Bitfinex-Hack: Wie 7 Milliarden US-Dollar in Bitcoin gewaschen werden
Im August 2016 entzogen Angreifer der Börse Bitfinex 119.756 Bitcoin. Zum damaligen Zeitpunkt waren diese Coins nur einen Bruchteil ihres späteren Werts wert. Als das Blockchain-Analyseunternehmen Elliptic seine Tracing-Analyse veröffentlichte, war derselbe Bestand auf fast 7 Milliarden US-Dollar angewachsen. Was diesen Fall für Compliance-Fachleute besonders lehrreich macht, ist nicht allein das Ausmaß des Diebstahls, sondern das detaillierte Bild davon, wie sophistizierte Akteure Bitcoin über Jahre hinweg waschen, und was das für Unternehmen bedeutet, die sich auf Krypto-Buchhaltungssoftware verlassen, um digitale Asset-Ströme zu screenen.
Die gestohlenen Bitcoin: Sie liegen noch größtenteils da
Alle 119.756 gestohlenen Coins wurden unmittelbar nach dem Einbruch in einer einzigen Wallet konsolidiert. Diese Konzentration in einer einzigen Wallet ist selbst eine rote Flagge, die automatisierte Screening-Tools erkennen sollen. Was Jahre später auffällt, ist, wie viel des Guthabens unverändert geblieben ist.
Die 79 %, die sich nicht bewegt haben
Zum Zeitpunkt der Analyse von Elliptic verblieben 79 % der gestohlenen Coins in der ursprünglichen Empfangs-Wallet. Der Dieb bewegte in den frühen Monaten relativ wenig und zeigte dann ein Muster periodischer Abflüsse, die sich beschleunigten, als der Bitcoin-Preis stark anstieg. Ein bemerkenswertes Beispiel: Im April 2021 wurden 12.241 BTC mit einem damaligen Wert von rund 774 Millionen US-Dollar in einem einzigen Vorgang verschoben. Der Zeitpunkt korreliert mit einem Bitcoin-Preisanstieg von über 700 % im Vorjahr, was darauf hindeutet, dass steigende Vermögenswerte einen realen Druck auf Kriminelle ausüben, Geldwäscherisiken zu akzeptieren, die sie sonst vielleicht aufschieben würden.
Für Buchhaltungs- und Compliance-Teams ist diese Dynamik wichtig. Eine lange ruhende Wallet mit belasteten Geldern kann plötzlich aktiv werden, wenn sich die Marktbedingungen ändern. Statische Watchlists reichen nicht aus; kontinuierliche, automatisierte Überwachung bekannter Diebstahladressen ist die Grundvoraussetzung unter den meisten AML-Rahmenwerken.
Die 21 %, die bewegt wurden
Von den Coins, die die ursprüngliche Wallet verließen, war die Bewegung gezielt und schrittweise. Elliptic identifizierte zwei Haupttechniken: Peeling Chains und Layering. Eine Peeling Chain beschreibt ein Muster, bei dem ein großer Bestand durch eine Sequenz von Adressen bewegt wird, wobei bei jedem Schritt ein kleiner Teil an ein Ziel umgeleitet wird. Layering fügt weitere Komplexität hinzu, indem Gelder über zahlreiche Zwischenadressen und verschiedene Transaktionsketten geleitet werden. Beide Techniken sollen manuelle Ermittler erschöpfen. Automatisiertes Tracing hingegen kann diese Ketten in Millisekunden bis zu ihrem endgültigen Ziel verfolgen, unabhängig von der Anzahl der Hops, eine Fähigkeit, die das Risikokalkül für Krypto-Kriminelle grundlegend verändert hat.
Wohin die gewaschenen Gelder geflossen sind
Die Analyse von Elliptic kategorisiert das Ziel der bewegten Coins in drei Kategorien: Darknet-Märkte, Privacy Wallets und Börsen. Die Anteile sind aufschlussreich.
