Binance-Hack: Exponierung mit Krypto-Buchhaltungssoftware erkennen
Wenn Ihr Unternehmen Krypto-Assets verwaltet, sind die rund 6,43 Milliarden US-Dollar, die am 29. Oktober von Binance gestohlen wurden, für Ihre Finanz- und Compliance-Teams eine akute Exponierungsfrage und nicht nur eine Schlagzeile. Die gestohlenen Gelder werden mit hoher Geschwindigkeit gewaschen, mehr als 3 Milliarden US-Dollar sind noch nicht eingefroren, und die Personen, die am besten geeignet sind, belastete Zuflüsse zu erkennen, sind diejenigen, die täglich Ihre Bücher sehen. Das macht Ihre Krypto-Buchhaltungssoftware und die dahinterstehende DatenDisziplin zu einem Teil des Kontrollumfelds.
Was passiert ist und warum Finanzteams betroffen sind
Die Fakten auf dem Tisch
Am 29. Oktober wurden Krypto-Assets im Wert von etwa 6,43 Milliarden US-Dollar von der Handelsplattform Binance entwendet. Kurz darauf ordnete die Blockchain-Analysefirma Elliptic den Diebstahl der nordkoreanischen Cyberkriminellengruppe TraderTraitor zu, und das US-amerikanische Federal Bureau of Investigation hat ihn inzwischen derselben Gruppe zugeschrieben. Die Diebe beeilen sich, die Gelder mit automatisierten Waschtechniken zu verschieben.
Die Stablecoin-Emittenten Tether und Circle haben bereits Stablecoins im Wert von etwa 2,8 Milliarden US-Dollar eingefroren, das sind rund 44 % der gestohlenen Gesamtsumme. Damit bleiben mehr als 3 Milliarden US-Dollar nicht eingefroren, und die Hacker arbeiten bereits daran, daraus Gewinn zu ziehen. Die Quelle erwartet, dass dieser Prozess in den kommenden Tagen und Wochen andauern wird.
Wer exponiert ist
Das Risiko beschränkt sich nicht auf Börsen. Virtual Asset Service Provider (VASPs), Stablecoin-Emittenten, Finanzinstitute und andere Unternehmen, die Krypto-Assets verwalten, könnten alle gewaschene Erlöse erhalten. Für eine Buchhaltungsfirma, einen Wirtschaftsprüfer oder ein Corporate-Treasury-Team ist die praktische Frage einfach: Könnte irgendeine Wallet, die wir halten, von der wir erhalten oder über die wir berichten, mit diesen Geldern in Berührung gekommen sein?
Diese Frage betrifft die Finanzabteilung ebenso wie die Compliance. Treasury-Eingänge, Kundeneinzahlungen, OTC-Abwicklungen und Zahlungen an Gegenparteien erscheinen zuerst in den Büchern. Wenn die Buchhaltungsebene nicht zeigen kann, woher ein Zufluss stammt, prüft das Compliance-Team blind.
Der Sanktionsaspekt
TraderTraitor ist nicht designiert, aber das Risiko ist real
Die Quelle ist an diesem Punkt vorsichtig. TraderTraitor wurde bisher nicht speziell designiert. Die Gruppe ist jedoch eng mit anderen designierten nordkoreanischen staatlichen Akteuren verbunden. Darüber hinaus verbieten umfassendere Sanktionen, die vom Office of Foreign Assets Control (OFAC) des US-Finanzministeriums verwaltet werden, die Ausfuhr von Finanzdienstleistungen nach Nordkorea. Die Quelle kommt zu dem Schluss, dass die Exponierung gegenüber Geldern aus diesem Hack für betroffene Unternehmen ein erhebliches Sanktionsrisiko darstellt.
Für einen CFO oder Controller ist das Fehlen einer namentlichen Designierung kein sicherer Hafen. Ein Unternehmen, das Erlöse von nordkoreanischen Akteuren erhält und weiterverarbeitet, könnte Fragen ausgesetzt sein, unabhängig davon, wie die Gruppe gelistet ist. Das ist eine Beurteilung für Ihren Rechtsberater und MLRO, aber das Finanzteam muss in der Lage sein, die Fakten schnell zu liefern.
