Die Abschaltung von Tudou Guarantee Anfang 2026 markierte das Ende eines der größten aktiven Escrow-Marktplätze für Cyberkriminelle.
Allerdings laut Untersuchungen von Flare störte sie das übergeordnete Cybercrime-Ökosystem nicht.
Stattdessen entstanden rasch mehrere Nachfolgeplattformen, die um Tudous Anbieter, Infrastruktur und Kundenstamm konkurrierten – ein Zeichen dafür, wie widerstandsfähig diese illegalen Marktplätze geworden sind.
„Wenn ein krimineller Marktplatz schließt, bedeutet das nicht, dass der Betrieb eingestellt wurde“, sagte Chris d’Eon, Threat Intelligence Researcher bei Flare, in einer E-Mail an eSecurityPlanet.
Er erklärte: „Die Anbieter, Kunden und Zahlungssysteme wechseln zur nächsten vertrauenswürdigen Plattform.“
„Chris fügte hinzu: „Im Fall von Tudou zeigt sich, wie sich Betrugsnetzwerke spontan über andere Kommunikationskanäle und Escrow-Systeme neu organisieren können.“
- Die wichtigsten Erkenntnisse
- Der Aufstieg und Fall des 12 Milliarden US-Dollar schweren Tudou-Guarantee-Marktplatzes
- Drei Cybercrime-Marktplätze konkurrierten um Tudous Vermögenswerte
- Lieferketten der Cyberkriminalität bestehen nach der Abschaltung von Tudou fort
- Fragmentierte Cybercrime-Marktplätze schaffen neue Herausforderungen für die Aufklärung
- Was Sicherheitsteams nach der Abschaltung von Tudou überwachen sollten
Die wichtigsten Erkenntnisse
- Die Abschaltung von Tudou Guarantee störte das Cybercrime-Ökosystem nicht wirklich, da mehrere Nachfolge-Marktplätze rasch entstanden, um die Lücke zu füllen.
- Tiancheng, Ouyi und Timi konkurrieren nun unabhängig voneinander, wobei Tiancheng einen Großteil der Kerninfrastruktur von Tudou übernommen hat.
- Nachfolge-Marktplätze bieten weiterhin die Tools und Dienste an, die Phishing, Kontoübernahmen, Geldwäsche und andere Betrugsoperationen ermöglichen.
- Die Fragmentierung der Cybercrime-Marktplätze erschwert es Verteidigern, die Betrugsinfrastruktur zu verfolgen und zu überwachen.
- Die Überwachung von Nachfolgeplattformen kann wertvolle Threat Intelligence über neu entstehende Betrugsinfrastruktur und kriminelle Aktivitäten im Internet liefern.
Der Aufstieg und Fall des 12 Milliarden US-Dollar schweren Tudou-Guarantee-Marktplatzes
Tudou Guarantee wickelte im Laufe seines Bestehens schätzungsweise Transaktionen im Wert von 12 Milliarden US-Dollar ab und diente als bedeutende Escrow-Plattform für Cyberkriminelle, die gestohlene Daten, Geldwäschedienste, Betrugstools und andere illegale Angebote kauften und verkauften.
Zuvor hatte die Plattform von der Unterbrechung des Betriebs von Huione Guarantee im Jahr 2025 profitiert, einem weiteren bedeutenden Cybercrime-Marktplatz.
Anstatt vollständig zu verschwinden, hinterließ Tudou wertvolle digitale Vermögenswerte, darunter Telegram-Kanäle mit Hunderttausenden Abonnenten, Beziehungen zu Anbietern, Premium-Benutzernamen und einen etablierten Kundenstamm.
Diese Vermögenswerte wurden rasch zum Ziel konkurrierender Nachfolgeplattformen.
Drei Cybercrime-Marktplätze konkurrierten um Tudous Vermögenswerte
Die Untersuchungen von Flare ergaben, dass Ouyi Guarantee, Tiancheng Guarantee und Timi Guarantee jeweils öffentlich behaupteten, nach der Abschaltung von Tudou dessen Infrastruktur übernommen zu haben.
Obwohl diese Ankündigungen ähnlich wirkten, zeigen Blockchain-Analysen und die Telegram-Infrastruktur, dass die drei Plattformen unabhängig voneinander mit separaten Administratoren, Wallet-Clustern und Escrow-Adressen betrieben werden.
Von ihnen scheint Tiancheng die wertvollsten Teile von Tudous Betrieb übernommen zu haben.
