des Angriffs an. Eine veröffentlichte Analyse dazu ist nicht bekannt. Für Nutzer blieb damit offen, wie die Angreifer Zugriff auf das Konto erhalten hatten.

Am 4. Juni 2022 folgte ein Angriff auf den Discord-Server. Über das kompromittierte Konto eines Community-Managers verbreiteten die Täter einen Phishing-Link. Laut den Angaben wurden ungefähr 32 NFTs im Wert von rund 200 Ether entwendet. Zum damaligen Zeitpunkt entsprach das etwa 360.000 Dollar. Yuga beschrieb den Vorfall als kurze Ausnutzung des Servers.

Im März desselben Jahres hatte ein anderer Vorgang mit dem APE-Airdrop für Schlagzeilen gesorgt. Ein Nutzer kaufte zunächst einen Bored Ape und lieh sich über einen Flash Loan und NFTX fünf weitere. Für alle sechs erhielt er jeweils 10.094 APE, insgesamt 60.564 Token. Anschließend gab er die geliehenen Apes in derselben Transaktion zurück. Der Erlös betrug laut The Block 399 Ether oder rund 1,1 Millionen Dollar.

Check Point Research ordnete die Ursache dem Ablauf des Airdrops zu, nicht einem Fehler in den Verträgen von BAYC oder ApeCoin. Eine öffentliche Stellungnahme von Yuga zu diesem Vorgang ist nicht bekannt. Der Fall unterscheidet sich damit von den Angriffen auf Instagram und Discord: Hier ging es um eine Schwachstelle im Verteilungsprozess und nicht um gestohlene Zugangsdaten.

Otherdeeds: mehr als 157 Millionen Dollar an Gasgebühren

Am 30. April 2022 verkaufte Yuga Labs 55.000 Otherdeeds, Grundstücks-NFTs für das Metaverse-Projekt Otherside. Der Preis lag bei 305 APE je Token. Der Ansturm auf den Verkauf ließ die Gebühren im Ethereum-Netzwerk stark steigen.

Käufer zahlten insgesamt mehr als 157 Millionen Dollar an Gas. Für einzelne Transaktionen wurden zwischen 2,6 und 5 Ether fällig. Ein Teil der Käufe scheiterte; auch bei diesen fehlgeschlagenen Transaktionen war das Gas verloren. Der praktische Schaden bestand also nicht nur darin, dass Käufer kein NFT erhielten. Sie mussten teils trotzdem hohe Gebühren tragen.

Am 4. Mai erstattete Yuga laut Decrypt Gasgebühren für fehlgeschlagene Transaktionen. Etherscan zufolge zahlte das Unternehmen 90,57 Ether zurück, damals rund 265.500 Dollar. Käufer mit erfolgreichen Transaktionen erhielten keine Rückzahlung. Einige Käufer berichteten zudem, dass angekündigte Erstattungen bei ihnen nicht angekommen seien.

Der Abstand zwischen den mehr als 157 Millionen Dollar an gezahltem Gas und den 90,57 Ether Erstattung zeigt, wie begrenzt die Rückzahlung ausfiel: Sie betraf fehlgeschlagene Transaktionen und nicht die Gebühren aller Käufer. Wer beim Verkauf erfolgreich war, musste seine Transaktionskosten selbst tragen.

Limit Break: alte Freigaben wurden zum Risiko

Am 24. September 2026 nutzten Angreifer eine Schwachstelle im Payment Processor von Limit Break. Viele NFT-Besitzer hatten dem Handelsvertrag zuvor eine Freigabe erteilt, unter anderem über den früheren Ethereum-Marktplatz von Magic Eden. Laut Revoke.cash entwendeten die Täter rund 622 Wrapped Ether sowie NFTs im Wert von mindestens 2,5 Millionen Dollar. Betroffen waren vor allem Ethereum, Polygon und Base.

Nach Rückgaben blieben Vermögenswerte im Wert von etwa 3,4 Millionen Dollar verloren. Sicherheitsforscher aus dem Umfeld des Yuga-Entwicklers 0xQuit sicherten mehr als 200.000 NFTs, die derselben Schwachstelle ausgesetzt waren. Besitzer erhielten dadurch Vermögenswerte im Wert von mehr als vier Millionen Dollar zurück.

