SIM-Swapping: Krypto-Dieb in London zu 2,5 Jahren verurteilt

Ein Londoner, der an einer SIM-Swapping-Masche beteiligt war, bei der vier Opfer um Kryptowährung im Wert von fast 260.000 US-Dollar gebracht wurden, muss für zweieinhalb Jahre ins Gefängnis.

Der 25-jährige Ajay Shinjin aus Canary Wharf, einem Geschäftsviertel im Osten Londons, wurde am Donnerstag vom Inner London Crown Court verurteilt. In England und Wales werden schwere Strafsachen vor dem Crown Court verhandelt. Shinjin, der auch unter dem Namen AJ Marley Cruz auftritt, hatte sich im September der Verabredung zum Betrug durch Täuschung sowie der Übertragung von Vermögen aus Straftaten schuldig bekannt.

Nach Angaben der City of London Police gab er die Beute für Luxusurlaube in Dubai und vergoldete Zahnschienen, sogenannte Grills, aus.

So lief die Masche ab

Der Betrug fand im November 2021 statt. Die Täter übertrugen die Telefonnummern der Opfer auf SIM-Karten, die sie selbst kontrollierten, und brachten die Nummern so unter ihre Kontrolle.

Mit den Nummern konnten sie die Einmal-Sicherheitscodes empfangen, die Banken und Krypto-Plattformen per SMS verschicken. Damit hebelten sie den Kontoschutz aus und verschafften sich Zugriff auf Bankkonten und Krypto-Wallets der Opfer.

Aufgefallen waren die Aktivitäten zuerst dem britischen Telekommunikationskonzern BT. Das Unternehmen stellte unbefugte Aktivitäten in seinen Systemen fest und entdeckte, dass Telefonnummern von Kunden auf SIM-Karten in den Händen von Kriminellen übertragen worden waren.

Die Ermittler verfolgten die Spur zu mehreren Geräten, die elektronische SIM-Karten, sogenannte eSIMs, unterstützen. Mithilfe der Daten von BT konnte die Polizei eine Gruppe von Verdächtigen ermitteln. Shinjin wurde mit vier der bei der Masche genutzten Geräte in Verbindung gebracht.

Vier Opfer, eine Woche

Die Polizei ermittelte vier Opfer, deren Krypto-Konten in der ersten Novemberwoche 2021 kompromittiert wurden:

• Ein Opfer verlor Kryptowährung im Wert von etwa 40.000 GBP (58.000 US-Dollar), davon flossen rund 27.000 GBP (35.000 US-Dollar) auf Shinjins persönliches Krypto-Konto.
• Ein zweites verlor rund 17.000 GBP (22.000 US-Dollar). Die Ermittler verfolgten den gesamten Betrag bis zu Shinjins Wallet zurück.
• Einem dritten wurden etwa 8.000 GBP (10.000 US-Dollar) von einem Coinbase-Konto gestohlen.
• Ein viertes verlor Kryptowährung im Wert von etwa 130.000 GBP (172.000 US-Dollar).

Laut Polizei half Shinjin beim dritten und vierten Diebstahl mit, auch wenn das Geld in diesen Fällen an andere Stellen ging.

Zwei Festnahmen

Shinjin wurde erstmals 2021 in seiner Londoner Wohnung festgenommen. Nachdem weitere Beweise aufgetaucht waren, wurde er im Oktober 2023 bei seiner Rückkehr aus Dubai am Flughafen Heathrow erneut festgenommen. In den polizeilichen Vernehmungen verweigerte er die Aussage.

Detective Constable Simon Ardeman von der City of London Police sprach von "einem komplexen und kalkulierten Betrug, der einer Reihe von Opfern erheblichen finanziellen Schaden zugefügt hat". Er fügte hinzu: "SIM-Swap-Betrug ist eine raffinierte und zunehmend besorgniserregende Form der Kriminalität."

Die Polizei erklärte, der Ausgang des Verfahrens zeige, dass Menschen, die Technik für Finanzbetrug missbrauchen, zur Rechenschaft gezogen werden. "Diese Verurteilung sendet eine klare Botschaft, dass diejenigen, die Technik für Betrug nutzen, vor Gericht gestellt werden", so die Polizei.

Unsere Einschätzung

Der Fall erinnert daran, dass eine Telefonnummer ein schwacher Anker für die Kontosicherheit ist. Sobald Angreifer die Nummer kontrollieren, schützen SMS-Codes gar nichts mehr. Das legt nahe, dass gerade Krypto-Besitzer auf SMS-Codes verzichten sollten, wo immer eine Plattform stärkere Optionen anbietet. Unsere jüngste Berichterstattung zur Verbreitung von Passkeys zeigt, dass selbst Sicherheitsexperten diesen Schritt nur zögerlich gehen.

Bemerkenswert ist auch, dass der Netzbetreiber und nicht die Opfer den Missbrauch bemerkte und dass die Daten von BT entscheidend für die Ermittlung der Verdächtigen waren. Auch der eSIM-Aspekt verdient Aufmerksamkeit, denn er zeigt, wie Rufnummern übertragen werden können, ohne dass dabei eine physische Karte den Besitzer wechselt.

Die Verfahren ziehen sich weiterhin lange hin. Die Diebstähle reichen ins Jahr 2021 zurück, das Urteil fiel Jahre später. Ähnliche Verzögerungen zeigen sich auch bei anderen Strafverfahren wegen Krypto-Diebstahls. Es bleibt abzuwarten, ob die übrigen Verdächtigen, die mithilfe der BT-Daten ermittelt wurden, angeklagt werden und ob britische Netzbetreiber die Kontrollen bei Rufnummernübertragungen verschärfen.