DarkSide-Bitcoin bewegt sich, während REvil staatliche Maßnahmen spürt

Rund 7 Millionen US-Dollar in Bitcoin mit Verbindung zur DarkSide-Ransomware-Gruppe haben nach Monaten der Inaktivität begonnen, sich on-chain zu bewegen, und der Zeitpunkt ist kein Zufall. Die Gelder begannen sich am selben Tag zu verschieben, an dem eine koordinierte Regierungsoperation Berichten zufolge REvil gehackt und gestört hat, ein separates, aber eng verbundenes Ransomware-Kollektiv. Für Wirtschaftsprüfungsgesellschaften, Auditoren, CFOs mit Treasury-Verantwortung und jedes Compliance-Team bei einem Finanzinstitut oder einer Krypto-Börse ist dies kein Hintergrundnachrichtenereignis. Es ist ein aktiver AML-Screening-Test.

Was DarkSide ist und warum der Angriff auf Colonial Pipeline zählt

DarkSide agierte als Ransomware-as-a-Service-Plattform (RaaS). In diesem Modell entwickelten und warteten die Entwickler der Gruppe die Malware, während separate „Affiliates“ Ziele auswählten, in deren Systeme eindrangen und Lösegeldzahlungen direkt mit den betroffenen Organisationen verhandelten. Die Erlöse wurden anschließend zwischen Entwickler und Affiliate aufgeteilt, wobei jede Partei ihre eigene Wallet kontrollierte.

Das Colonial-Pipeline-Lösegeld und die Entwickler-Wallet

Der prominenteste DarkSide-Angriff traf Colonial Pipeline, den Betreiber einer wichtigen Kraftstoffverteilungsachse an der US-Ostküste. Die Störung verursachte weit verbreitete Kraftstoffengpässe und löste eine bundesstaatliche Notstandserklärung aus. Colonial Pipeline zahlte ein Lösegeld von 75 Bitcoin. Von diesem Betrag entfielen 63,7 Bitcoin auf den Anteil des Affiliates; die US-Behörden konnten diese Coins später zurückholen. Die verbleibenden 11,3 Bitcoin gingen an die DarkSide-Entwickler-Wallet und kamen zu Erlösen aus etwa 50 weiteren Opfern hinzu, die die Gruppe vor ihrem Verschwinden angegriffen hatte.

Die Abschaltung am 13. Mai und die erste Wallet-Bewegung

Am 13. Mai gab DarkSide bekannt, dass ihre Infrastruktur, einschließlich der Wallet mit den Erlösen auf Entwicklerseite, von einem unbekannten Dritten beschlagnahmt worden sei. Am selben Tag verließen 107,8 Bitcoin (damals etwa 5,3 Millionen US-Dollar wert) diese Wallet und bewegten sich zu einer neuen Bitcoin-Adresse. Von diesem Zeitpunkt an lagen die Gelder monatelang unberührt, was den Gesamtbestand auf rund 107,8 Bitcoin bringt, die angesichts der Kurssteigerung nun etwa 7 Millionen US-Dollar wert sind.

Die Oktober-Bewegung: Peel Chains und Börseneinzahlungen

Ab 07:00 GMT am 21. Oktober begannen sich die ruhenden Gelder zu bewegen. Im Laufe mehrerer Stunden wurden sie über eine Abfolge neuer Wallet-Adressen geleitet, wobei bei jedem Schritt kleine Beträge abgetrennt wurden, bevor der Rest weiterzog. Blockchain-Analysten nennen dies eine Peel Chain, eine etablierte Geldwäschetechnik. Die Logik ist einfach: Indem eine große Summe in kleinere Teile über mehrere Adressen aufgeteilt wird, erschwert der Geldwäscher automatisiertes Clustering und erzeugt Reibung für jede manuelle Nachverfolgung. Jeder Peel kann zudem einen Bruchteil an eine Börse senden und mit legitimen Transaktionsströmen vermischen.

Bereits erkannte Börseneinzahlungen

Selbst im frühen Stadium der Bewegung hatten kleine Teile der Gelder bereits Adressen erreicht, die mit bekannten Kryptowährungsbörsen verbunden sind. Das ist das entscheidende operative Detail für Compliance-Teams: Die Gelder zirkulieren nicht einfach durch unhosted Wallets. Sie gelangen in regulierte Infrastruktur. Jede Börse oder jedes Finanzinstitut, das eine Einzahlung ohne einen Blockchain-Analytics-Alarm erhält, der mit dem DarkSide-Wallet-Cluster verknüpft ist, verarbeitet in diesem Moment möglicherweise sanktionierte oder kriminell erlangte Erlöse.