Limit Break riet Nutzern, sämtliche Freigaben für den Vertrag umgehend zu widerrufen. Yuga warnte am 30. September, dass die Angriffe weiterliefen. Der Vorfall zeigt einen konkreten Unterschied zwischen dem Verwahren eines NFTs und der Verwaltung von Wallet-Rechten: Eine alte Freigabe kann auch dann relevant bleiben, wenn ein Nutzer den betreffenden Marktplatz nicht mehr verwendet.

ApeFest: Beschwerden nach UV-A-Beleuchtung

Nach dem Hauptabend des ApeFest am 4. November 2023 in Hongkong meldeten Gäste Augenschmerzen und Hautreizungen. Yuga bat Betroffene laut den damaligen Berichten, ärztliche Hilfe in Anspruch zu nehmen. Das Unternehmen stand nach eigenen Angaben mit 15 Personen in Kontakt. Diese Zahl entsprach weniger als einem Prozent der ungefähr 2.250 Gäste und Beschäftigten; Medien berichteten von mehr als 15 Fällen, teils von über 20.

Yuga und die Veranstaltungsagentur Jack Morton Worldwide bezeichneten am 9. November UV-A-Lampen in einem Bereich des Veranstaltungsorts als wahrscheinliche Ursache. Der Gründer von Artfi schickte Yuga ein Rechtsschreiben, das er als ersten Schritt zu einer Klage beschrieb. Ein öffentlich bekanntes Ergebnis dieses Vorgangs liegt nicht vor.

Gerichtsverfahren und SEC-Untersuchung

Yuga verklagte den Künstler Ryder Ripps und Jeremy Cahen im Juni 2022. Ripps und der YouTuber Philion hatten zuvor behauptet, Bilder und Logo des Clubs enthielten rassistische Karikaturen und Nazi-Anspielungen. Yuga wies diese Vorwürfe zurück. Im Verfahren ging es um Marken- und Domainrechte sowie Gegenklagen, nicht um eine gerichtliche Bewertung der Symbolvorwürfe.

Ein Bundesgericht gab Yuga 2023 in einem Teilurteil zunächst recht. Anfang 2024 sprach es dem Unternehmen laut The Block rund neun Millionen Dollar zu, darunter etwa sieben Millionen Dollar Anwaltskosten. Am 23. Juli 2025 hob ein Berufungsgericht die Entscheidungen zur Markenverletzung und zu den Domains auf. Es hielt NFTs zwar für Waren im Sinne des Markenrechts, sah das Risiko einer Verwechslung aber ohne Gerichtsverhandlung nicht als erwiesen an und verwies den Fall zurück.

Im April 2026 einigten sich die Parteien. Die Vereinbarung sieht ein dauerhaftes Verbot vor; Verträge, Domains und verbliebene RR/BAYC-NFTs gehen an Yuga. Über Zahlungen wurde nichts bekannt. Das Gericht entschied nicht über die Behauptungen zu den Symbolen.

Eine Sammelklage gegen Yuga, Sotheby’s und rund 40 weitere Beklagte, darunter Justin Bieber, Paris Hilton und Madonna, warf Prominenten nicht offengelegte Werbung für NFTs vor. Auch der Zahlungsdienst MoonPay soll laut Klage als verdeckter Kanal gedient haben. Yuga wies die Vorwürfe zurück. Am 30. September 2025 wies ein Richter die damalige Fassung der Klage ab: Die Kläger hätten weder überzeugend dargelegt, dass NFTs und ApeCoin Wertpapiere seien, noch, dass sie die Prominentenwerbung gesehen hätten.

Am 10. Oktober 2025 reichten die Kläger eine neue Klage ein. Die Beklagten beantragten erneut deren Abweisung; eine Entscheidung lag laut dem Stand vom 6. November 2026 noch nicht vor. Separat untersuchte die US-Börsenaufsicht SEC seit Oktober 2022 die NFTs von Yuga und ApeCoin. Yuga teilte am 3. März 2025 mit, die Untersuchung sei ohne Maßnahmen beendet worden. Die SEC kommentierte dies nicht.