Darknet-Märkte: 84 % der gewaschenen Gelder
Der dominierende Kanal waren Darknet-Marktplätze. Die Geldwäscheaktivität begann 2017 über Alphabay, damals der größte aktive Darknet-Markt. Als die Strafverfolgung Alphabay im selben Jahr schloss, wechselten die Betreiber zu Hydra, einem russischsprachigen Marktplatz, der bis 2020 zum größten weltweit operierenden Darknet-Markt geworden war und allein in diesem Jahr 1,4 Milliarden US-Dollar an Bitcoin-Zahlungen verzeichnete.
Hydras Anziehungskraft in diesem Zusammenhang liegt in seiner Cash-out-Infrastruktur. Neben Drogen und illegalen Dienstleistungen bot die Plattform Konvertierungsdienste an, die es ermöglichten, Bitcoin gegen Geschenkgutscheine, Prepaid-Karten oder physisches Bargeld in Rubel einzutauschen, das an toten Briefkästen abgeholt wurde. Für einen Cyberkriminellen, der in Russland oder benachbarten Jurisdiktionen operiert, vermeidet dieser Weg jede Interaktion mit einer regulierten Börse, die Blockchain-Analyse-Screening durchführen könnte. Etwa 72 Millionen US-Dollar der gestohlenen Bitcoin waren zum Zeitpunkt der Elliptic-Analyse über Hydra geleitet worden, mit Einzahlungen von etwa 3 Millionen US-Dollar pro Monat.
Der Russland-Aspekt ist wichtig für Compliance-Teams mit globaler Exposition. Unternehmen, die Gegenparteien oder Kunden mit Russland-Nexus onboarden, sollten jeden unerklärten Krypto-Reichtum mit erhöhter Skepsis behandeln, insbesondere angesichts der dokumentierten Nutzung russischsprachiger Darknet-Infrastruktur in hochwertigen Geldwäschefällen. Dies steht in direktem Zusammenhang mit dem breiteren Durchsetzungsbild rund um sanktionierte russische Krypto-Infrastruktur, die Regulierungsbehörden in mehreren Jurisdiktionen ins Visier genommen haben.
Privacy Wallets: 12 % der gewaschenen Gelder
Das zweitwichtigste Ziel sind Privacy Wallets, insbesondere solche, die Coinjoin-Transaktionsprotokolle verwenden. Coinjoin funktioniert, indem es die Inputs mehrerer Nutzer in einer einzigen Transaktion kombiniert und so die Eins-zu-Eins-Nachverfolgbarkeit bricht, die Standard-Bitcoin-Transaktionen ermöglichen. JoinMarket und Wasabi Wallet sind die beiden in der Elliptic-Analyse identifizierten Tools.
Im Jahr 2019 fanden etwa 612 der gestohlenen Coins ihren Weg in JoinMarket, mit einem Wert von knapp über 4 Millionen US-Dollar bei Erhalt. Bis 2020 hatte sich das bevorzugte Tool auf Wasabi Wallet verlagert, wobei 5,3 Millionen US-Dollar gestohlener Bitcoin darüber verarbeitet wurden und zum Zeitpunkt des Berichts weitere 1 Million US-Dollar pro Monat durchflossen. Die Migration von einem Tool zum anderen spiegelt eine aktive, anpassungsfähige Geldwäscheoperation wider, nicht eine opportunistische Einzelaktivität.
Für Compliance-Teams stellen Coinjoin-Outputs eine spezifische Screening-Herausforderung dar. Coins, die eine Coinjoin-Runde durchlaufen haben, weisen eine verringerte Nachverfolgbarkeit für Standard-Tools auf. Moderne automatisierte Analysen adressieren dies durch die Analyse statistischer Muster über Coinjoin-Cluster hinweg, aber Unternehmen, deren Krypto-Buchhaltungssoftware keine Echtzeit-Risikobewertung integriert, erfassen möglicherweise keine Coinjoin-belasteten Zuflüsse zum Zeitpunkt des Erhalts.
