Ukraine klagt drei wegen 610.000 gestohlener Roblox-Konten an, verkauft nach Russland für 80 Cent das Stück: die Schadsoftware nahm Sitzungscookies, Passwörter und 2FA spielten keine Rolle

Die Staatsanwaltschaft der ukrainischen Region Lwiw hat drei junge Männer aus der Stadt Drohobytsch vor Gericht gebracht, weil sie den Zugang zu mehr als 610.000 Roblox-Konten gestohlen und über russische Websites und Telegram-Kanäle verkauft haben sollen, teilte die Generalstaatsanwaltschaft am 14. September mit. Der Organisator ist 19, seine beiden Komplizen sind 22. Zwischen Mai 2025 und April 2026 infizierten sie laut Anklage die Rechner von Spielern mit einem Infostealer, der als Cheat und kostenloser Spielbonus getarnt war, doch was sie mitnahmen, waren keine Passwörter. Sie nahmen Sitzungscookies, die kleinen Dateien, die einen Spieler eingeloggt halten, und die öffneten die Konten ohne Passwort und ohne die Zwei-Faktor-Authentifizierung auszulösen. Ein Konto kostete etwa 70 Rubel, rund 80 US-Cent; die Ermittler schätzen den möglichen Erlös auf mehr als 20 Millionen Hrywnja, etwa 480.000 Dollar, und verfolgten 2,4 Millionen Hrywnja, die über Kryptobörsen auf die Bankkonten der Beschuldigten gewaschen wurden. Die Höchststrafe beträgt 12 Jahre.

Wie das Schema funktionierte

Der Organisator lernte seine beiden Komplizen 2025 in Gaming-Foren kennen, so die Nationalpolizei, und entwarf eine mehrstufige Pipeline. Stufe eins war die Infektion: Software, die einen Vorteil im Spiel oder kostenlose Boni versprach, in Wirklichkeit aber ein Stealer war, der Logins und vor allem Cookies aus dem Browser des Opfers abgriff. Stufe zwei war die Prüfung: Die Staatsanwaltschaft beschreibt ein eigens gebautes Programm, in das die gestohlenen "Schlüssel" geladen wurden; es prüfte, ob jeder noch ein Roblox-Profil öffnete, und berechnete in diesem Fall sofort den Wert des Kontos anhand von Spielgegenständen, seltener Ausrüstung und virtueller Währung auf dem Guthaben. Stufe drei war Sortierung und Verkauf. Profile mit Sammlerstücken, limitiertem Inventar oder mit echtem Geld gekauftem Robux-Guthaben wurden in separaten Dateien gehalten, von denen die Ermittler 357 sicherstellten, und einzeln verkauft; der Rest ging in Paketen weg. Die Verkäufe liefen über eine Website mit in Russland registrierter Domain und Telegram-Kanäle, die Zahlungen kamen in Krypto, die Krypto wurde in Hrywnja getauscht und auf die eigenen Bankkonten der Beschuldigten überwiesen, was die Grundlage des Geldwäschevorwurfs ist. Die Rollen waren verteilt: Der Organisator vergab Aufgaben, bezahlte Server, überwachte die Verkäufe und teilte den Erlös; die beiden anderen betrieben Seite und Kanäle, sprachen mit Käufern und kümmerten sich ums Geld. Die Polizei sagte im April, die Schadsoftware habe "über mehrere Monate" mehr als 610.000 Profile erreicht; die Anklage beschreibt den Zeitraum von Mai 2025 bis April 2026, als die Festnahmen die Operation beendeten.

Warum ein Cookie Passwort und Code schlägt

Wer sich bei Roblox anmeldet, wie bei fast jeder Website, bekommt vom Server ein Token in den Browser, und der Server behält eine Kopie; von da an legt der Browser das Token bei jeder Anfrage vor, und der Server behandelt den Nutzer als eingeloggt. Das Passwort wurde einmal geprüft, beim Login. Ein Zwei-Faktor-Code, falls vorhanden, wurde ebenfalls einmal geprüft, beim Login. Danach beweist das Token, wer man ist, und wer das Token hat, ist man selbst, von jedem Rechner, aus jedem Land, bis das Token abläuft oder widerrufen wird. Deshalb brauchte das Prüfprogramm der Gruppe aus Drohobytsch kein einziges Passwort: Es lud Cookies und fragte Roblox, ob sie noch funktionierten. Und deshalb schützten die eigenen Sicherheitsratschläge der Plattform, langes Passwort und 2FA, die 610.000 nicht. Diese Maßnahmen bewachen die Vordertür; ein Stealer kommt durch ein Fenster, das das Opfer selbst geöffnet hat, indem es ein "Gratis-Robux"-Tool ausführte. Dieselbe Mechanik steckte hinter den gefälschten GTA-6-Seiten im August und dem Vidar-Stealer, den sie verbreiteten, und sie ist der Grund, warum unser Leitfaden zu Zwei-Faktor-Codes in einfachen Worten die Sitzungshygiene neben die Codes selbst stellt. Roblox bietet den einen Hebel, der hier zählt: In den Kontoeinstellungen unter Sicherheit macht "Aus allen anderen Sitzungen abmelden" jedes bisher ausgegebene Token ungültig, auch die, die ein Stealer kopiert hat.

Was ein Roblox-Haushalt tun sollte

Die Opfer dieses Schemas sind überwiegend Kinder und Jugendliche, denn sie spielen Roblox, und sie führen am ehesten ein Programm aus, das kostenlose Robux verspricht. Die praktischen Schritte sind kurz. Alles, was Währung, Gegenstände oder einen Vorteil im Spiel verspricht und heruntergeladen und ausgeführt werden will, ist ein Stealer, bis das Gegenteil bewiesen ist; Roblox verteilt keine Cheats, und kein echter Bonus kommt als ausführbare Datei. Wurde ein solches Programm je auf einem Rechner ausgeführt, gilt jedes Sitzungscookie in diesem Browser als verloren: Roblox-Passwort von einem sauberen Gerät ändern, dann "Aus allen anderen Sitzungen abmelden", dann dasselbe für das mit Roblox verknüpfte E-Mail-Konto, denn dessen Cookies hat der Stealer ebenfalls mitgenommen. Die Zwei-Faktor-Authentifizierung trotzdem einschalten, weil sie die Angreifer stoppt, die nur Passwörter aus geleakten Listen kaufen. Handelshistorie und Inventar des Kontos auf Gegenstände prüfen, die ohne einen bekannten Tausch verschwunden sind. Und auf gemeinsam genutzten Familienrechnern dem Kind ein eigenes Browserprofil ohne gespeicherte Elternlogins geben, damit ein am Samstag heruntergeladener Cheat nicht auch die Banking-Sitzung des Haushalts mitnimmt. Die Gruppe aus Drohobytsch verkaufte Konten für 80 Cent das Stück; dass sich das zu diesem Preis lohnte, liegt daran, dass die Schadsoftware die ganze Arbeit machte und die Opfer die Installation übernahmen.