Adresslisten und Screening
Die Quelle gibt an, dass eine Liste von Adressen, die mit dem Diebstahl in Verbindung stehen, kontinuierlich aktualisiert wird und inzwischen mehr als 9.500 eindeutige Adressen umfasst. Compliance-Teams können gegen solche Adressen screenen, um Exponierungen bei eingehenden Geldern zu identifizieren, Vermögenswerte gegebenenfalls zu blockieren oder abzulehnen und Sanktionsberichte sowie ergänzende Verdachtsmeldungen (SARs) zu untermauern.
Die buchhalterische Implikation ist praktisch. Screening-Ergebnisse helfen nur, wenn sie mit bestimmten Buchungseinträgen verknüpft werden können. Ihre Aufzeichnungen müssen Wallet-Adressen, Transaktionshashes, Zeitstempel und Kennungen der Gegenparteien in einer abfragbaren Form speichern und nicht in exportierten Tabellen vergraben.
Warum direkte Screenings allein dies verfehlen werden
Indirekte Exponierung und Hops
Die Quelle erklärt, dass es sich bei der Geldwäsche um einen komplexen automatisierten Prozess handelt, der die Täter von den ursprünglichen Geldern distanzieren soll. Ein VASP oder Institut, bei dem die Diebe versuchen, zu kassieren, ist in der Regel nur indirekt exponiert, und zwar erst nachdem die Gelder zahlreiche Zwischen-Wallets oder Hops durchlaufen haben. Die Prüfung, ob eine Adresse einer Gegenpartei auf einer Liste erscheint, wird daher sehr wenig erfassen. Das Screening muss so konfiguriert sein, dass es die indirekte Exponierung gegenüber den mit Nordkorea verbundenen Adressen bewertet.
Schwellenwerte können zu hoch angesetzt sein
Die Gelder werden auch in kleinere Beträge aufgeteilt und mit Geldern in anderen Wallets vermischt, um ihre Verbindung zur Quelle zu verwässern. Die Quelle warnt davor, dass ein Unternehmen möglicherweise keine hackbezogenen Gelder identifiziert, wenn die Überwachung sanktionsbezogene Exponierungen nur auf hohem Niveau meldet, etwa bei 25 % oder mehr der Exponierung einer Wallet. Compliance-Teams wird empfohlen, die Schwellenwerte für Exponierungsprozentsätze zu überprüfen und zu erwägen, ob sie angepasst werden sollten.
Finanzteams sollten ihren Compliance-Kollegen eine einfache Frage stellen: Welchen Prozentschwellenwert verwenden wir, und wer hat ihn genehmigt? Wenn die Antwort ein Standardwert ist, den niemand überprüft hat, ist dieses Ereignis der Anlass, das zu ändern.
Geschwindigkeit der Attribuierung
Die Quelle berichtet, dass pro Stunde 7 bis 11 Millionen US-Dollar an Geldern gewaschen werden, wobei eine große Anzahl neuer Adressen verwendet wird. Daher werden ständig neue Attribuierungen vorgenommen, die zuvor nicht gekennzeichnete Wallets mit den nordkoreanischen Akteuren verbinden. Eine Wallet, die letzte Woche sauber gescreent wurde, ist möglicherweise jetzt nicht mehr sauber. Die Quelle betont, dass Risikobewertungen für zuvor gescreente Adressen automatisch aktualisiert werden müssen, wenn neue Attribuierungen erfolgen, damit Warnmeldungen das Team erreichen, wenn sie den Überwachungskriterien entsprechen.
Für Buchhalter geht es um die retrospektive Prüfung. Wenn eine Wallet einer Gegenpartei später attribuiert wird, müssen Sie in der Lage sein, historische Eingänge von dieser Wallet nachzuvollziehen. Das ist nur möglich, wenn die Transaktionshistorie vollständig ist und aufbewahrt wird.
Warnsignale und was Ihre Aufzeichnungen zeigen müssen
Verhaltensindikatoren für Geldwäsche
Die Quelle merkt an, dass Compliance-Teams sich auf verhaltensbezogene und transaktionsbezogene Indikatoren verlassen sollten, wenn sanktionsbezogene Signale während der Geldwäsche verschleiert werden. Sie identifiziert mehrere Muster:
- Cross-Asset- und Cross-Chain-Swaps. Die Hacker tauschen bereits Vermögenswerte über Dienste und bewegen sich über die Blockchains Bitcoin, Ethereum, Tron, Near und Solana. Exponierungen können wiederholte Swaps überstehen, daher ist die Abdeckung über Ketten hinweg wichtig.