Börsen: 4 % der gewaschenen Gelder, aber kritische Intelligenz
Börsen stellen den kleinsten Anteil der gewaschenen Gelder dar, und die Analyse erklärt warum. Regulierte Börsen führen zunehmend automatisiertes Blockchain-Screening durch, und Strafverfolgungsbehörden können sie zwingen, die Identität von Kontoinhabern offenzulegen, wenn verdächtige Einzahlungen gemeldet werden. Diese Kombination hat konforme Börsen zu einem Hochrisikokanal für Kriminelle gemacht, die bekanntermaßen gestohlene Bitcoin handhaben.
Die Börsen, die gestohlene Bitfinex-Coins erhielten, hatten ihren Sitz überwiegend in Jurisdiktionen mit begrenzter oder noch nicht ausgereifter Krypto-Regulierung, gerade weil die AML-Pflichten dort schwächer oder nicht durchgesetzt sind. Ein kleiner, aber bedeutender Anteil erreichte dennoch gut regulierte Plattformen. Jede dieser Einzahlungen ist eine potenzielle Ermittlungsspur, da die bei der Onboarding gesammelten KYC-Daten eine Transaktion mit einer realen Identität verbinden können.
Aus Compliance-Sicht ist dies das Argument für rigorose Herkunftsnachweise und Echtzeit-Taint-Screening bei Einzahlungen. Ihr Workflow für digitale Asset-Buchhaltungssoftware sollte jede eingehende Transaktion kennzeichnen, die auf eine bekannte Diebstahl-Wallet zurückverfolgt werden kann, selbst wenn sie mehrere Zwischen-Hops durchlaufen hat.
AML- und Buchhaltungsimplikationen für Compliance-Teams
Das Bitfinex-Geldwäschemuster ist nicht nur eine historische Kuriosität. Es veranschaulicht Techniken, die in aktuellen Durchsetzungsmaßnahmen wiederholt auftauchen und die direkt beeinflussen, wie Unternehmen ihr Screening und ihre Aufzeichnungspflichten konfigurieren sollten.
Taint-Propagation und das Multi-Hop-Problem
Die oben beschriebenen Peeling-Chain- und Layering-Techniken sind darauf ausgelegt, eine Lücke auszunutzen, die entsteht, wenn Screening rein regelbasiert und in seiner Tracing-Tiefe oberflächlich ist. Eine Transaktion, die drei oder vier Hops von einer bekannten Diebstahl-Wallet entfernt ist, wird keinen einfachen Adressabgleich auslösen. Unternehmen, die sich auf manuelle Überprüfung oder Screening-Tools der ersten Generation verlassen, sind diesem Risiko daher systematisch unterexponiert.
Best Practice ist die Einführung eines Tracings, das Gelder durch eine unbegrenzte Anzahl von Hops verfolgt und einen Risikoscore für die endgültige Quelle statt nur für den unmittelbaren Absender zurückgibt. Dieses Ergebnis sollte direkt in die Krypto-Buchhaltungssoftware des Unternehmens einfließen, damit belastete Vermögenswerte gekennzeichnet werden, bevor sie als saubere Einnahmen in der Bilanz erfasst werden.
Überwachung ruhender Wallets
Die jahrzehntelange Ruhe der meisten Bitfinex-Coins, unterbrochen von großen plötzlichen Bewegungen, schafft eine spezifische Verpflichtung für Compliance-Teams. Große bekannte Diebstahladressen sollten auf einer permanenten Watchlist stehen, mit automatisierten Warnungen für jeden Abfluss. Wenn sich diese Coins bewegen, müssen Unternehmen, die nachgelagerte Transaktionen erhalten, sofort Bescheid wissen. Dies ist kein theoretisches Risiko; die Daten von Elliptic zeigen, dass diese Coins noch immer aktiv verteilt werden.
