Sie bezahlen für einen KI-Dienst wie ChatGPT oder Claude einen Festpreis pro Monat oder nach Verbrauch. Hinter den Kulissen gibt es einen Schwarzmarkt von Wiederverkäufern. Sie bieten denselben Zugang zu einem Bruchteil des offiziellen Preises an. Das ist ein ausgewachsenes Ökosystem mit eigenen Preisvergleichsseiten, Affiliate-Programmen und täglichen Lotterien für API-Keys. Der Sicherheitsforscher Matt Lenhard von Vectoral hat dieses Netzwerk über Monate untersucht und seine Ergebnisse veröffentlicht.
Der Markt funktioniert wie ein Schwarzmarkt für Konzerttickets. Dieselben Plätze werden mehrfach verkauft, die Künstler zahlen drauf, niemand merkt, dass die Tickets gestohlen sind. Offizieller Preis: 100 Euro. Der Wiederverkäufer bietet es für 10 Euro an. Er hat einen Zugang gefunden, den er unendlich oft kopieren kann.
Was ist ein Relay?
Der Kern dieses Marktes ist der sogenannte Relay – zu Deutsch „Transferstation“. Ein Relay leitet Traffic zu den offiziellen KI-Modellen der großen US-Anbieter (OpenAI, Anthropic, Google) weiter, aber zu einem starken Rabatt. Ein Beispiel aus Lenhards Recherche: Ein Anbieter listete ein Paket, das offiziell 3.333 Dollar wert wäre, für umgerechnet 425 chinesische Yuan – das entspricht etwa 0,13 Dollar Nutzung pro ausgegebenem Dollar. Bis zu 97,8 Prozent Rabatt.
Technisch betreiben die Anbieter eine Proxy-Software. Sie sammeln Hunderte oder Tausende API-Keys – gestohlen, über Testkonten generiert oder mit kompromittierten Kreditkarten finanziert – und bündeln sie zu einem Pool. Jede Anfrage wird durch einen dieser Keys geleitet. Der Relay zieht eine Gebühr ab, meist weit unter dem offiziellen Preis.
Die vier Schichten des Marktes
Der gesamte Markt ist in vier Ebenen organisiert, die Lenhard beschreibt. Ganz oben stehen die Karten- und Account-Händler (卡商 und 号商). Sie verkaufen virtuelle Kreditkarten, die die Prüfungen der US-Anbieter bestehen, und liefern in großen Mengen registrierte Accounts.
Darunter die Account-Pools (账号池). Diese Dienste aggregieren Dutzende oder Hunderte von Accounts, verwalten Authentifizierungstokens, überwachen Rate-Limits, wechseln bei Sperrungen automatisch auf den nächsten Account und stellen eine einheitliche API-Schnittstelle bereit. Die Pools sind nicht auf die großen Labs beschränkt: Auch Konsumentenprodukte wie Kiro oder antigravity werden systematisch rückentwickelt, um deren Modellzugänge zu nutzen.
Die dritte Schicht sind die Relays selbst, die Transferstationen. Sie verpacken die API des Pools in ein chinesischsprachiges Produkt, kümmern sich um Abrechnung, Rechnungsstellung und Kundenservice per WeChat-Gruppen. Der Wettbewerb findet fast nur über den Preis statt.
Ganz unten stehen die Endnutzer: chinesische Entwickler, kleine Startups und mittelständische SaaS-Unternehmen, die günstige Inferenz suchen. Und größere kommerzielle Käufer, die die Infrastruktur für Model-Destillation nutzen – das Trainieren eigener Modelle auf Basis der Ausgaben der Frontier-Modelle. In der Praxis sind die Grenzen fließend: Viele Betreiber führen sowohl Pool als auch Relay, in den Foren werden die Begriffe oft synonym verwendet.
Die Software dahinter
Die meisten Relays basieren auf zwei Open-Source-Projekten: one-api und new-api. Das sind OpenAI-kompatible Gateways. Ein Betreiber installiert das Panel, fügt Kanäle (渠道) hinzu – jeder Kanal repräsentiert einen Anbieter plus einen Pool von API-Keys – und stellt einen Endpunkt zur Verfügung, der exakt der OpenAI-API entspricht. Käufer müssen nur ihr bestehendes SDK auf die URL des Relays umstellen.
Bei jeder Anfrage zieht das System einen Key aus dem Pool, leitet die Anfrage an den Originalanbieter weiter, gibt die Antwort zurück und zieht dem Nutzer Kontingent ab – bepreist nach Nutzung multipliziert mit einem Faktor (倍率). Das Panel verwaltet Benutzer, Tokens, Preisstufen, Logs und Abrechnung. new-api ist ein aktiver Fork von one-api und bringt Funktionen für Selbstbedienungszahlung, Aufladung sowie Bild-, Video- und Audiomodelle mit. Unter den beobachteten Relays kommt one-api etwa viermal häufiger vor als new-api – das originale Basisprojekt ist weiter verbreitet, auch wenn new-api speziell für den Verkauf gebaut wurde.
Die Software an sich ist nicht illegal. Viele Unternehmen hosten one-api oder new-api auf eigenen Servern, um ihre Accounts hinter einem Gateway mit Team-Kontingenten und Ausgabenkontrolle zu bündeln. Missbrauch beginnt, wenn die Kanäle mit gestohlenen, geleakten oder gepoolten Schlüsseln bestückt werden und der Betreiber diesen Zugang gegen die Nutzungsbedingungen der Anbieter weiterverkauft.
Die Methoden der Abuser
Lenhard nennt mehrere Techniken zur Beschaffung von Keys. Free-Trial-Abuse: automatisierte Massenerstellung von Konten für kostenloses Guthaben. Chargeback-Angriffe: Betrüger lassen Kreditkartenzahlungen nach der Nutzungsperiode zurückbuchen oder verwenden gestohlene Karten. Prepaid-Karten: Konten werden mit Prepaid-Karten aufgeladen, die ein begrenztes Limit haben – der Schaden des Anbieters bleibt begrenzt, aber der Relay kann trotzdem Gewinn machen.
Eine weitere Methode ist der „Open Inference“-Missbrauch: Jeder Support-Chatbot ohne strenge Guardrails ist ein Einstiegspunkt. Angreifer leiten Traffic durch den Chatbot und nutzen so die dahinterliegende KI. Dann gibt es „Denial of Wallet“: Eine Menge gleichzeitiger Anfragen, die nicht den Dienst stören, sondern das Kontingent des Anbieters verbrennen – aus Bosheit oder Konkurrenzgründen, ohne finanziellen Gewinn.
Die Käufer und das Ausmaß
Die Hauptabnehmer lassen sich in drei Gruppen einteilen: Entwickler, die günstige Tokens benötigen; Startups, die Geoblocking umgehen wollen – viele US-Modelle sind in China nicht offiziell verfügbar; und Unternehmen, die Model-Destillation betreiben. In einem chinesischen Forum (V2EX) diskutieren Nutzer darüber, wie sie mit destillierten Modellen Millionen verdient haben. „Wenn du schnelle Inferenz bra
Quelle: vectoral.com