Die REvil-Verbindung und warum beide Gruppen zusammen wichtig sind

Dass die DarkSide-Bewegung mit der Regierungsoperation gegen REvil zusammenfällt, ist mehr als Zufall. Sicherheitsforscher, darunter bei Elliptic, haben strukturelle Ähnlichkeiten zwischen DarkSide und REvil festgestellt: vergleichbare Formatierung von Lösegeldforderungen und überlappender Code. Die beiden Gruppen gelten weithin als verbunden, möglicherweise mit gemeinsamen Entwicklern oder Infrastruktur. Wenn eine Regierungsaktion eine Gruppe destabilisiert, beschleunigen verbundene Akteure oft die Liquidierung ruhender Erlöse, sei es, um einer erwarteten Beschlagnahme zuvorzukommen, oder weil die Störung das Vertrauen zerstört, das die Gelder stillgehalten hat.

Was ein staatlicher Cyberangriff auf REvil für das Geldwäscheverhalten signalisiert

Eine offensive Cyberoperation staatlicher Ebene gegen eine Ransomware-Gruppe ist eine erhebliche Eskalation. Statt auf eine Verhaftung oder eine traditionelle Strafverfolgungsbeschlagnahme zu warten, drängte die Operation REvil Berichten zufolge direkt offline. Für Akteure, die ruhende Ransomware-Erlöse halten, ist diese Art von Eingriff ein glaubwürdiges Signal, dass Warten nicht mehr sicher ist. Das Muster, das Compliance-Teams verinnerlichen sollten: Staatliche Cyberaktionen gegen Ransomware-Gruppen lösen tendenziell on-chain-Bewegungen zuvor ruhender Gelder im gesamten Ökosystem aus, nicht nur innerhalb der Zielgruppe.

AML- und Compliance-Pflichten für Unternehmen und Börsen

Nach dem Bank Secrecy Act und der FinCEN-Guidance müssen US-Finanzinstitute und Money Services Businesses (zu denen die meisten regulierten Krypto-Börsen gehören) AML-Programme unterhalten, die eine Transaktionsüberwachung umfassen, die verdächtige Aktivitäten erkennen kann. Wenn Gelder mit dokumentierter Ransomware-Herkunft eine Kundeneinzahlungsadresse erreichen, werden mehrere Pflichten gleichzeitig ausgelöst.

Screening und Transaktionsüberwachung

Blockchain-Analytics-Screening muss nicht nur die ursprüngliche DarkSide-Wallet abdecken, sondern den gesamten nachgelagerten Cluster, einschließlich Peel-Chain-Adressen. Eine Peel Chain existiert speziell, um Distanz zur Ursprungsadresse zu schaffen. Ein Screening-Tool, das nur direkte Absender prüft, wird daher Bruchstücke übersehen, die über zwei oder drei Zwischenstationen geleitet wurden. Compliance-Teams sollten bestätigen, dass ihre aktuelle Screening-Konfiguration Wallet-Verknüpfungen zweiten und dritten Grades für bekannte Ransomware-Cluster abdeckt.

OFAC-Erwägungen

Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums hat zuvor Ransomware-Akteure und zugehörige Wallets designiert. Jede Einzahlung, die auch nur indirekt auf eine designierte Wallet zurückgeht, erzeugt potenzielles Sanktionsrisiko. Unternehmen sollten aktuelle OFAC-Designationen mit den Wallet-Adressen abgleichen, die in Blockchain-Analytics-Berichten erscheinen, während die DarkSide-Bewegung fortschreitet. Die Tatsache, dass die Gelder sich jetzt bewegen, bedeutet, dass die Liste designierter Adressen kurzfristig aktualisiert werden kann, wenn die Behörden den neuen Wallet-Cluster verfolgen.

Meldung verdächtiger Aktivitäten

Wenn eine Kundeneinzahlung als potenziell mit dem DarkSide-Cluster verbunden markiert wird, gilt die übliche SAR-Meldepflicht. Das relevante Detail, das dokumentiert werden muss, ist nicht nur der Einzahlungsbetrag, sondern auch der Blockchain-Analytics-Nachweis: der Wallet-Pfad, die Anzahl der Hops von der bekannten DarkSide-Adresse und alle identifizierten Börsenadressen als Zwischenstationen. Eine gründliche Dokumentation schützt das Unternehmen bei jeder späteren regulatorischen Prüfung.