Für Käufer bleiben die dokumentierten Kosten konkret: Beim Otherdeeds-Verkauf lagen einzelne Gaszahlungen bei 2,6 bis 5 Ether; bei Limit Break empfahl das Unternehmen am 30. September 2026, alle betroffenen Freigaben sofort zu widerrufen.

Auch die rechtlichen Auseinandersetzungen entwickelten sich über Jahre. Ein Schadenersatzurteil über rund neun Millionen Dollar gegen den Künstler Ryder Ripps wurde 2025 aufgehoben; im April 2026 einigten sich beide Seiten. Eine Klage wegen angeblich nicht gekennzeichneter Prominentenwerbung wurde 2025 zunächst abgewiesen, eine neue Klageschrift ist noch anhängig. Yuga Labs teilte im März 2025 mit, dass die US-Börsenaufsicht SEC ihre Untersuchung ohne Maßnahmen beendet habe.

Angriffe auf Instagram und Discord

Am 25. April 2022 übernahmen Angreifer den Instagram-Account des Clubs und veröffentlichten dort einen gefälschten Airdrop. Nach Angaben aus dem Bericht verloren Nutzer dabei 91 NFT, darunter vier Bored Apes und sechs Mutant Apes. Der damalige Wert der gestohlenen Token wurde auf etwa 2,8 Millionen US-Dollar beziffert.

Yuga-Mitgründer Greg Solano erklärte nach dem Vorfall, dass für das Konto die Zwei-Faktor-Authentifizierung aktiviert gewesen sei. Er kündigte eine Untersuchung des Angriffs an. Eine veröffentlichte Analyse dazu wurde in der Quelle nicht gefunden. Für Nutzer war entscheidend, dass der Angriff über einen offiziellen Social-Media-Kanal lief: Ein bekanntes Konto allein bot somit keine Garantie, dass ein Airdrop-Angebot echt war.

Am 4. Juni 2022 traf es den Discord-Server. Angreifer nutzten das kompromittierte Konto eines Community-Managers, um einen Phishing-Link zu verbreiten. Berichten zufolge wurden rund 32 NFT mit einem Gesamtwert von etwa 200 Ether entwendet. Zum damaligen Zeitpunkt entsprach das ungefähr 360.000 US-Dollar. Yuga beschrieb den Zeitraum, in dem der Server missbraucht wurde, als kurz.

Ein weiterer, anders gelagerter Fall betraf die APE-Airdrop-Auszahlung am 17. März 2022. Ein Nutzer kaufte einen Bored Ape und nahm über NFTX einen Flash Loan auf fünf weitere Apes auf. Für alle sechs NFTs erhielt er jeweils 10.094 APE, insgesamt also 60.564 Token. Anschließend gab er die geliehenen Apes innerhalb derselben Transaktion zurück. Der Erlös belief sich laut Bericht auf 399 Ether beziehungsweise rund 1,1 Millionen US-Dollar.

Die Ursache lag nach Einschätzung von Check Point Research im Ablauf des Airdrops und nicht in den Smart Contracts von BAYC oder APE. Eine Reaktion von Yuga Labs auf diesen Vorfall war nicht bekannt. Der Fall unterschied sich damit von den Angriffen auf Instagram und Discord: Hier wurde kein Community-Konto übernommen, sondern eine Eigenschaft des Auszahlungsprozesses ausgenutzt.

Otherdeeds: mehr als 157 Millionen Dollar für Gas

Am 30. April 2022 bot Yuga Labs 55.000 Otherdeeds zum Verkauf an. Die NFTs repräsentierten Grundstücke in der geplanten Metaverse-Welt Otherside und kosteten jeweils 305 APE. Die Nachfrage ließ die Gebühren auf Ethereum stark steigen. Käufer zahlten laut Decrypt zusammen mehr als 157 Millionen US-Dollar an Gas. Einzelne Transaktionen kosteten demnach zwischen 2,6 und 5 Ether.

Ein Teil der Transaktionen scheiterte, doch auch in diesen Fällen wurde Gas verbraucht. Damit entstand für manche Käufer ein unmittelbarer Verlust, ohne dass sie das gewünschte NFT erhielten. Yuga erstattete am 4. Mai 2022 Gebühren für fehlgeschlagene Transaktionen. Etherscan wies Rückzahlungen von insgesamt 90,57 Ether aus, damals etwa 265.500 US-Dollar.