- Mixer-Exponierung. Vor dem Diebstahl finanzierten die Hacker ihre Wallets über den Tornado-Cash-Mixer, den OFAC im August 2022 wegen der Erleichterung nordkoreanischer Geldwäsche sanktioniert hatte, obwohl diese Sanktionen inzwischen aufgehoben wurden. Mit Nordkorea verbundene Akteure haben eine lange Geschichte der Nutzung von Mixern, und Teams sollten in den kommenden Tagen und Wochen auf ungewöhnliche Transaktionen mit ihnen achten.
- Layering durch viele Hops. Große Hacks beinhalten fast immer komplexe Ströme, die Erlöse durch eine große Anzahl von Zwischen-Wallets bewegen. Das Screening kann so konfiguriert werden, dass Aktivitäten mit diesen Merkmalen hohe Risikobewertungen zugewiesen werden.
Implikationen für die Bücher
Für B2B-Leser ergeben sich daraus drei buchhalterische Punkte.
Erstens sind Herkunftsdaten eine Kontrolle und kein nachträglicher Gedanke. Digitale Asset-Buchhaltungssoftware, die On-Chain-Quelldaten auf Transaktionsebene erfasst und nicht nur Periodenendbestände, ermöglicht es Ihnen, eine Exponierungsabfrage zu beantworten, ohne die Historie manuell rekonstruieren zu müssen. Krypto-Buchhaltungssoftware, die Multi-Chain-Aktivitäten in einem Hauptbuch normalisiert, ist besonders nützlich, wenn Gelder zwischen Bitcoin, Ethereum, Tron, Near und Solana gesprungen sind.
Zweitens überlegen Sie, wie Sie mit Eingängen umgehen würden, die später als belastet eingestuft werden. Die Quelle geht nicht auf die buchhalterische Behandlung ein, daher ist dies eine Frage, die Sie frühzeitig mit Ihren Wirtschaftsprüfern und Rechtsberatern klären sollten: Wie würde ein verdächtiger Zufluss gekennzeichnet, getrennt oder gehalten, und wie würde das dokumentiert? Ein vereinbartes internes Verfahren vor dem Eintreffen einer Warnmeldung ist weit besser als Improvisation danach.
Drittens sind Audit-Trail und Beweise wichtig. Die Quelle merkt an, dass die Identifizierung von Exponierungen auch Informationen liefert, die Strafverfolgungsbehörden bei der Unterstützung weiterer Vermögenssperren oder anderer disruptiver Maßnahmen helfen könnten. Saubere, mit Zeitstempeln versehene Aufzeichnungen machen jede SAR- oder Sanktionsmeldung schneller und besser belegt.
Ein Hinweis für private Anleger
Wenn Sie eine Privatperson sind, die mit Krypto handelt oder Krypto hält, wird von Ihnen nicht erwartet, dass Sie ein Screening-Programm betreiben. Aber wenn Sie kürzlich Gelder von einer unbekannten Wallet oder einer Peer-to-Peer-Gegenpartei erhalten haben, bewahren Sie die Aufzeichnungen auf: Adressen, Hashes, Daten und wofür Sie bezahlt wurden. Wenn eine Börse oder Bank nach der Herkunft der Gelder fragt, möchten Sie schnell und genau antworten. Börsen und andere Unternehmen werden ihre Prüfungen wahrscheinlich verschärfen, während diese Geldwäsche abläuft, daher sind Verzögerungen bei Einzahlungen möglich.
Praktische nächste Schritte
Für Unternehmen und CFOs
Die Quelle betrachtet den Hack als Gelegenheit, das Risikomanagement für Finanzkriminalität und den Kontrollrahmen zu überprüfen, und listet sieben Schritte auf, von denen jedoch nur der erste im bereitgestellten Material sichtbar ist: die Überprüfung historischer Prüfungs- oder Assurance-Berichte auf frühere Feststellungen zu Lücken bei der Kontrolle von Finanzkriminalität. Darauf aufbauend könnte eine sinnvolle Checkliste für die Finanzseite so aussehen:
- Ziehen Sie frühere Prüfungs- und Assurance-Berichte heran und prüfen Sie auf offene Feststellungen zu Kontrollen von Finanzkriminalität.