Jurisdiktionelle Exposition und Russland-Nexus
Die starke Weiterleitung der gestohlenen Bitfinex-Gelder über einen russischsprachigen Darknet-Markt in Kombination mit Rubel-Cash-out-Diensten unterstreicht, warum Transaktionen mit Russland-Nexus ein erhöhtes AML-Risiko tragen. Global operierende Unternehmen sollten sicherstellen, dass ihr Kundenrisikoscoring die jurisdiktionelle Exposition widerspiegelt und dass eine verstärkte Sorgfaltspflicht systematisch angewendet wird, wenn Gegenparteien direkte oder indirekte Verbindungen zu Hochrisikogebieten haben. Für Kontext dazu, wie sich Russlands eigene regulierte Krypto-Infrastruktur parallel entwickelt, siehe unsere Berichterstattung über Russlands erste registrierte Krypto-Verwahrstellen.
Auf einen Blick: Zielaufschlüsselung der gewaschenen Bitfinex-Bitcoin
| Zieltyp | Anteil der gewaschenen Gelder | Primärer Mechanismus | Wesentliches Compliance-Risiko |
|---|---|---|---|
| Darknet-Märkte (Hydra) | 84 % | Rubel-Cash-out, Geschenkgutscheine, Prepaid-Karten | Kein KYC; Rubel-Konvertierung umgeht Meldepflichten |
| Privacy Wallets (Coinjoin) | 12 % | JoinMarket, Wasabi-Coinjoin-Transaktionen | Bricht Transaktionsnachverfolgbarkeit; Taint wird verschleiert |
| Börsen | 4 % | Einzahlung und Konvertierung in Fiat oder andere Vermögenswerte | KYC-Daten schaffen Ermittlungsspuren; regulierte Börsen können einfrieren |
Was Unternehmen jetzt tun müssen
Der Bitfinex-Fall zeigt, dass die Geldwäsche von Erlösen aus schweren Diebstählen ein langwieriger, anpassungsfähiger Prozess ist, der nicht ausläuft. Compliance-Teams können ihn nicht als abgeschlossene Akte behandeln. Aus der Analyse von Elliptic ergeben sich drei praktische Maßnahmen.
Überprüfen Sie Ihre Screening-Tiefe
Stellen Sie sicher, dass Ihr Transaktionsscreening indirekte Exposition gegenüber bekannten Diebstahladressen durch Multi-Hop-Tracing abdeckt, nicht nur direkten Adressabgleich. Wenn Ihre Krypto-Buchhaltungssoftware keine Risikoscorewerte aus automatisierter Blockchain-Analyse integriert, muss diese Lücke geschlossen werden. Das AML-Authority-Rahmenwerk der EU, die JMLSG-Leitlinien des Vereinigten Königreichs und die aktualisierten FATF-Empfehlungen für virtuelle Vermögenswerte weisen alle auf einen risikobasierten Ansatz hin, der implizit eine Herkunftsnachverfolgung über die unmittelbare Gegenpartei hinaus erfordert. Für weiteren Kontext dazu, wie KI in großem Maßstab auf dieses Problem angewendet wird, siehe unseren früheren Beitrag über KI-gestützte Blockchain-Analytik zur AML-Erkennung.
Integrieren Sie Coinjoin-Erkennung in das Inbound-Screening
Outputs von Privacy Wallets sollten standardmäßig als erhöhtes Risiko behandelt werden. Ein Coinjoin-Output ist nicht unbedingt kriminell, deutet aber auf einen aktiven Versuch hin, die Transaktionshistorie zu verschleiern. Die Richtlinie Ihres Unternehmens sollte festlegen, wie Einzahlungen mit Coinjoin-Ursprung behandelt werden: verstärkte Sorgfaltspflicht, Herkunftsnachweise oder Ablehnung je nach Risikobereitschaft und regulatorischen Pflichten.
Führen Sie permanente Watchlists für bekannte Diebstahladressen
Statische Onboarding-Prüfungen erfassen keine ruhenden Wallets, die Jahre später reaktiviert werden. Die kontinuierliche Überwachung bekannter Hochrisiko-Adresscluster ist der einzige Weg, um sicherzustellen, dass eine plötzliche Bewegung lang gehaltener gestohlener Gelder die richtigen Warnungen auslöst, bevor eine nachgelagerte Einzahlung Ihre Bücher erreicht. Die Sicherstellung, dass Ihre digitale Asset-Buchhaltungssoftware diese Warnungen in Echtzeit und nicht in einem Batch-Prozess kennzeichnet, verringert das Zeitfenster zwischen Eingang und Entdeckung.