Die Erstattung galt nur für fehlgeschlagene Käufe. Wer erfolgreich ein Otherdeed erworben hatte, erhielt keine Gasgebühren zurück. Zudem meldeten einzelne Käufer, dass ihnen zustehende Rückzahlungen fehlten. Die Rückzahlung von 90,57 Ether war gemessen an den insgesamt gezahlten Gebühren deutlich kleiner; die Quelle nennt jedoch keine vollständige Aufstellung aller Erstattungsanträge oder der Zahl der betroffenen Käufer.

ApeFest in Hongkong: Beschwerden nach UV-Licht

Nach der Hauptveranstaltung von ApeFest am 4. November 2023 in Hongkong berichteten Gäste über Augenschmerzen und Hautreizungen. Yuga forderte Betroffene auf, ärztliche Hilfe in Anspruch zu nehmen. Das Unternehmen gab an, mit 15 Personen Kontakt gehabt zu haben. Diese Zahl entsprach nach Yugas Angaben weniger als einem Prozent der rund 2.250 Gäste und Mitarbeiter. Medienberichte nannten mehr als 15 Fälle, teilweise mehr als 20.

Am 9. November nannten Yuga und die Veranstaltungsagentur Jack Morton Worldwide UV-A-Lampen als wahrscheinliche Ursache. Ein Gründer des Unternehmens Artfi schickte Yuga nach den Berichten ein juristisches Schreiben, das er als ersten Schritt zu einer Klage bezeichnete. Ein öffentlich bekanntes Ergebnis dieses Vorgangs lag laut Quelle nicht vor.

Limit Break: Angriff auf alte Freigaben

Ab dem 24. September 2026 nutzten Angreifer eine Schwachstelle im Payment Processor von Limit Break aus. Dabei handelte es sich um einen Handelsvertrag, für den zahlreiche Nutzer über den früheren Ethereum-Marktplatz von Magic Eden Freigaben erteilt hatten. Betroffen waren Vermögenswerte auf Ethereum, Polygon und Base.

Nach Angaben von Revoke.cash wurden etwa 622 Wrapped Ether und NFT im Wert von mindestens 2,5 Millionen US-Dollar entwendet. Nach Rückgaben blieb ein Verlust von rund 3,4 Millionen Dollar bestehen. Sicherheitsforscher aus dem Umfeld des Yuga-Entwicklers 0xQuit nutzten dieselbe Schwachstelle, um mehr als 200.000 NFT zu sichern. Eigentümer holten Vermögenswerte im Wert von über vier Millionen Dollar zurück.

Limit Break riet Nutzern, sämtliche Freigaben zu widerrufen. Yuga warnte am 30. September, dass die Angriffe weitergingen. Der Vorfall machte alte Genehmigungen zum praktischen Risiko: Wer einem Vertrag dauerhaft Zugriff eingeräumt hatte, musste diese Freigabe gesondert zurücknehmen. Ein bloßes Zurückziehen eines Verkaufsangebots hob eine solche Genehmigung laut der im Ausgangstext enthaltenen Sicherheitshinweise nicht automatisch auf.

Der Rechtsstreit mit Ryder Ripps

Ryder Ripps und der YouTuber Philion warfen BAYC ab Anfang 2022 vor, die Bilder und Logos enthielten rassistische Karikaturen und Bezüge zum Nationalsozialismus. Yuga wies die Anschuldigungen zurück. Der Mitgründer Wylie Aronow bezeichnete sie im Juni 2022 als Desinformationskampagne. Der Anti-Defamation League zufolge bestand kein Zusammenhang zwischen dem Logo und einem Nazi-Totenkopfsymbol.

Ripps und Jeremy Cahen veröffentlichten unter dem Namen RR/BAYC eine NFT-Kollektion mit denselben Bildern. Beide bezeichneten das Projekt als satirische Konzeptkunst. Yuga verklagte sie im Juni 2022 wegen Markenrechtsverletzung. Ripps berief sich auf Fair Use und Meinungsfreiheit.