- Bestätigen Sie mit der Compliance, dass das Screening indirekte Exponierungen abdeckt und nicht nur direkte Gegenparteien.
- Fragen Sie, welche Schwellenwerte für Exponierungsprozentsätze verwendet werden und ob sie nach diesem Ereignis überprüft wurden.
- Stellen Sie sicher, dass Transaktionsdaten auf Wallet-Ebene vollständig, aufbewahrt und über jede von Ihnen genutzte Chain hinweg durchsuchbar sind.
- Dokumentieren Sie einen internen Eskalationspfad für einen verdächtigen Zufluss, einschließlich wer entscheidet, wer informiert wird und was aufgezeichnet wird.
- Informieren Sie den MLRO oder Rechtsberater über jede Exponierung gegenüber Mixern oder schnellen Multi-Hop-Strömen in der jüngsten Aktivität.
Für Buchhaltungs- und Prüfungsfirmen
Wenn Sie Kunden mit Krypto-Aktivitäten betreuen, rechnen Sie mit Fragen. Kunden werden wissen wollen, ob sie exponiert waren, und Prüfer werden Nachweise für die Kontrollen verlangen, mit denen diese Frage beantwortet wurde. Betrachten Sie dies als Anstoß für die Auftragsplanung: Fragen Sie Kunden, wie sie screenen, wie oft Risikobewertungen aktualisiert werden und wie das mit dem Hauptbuch verbunden ist. Wo die Antwort manuell und periodisch ist, zeigt die Geschwindigkeit dieser Geldwäsche von 7 bis 11 Millionen US-Dollar pro Stunde, warum das zu langsam sein könnte.
Für verwandte Lektüre zu diesem Vorfall lesen Sie unsere Berichterstattung über TraderTraitor, Tracing und was Unternehmen jetzt tun müssen und den Artikel über automatisierte Geldwäsche und Krypto-Buchhaltung. Für den weiteren Rahmen finden Sie in unserem Hub für Krypto-Compliance-Berichterstattung die Berichtspflichten hinter diesen Kontrollen.
FAQ
Wie viel wurde von Binance gestohlen und wer wird beschuldigt?
Am 29. Oktober wurden Krypto-Assets im Wert von etwa 6,43 Milliarden US-Dollar gestohlen. Die Quelle gibt an, dass der Vorfall der nordkoreanischen Gruppe TraderTraitor zugeschrieben wurde und dass das US-FBI ihn inzwischen derselben Gruppe zuschreibt.
Wie viel wurde eingefroren?
Tether und Circle haben Stablecoins im Wert von etwa 2,8 Milliarden US-Dollar eingefroren, rund 44 % der gestohlenen Gesamtsumme. Mehr als 3 Milliarden US-Dollar an Krypto-Assets sind noch nicht eingefroren.
Unterliegt TraderTraitor Sanktionen?
Laut Quelle bisher nicht speziell designiert. Die Gruppe ist eng mit designierten nordkoreanischen staatlichen Akteuren verbunden, und die umfassenderen OFAC-Sanktionen verbieten die Ausfuhr von Finanzdienstleistungen nach Nordkorea, sodass eine Exponierung weiterhin ein erhebliches Sanktionsrisiko darstellt.
Warum könnte meine Überwachung diese Gelder übersehen?
Die Gelder werden aufgeteilt, vermischt und durch viele Zwischen-Wallets geleitet. Wenn Schwellenwerte nur hohe Exponierungsprozentsätze melden, etwa 25 % oder mehr, können hackbezogene Gelder durchrutschen, daher sollten die Schwellenwerte überprüft werden.
Wie hilft Buchhaltungssoftware hier?
Sie ersetzt nicht das Screening, aber genaue Transaktionsaufzeichnungen auf Wallet-Ebene ermöglichen es der Compliance, Warnmeldungen mit bestimmten Buchungseinträgen zu verknüpfen, die Historie zu überprüfen, wenn neue Attribuierungen auftauchen, und SARs mit Beweisen zu untermauern.