Die Forscher stellten fest, dass Tiancheng die wichtigsten Telegram-Kanäle von Tudou übernahm und dabei mehr als 570.000 Mitglieder behielt; außerdem erwarb die Plattform die Glücksspielmarke Feibo und zusätzliche Kundenservice-Infrastruktur.
Ouyi sicherte sich mehrere Premium-Telegram-Benutzernamen und Branding-Assets, scheint jedoch weniger der zentralen Betriebsressourcen von Tudou übernommen zu haben.
Timi konkurrierte vor allem um verdrängte Anbieter, indem die Plattform sie dazu aufforderte, sich unter ihrem Dach neu zu registrieren, statt Tudous bestehende Infrastruktur zu übernehmen.
Das Ergebnis ist ein fragmentierter Marktplatz, auf dem mehrere Wettbewerber nun viele derselben Anbieter bedienen.
Lieferketten der Cyberkriminalität bestehen nach der Abschaltung von Tudou fort
Obwohl die Plattformen miteinander konkurrieren, stellte Flare fest, dass sie bemerkenswert ähnliche Dienste anbieten, die weltweite Betrugsoperationen unterstützen.
Auf ihren Marktplätzen werden unter anderem folgende Dienste angeboten:
- Kryptowährungswäsche und USDT-Auszahlungsdienste
- Verkauf gestohlener Daten und Identitätsinformationen
- SIM-Karten und Identitätsprüfungsdienste
- Schadsoftware für den Fernzugriff und Betrugstools
- Bulletproof-Hosting und -Infrastruktur
- Deepfake-Erstellung und Dienste zur Manipulation von Chats
- Verkauf, Vermietung und Wiederherstellung von Konten
- Zahlungsabwicklung und Anwerbung von Geldeseln
Diese Marktplätze ermöglichen es kriminellen Organisationen, die für Phishing, Kontoübernahmen, Anlagebetrug, Schweineschlacht-Betrug und andere Formen des Finanzbetrugs benötigten Tools und Dienste zu beschaffen.
Fragmentierte Cybercrime-Marktplätze schaffen neue Herausforderungen für die Aufklärung
Eine der bemerkenswerten Erkenntnisse des Berichts ist, dass die Abschaltung eines großen Marktplatzes das zugrunde liegende Ökosystem nicht unbedingt beseitigt.
Nach der Unterbrechung des Betriebs von Huione im Jahr 2025 konkurrierten Berichten zufolge mehr als 30 Nachfolge-Marktplätze um die verdrängten Anbieter.
Tudou selbst gehörte zu den größten Profiteuren dieser Migration, bevor die Plattform schließlich abgeschaltet wurde und eine weitere Wettbewerbswelle auslöste.
Die Forscher fanden keine Hinweise darauf, dass Ouyi, Tiancheng oder Timi trotz ihres Werbens um viele derselben Anbieter gemeinsame Kryptowährungsinfrastruktur nutzen.
Stattdessen handelt es sich um separate kriminelle Operationen, die um Marktanteile konkurrieren und zugleich viele derselben illegalen Dienste unterstützen.
Diese Fragmentierung erschwert die Nachverfolgung der Infrastruktur von Cyberkriminellen, da sich die Aktivitäten auf mehrere Marktplätze verteilen, anstatt sich auf einer einzigen dominierenden Plattform zu konzentrieren.
Was Sicherheitsteams nach der Abschaltung von Tudou überwachen sollten
Flare weist darauf hin, dass Guarantee-Marktplätze mehr als nur Untergrundforen sind – sie bilden das kommerzielle Rückgrat, das große Teile des heutigen Betrugs-ökosystems unterstützt.
Die Überwachung von Nachfolgeplattformen kann frühzeitig Einblick in neu entstehende Betrugsdienste, Schadsoftware, Geldwäsche und Märkte für gestohlene Identitäten bieten, die sich gegen westliche Organisationen richten.
Der Bericht hebt außerdem die von Tiancheng übernommenen Telegram-Kanäle und die öffentlich beworbenen Kryptowährungs-Einzahlungsadressen hervor, die von allen drei Plattformen genutzt werden und für Organisationen, die Betrugsinfrastruktur verfolgen, wertvolle Quellen für Threat Intelligence darstellen.
Obwohl Tudou Guarantee nicht mehr aktiv ist, zeigt die Abschaltung, dass Cybercrime-Marktplätze sich weiterentwickeln, statt zu verschwinden.
Wenn eine Plattform schließt, übernehmen konkurrierende Betreiber rasch Anbieter, Kunden und Infrastruktur und ermöglichen es der übergeordneten Cybercrime-Wirtschaft, ihren Betrieb im großen Maßstab fortzusetzen.