Ein US-Bezirksgericht gab Yuga im April 2023 in einem Teilurteil recht. Ende Oktober 2023 setzte es rund 1,6 Millionen Dollar fest; im endgültigen Urteil Anfang Februar 2024 wurden Yuga laut The Block etwa neun Millionen Dollar zugesprochen, davon rund sieben Millionen für Anwaltskosten. Das Berufungsgericht des Ninth Circuit hob am 23. Juli 2025 die Teilurteile zu Markenverletzung und Domains auf. Es entschied, dass eine Verwechslungsgefahr nicht ohne ein Verfahren feststand, und verwies den Fall zurück.

Im April 2026 schlossen die Parteien einen Vergleich. Ein dauerhaftes Verbot wurde vereinbart; Verträge, Domains und verbliebene RR/BAYC-NFT sollten an Yuga übergehen. Angaben zu möglichen Zahlungen machten die Parteien laut Quelle nicht. Über die Vorwürfe zu den Symbolen entschied kein Gericht. Gegenstand des Verfahrens waren Marken- und Domainrecht sowie Gegenansprüche von Ripps.

Prominentenwerbung und SEC-Untersuchung

Im Dezember 2022 reichte die Kanzlei Scott+Scott in Kalifornien eine Sammelklage gegen rund 40 Beklagte ein, darunter Yuga Labs, Sotheby’s und Prominente wie Justin Bieber, Paris Hilton und Madonna. Die Kläger warfen den Prominenten vor, bezahlte Werbung nicht kenntlich gemacht zu haben. MoonPay soll dabei als verdeckter Vermittler gedient haben. Yuga wies die Vorwürfe zurück.

Ein Gericht wies die Klage am 30. September 2025 in ihrer damaligen Form ab. Die Kläger hätten nicht überzeugend dargelegt, dass NFT und ApeCoin Wertpapiere seien oder dass sie die beanstandete Werbung gesehen hätten. Am 10. Oktober reichten sie eine neue Klageschrift ein. Yuga und die übrigen Beklagten beantragten erneut eine Abweisung; über diesen Antrag war zum im Ausgangstext genannten Stand vom 6. November 2026 noch nicht entschieden.

Die SEC untersuchte ab Oktober 2022 die NFT von Yuga und ApeCoin. Yuga teilte am 3. März 2025 mit, die Behörde habe die Untersuchung ohne Maßnahmen beendet. Die SEC selbst kommentierte den Vorgang nicht.

Weitere Streitpunkte innerhalb des BAYC-Umfelds

Am 4. Februar 2022 veröffentlichte BuzzFeed News die Namen der bis dahin unter Pseudonymen bekannten Mitgründer Greg Solano und Wylie Aronow. Die Angaben stammten aus Unternehmensunterlagen in Delaware; Yuga bestätigte die Identitäten. Aronow schrieb, er sei gegen seinen Willen enttarnt worden. Darauf folgte eine öffentliche Debatte darüber, ob die Veröffentlichung journalistische Arbeit oder Doxxing war.

Auch Ausgaben der ApeCoin DAO sorgten für Diskussionen. Die Mitglieder stimmten 2024 rund 210.000 Dollar in APE für einen BMW zu, mit dem ein Influencer Inhalte über ApeCoin erstellen sollte. Hinzu kamen 5,125 Millionen Euro für eine zweijährige Partnerschaft mit dem Formel-1-Team BWT Alpine. 2023 hatte die DAO außerdem elf Millionen APE für NFT-Käufe genehmigt, damals etwa zwölf Millionen Dollar. Die Antragsteller begründeten die Vorhaben mit Werbung und der Unterstützung des Ökosystems. Solano kritisierte im Juni 2025 laut Decrypt zu hohe Ausgaben für Prestigeprojekte. Im selben Monat stimmten 99,66 Prozent der DAO für ihre Auflösung.

Die Vorfälle reichen damit von kompromittierten Social-Media-Konten und missbrauchten Vertragsfreigaben bis zu Gebührenverlusten und Gerichtsverfahren. Für Nutzer blieb eine konkrete finanzielle Unterscheidung bestehen: Bei den Otherdeeds wurden Gebühren nur für fehlgeschlagene Transaktionen erstattet; erfolgreiche Käufer erhielten keine Gasrückzahlung. Beim Limit-Break-Angriff empfahl der Anbieter, bestehende Freigaben zu widerrufen.