Häufig gestellte Fragen
Was ist eine Peeling Chain und warum ist sie für die Compliance wichtig?
Eine Peeling Chain ist eine Geldwäschetechnik, bei der ein großer Bitcoin-Bestand durch eine Sequenz von Adressen bewegt wird, wobei bei jedem Schritt ein kleiner Teil an ein Endziel gesendet wird. Der Rest wird an die nächste Adresse in der Kette weitergegeben. Sie ist für die Compliance wichtig, weil sie manuelles Tracing unpraktisch machen kann und weil oberflächliche Screening-Tools, die nur den unmittelbaren Absender prüfen, die ursprüngliche belastete Quelle nicht erkennen.
Wie verschleiert Coinjoin gestohlene Gelder, und kann es erkannt werden?
Coinjoin kombiniert die Inputs mehrerer Nutzer in einer einzigen Transaktion und bricht so die direkte Verbindung zwischen Absender und Empfänger. Coins, die eine Coinjoin-Runde durchlaufen haben, sind schwerer bis zu ihrem Ursprung zurückzuverfolgen. Fortgeschrittene Analyseplattformen adressieren dies durch die Analyse von Clustermustern über Coinjoin-Runden hinweg, aber Unternehmen müssen sicherstellen, dass ihr Screening diese Fähigkeiten integriert, anstatt sich auf einfachen Adressabgleich zu verlassen.
Warum sind Darknet-Märkte der dominierende Geldwäschekanal für diese Gelder?
Darknet-Märkte wie Hydra boten Cash-out-Dienste an, die Bitcoin ohne jegliche Identitätsprüfung in physisches Bargeld oder Prepaid-Instrumente umwandeln. Für einen Kriminellen, der regulierte Börsen mit Blockchain-Analyse-Screening vermeiden will, umgeht dieser Weg die KYC- und AML-Kontrollen, die belastete Einzahlungen sonst kennzeichnen würden. Das Rubel-Cash-out-Format ist besonders attraktiv für Akteure, die in russischsprachigen Jurisdiktionen operieren.
Welche buchhalterische Behandlung gilt, wenn ein Unternehmen unwissentlich belastete Bitcoin erhält?
Dies hängt von der Jurisdiktion ab, aber das allgemeine Prinzip ist, dass, wenn ein Unternehmen belastete Vermögenswerte erhält und sie anschließend auf Ersuchen der Strafverfolgungsbehörden einfriert oder abgibt, diese Vermögenswerte nicht als Umsatz oder sauberer Bilanzposten anerkannt werden können. Unternehmen sollten das Screening-Ergebnis bei Erhalt, die Einfrierungsmaßnahme und jede regulatorische Meldung dokumentieren. Aufzeichnungen der Krypto-Buchhaltungssoftware müssen möglicherweise geändert werden, um den Vermögenswert neu zu klassifizieren, und Rechtsberater sowie der AML-Compliance-Beauftragte sollten sofort einbezogen werden.
Betrifft der Bitfinex-Fall Unternehmen, die nie direkt mit BTC gehandelt haben?
Ja, indirekt. Die hier dokumentierten Geldwäschetechniken, einschließlich Peeling Chains, Coinjoin und Routing über Darknet-Märkte, sind nicht einzigartig für diesen Fall. Sie erscheinen in vielen Durchsetzungsmaßnahmen im Zusammenhang mit anderen gestohlenen oder illegalen digitalen Vermögenswerten. Jedes Unternehmen, das mit Bitcoin oder Wrapped-Bitcoin-Derivaten handelt, sollte diese Muster als aktuelle Risikoindikatoren behandeln, nicht als historische Artefakte.
Quelle: Elliptic