Implikationen für Wirtschaftsprüfungsgesellschaften und CFOs, die Krypto-Buchhaltungssoftware nutzen

Für Wirtschaftsprüfungsgesellschaften, die digitale Asset-Portfolios oder Treasury-Funktionen für Kunden verwalten, und für CFOs, deren Organisationen Bitcoin halten oder damit transagieren, erzeugt die DarkSide-Bewegung zwei unterschiedliche, aber zusammenhängende Bedenken.

Risiko belasteter Assets in der Portfolio-Buchhaltung

Wenn ein Kunde eines Unternehmens Bitcoin hält, die an einer Börse gekauft wurden, die DarkSide-verbundene Einzahlungen erhalten hat, sind die Coins des Kunden nicht automatisch belastet. Die Fungibilität von Bitcoin bedeutet, dass in den meisten Fällen an einer Börse vermischte Coins nicht individuell auf eine kriminelle Quelle zurückverfolgt werden können. Wenn ein Kunde jedoch direkt mit einer Wallet transagiert hat, die später als Teil des Peel-Chain-Clusters identifiziert wird, ändern sich die buchhalterische Behandlung und die regulatorische Offenlegungspflicht erheblich. Gute Krypto-Buchhaltungssoftware sollte Assets kennzeichnen, die von Adressen empfangen wurden, die auf Sanktionslisten stehen, und Compliance-Teams sollten prüfen, dass ihre Tools Wallet-Designationsdaten nahezu in Echtzeit aktualisieren und nicht wöchentlich oder monatlich.

Audit-Trail und Dokumentationsstandards

Auditoren, die digitale Asset-Bestände für den Zeitraum dieser Bewegung prüfen, wollen Nachweise sehen, dass das AML-Screening des Unternehmens aktiv und zeitnah war. Eine Lücke in den Screening-Logs oder eine Screening-Konfiguration, die nicht um den neuen DarkSide-Wallet-Cluster aktualisiert wurde, ist ein Audit-Feststellung, die nur darauf wartet zu passieren. Der praktische Schritt ist einfach: die Screening-Konfiguration jetzt abrufen, Datum und Umfang dokumentieren und diesen Nachweis als Teil der AML-Audit-Akte aufbewahren. Wenn Ihr Unternehmen digitale Asset-Buchhaltungssoftware zur Abstimmung von on-chain-Transaktionen nutzt, bestätigen Sie, dass der Datenfeed der Software Blockchain-Analytics-Ausgaben enthält, nicht nur Preis- und Mengendaten.

Für zusätzlichen Kontext dazu, wie fortschrittliche Analyse-Tools zur Erkennung dieser Muster eingesetzt werden, sehen Sie unsere Berichterstattung darüber, wie KI zur Erkennung von Bitcoin-Geldwäsche in großem Maßstab eingesetzt wird. Für einen umfassenderen Rahmen zu den on-chain-Red Flags, die Compliance-Teams erkennen müssen, behandelt der Beitrag AML-Red-Flags, die Compliance-Teams nach Crypto-Bridge-Hacks erkennen müssen überlappende Typologien.

Häufig gestellte Fragen

Was ist eine Peel Chain und warum ist sie für das AML-Screening wichtig?

Eine Peel Chain ist eine Layering-Technik, bei der eine große Menge Kryptowährung über eine Abfolge von Wallet-Adressen bewegt wird, wobei bei jedem Schritt ein kleiner Teil „abgetrennt“ wird. Das Ergebnis ist, dass die ursprüngliche Summe fragmentiert wird und der Abstand zwischen der Quelladresse und einer eventuellen Börseneinzahlung mit jedem Hop zunimmt. Für das AML-Screening bedeutet dies, dass ein Tool, das nur den unmittelbaren Absender einer Einzahlung prüft, Gelder übersieht, die über Zwischenadressen abgetrennt wurden. Effektives Screening erfordert die Analyse des vollständigen Transaktionsgraphen, nicht nur der direkten Vorgängeradresse.

Sind Börsen gesetzlich verpflichtet, Einzahlungen von Ransomware-Wallets zu blockieren?

Die Verpflichtung hängt vom regulatorischen Status der jeweiligen Wallet ab. Wenn die Wallet oder ihr Eigentümer von OFAC formell designiert wurde, kann die Verarbeitung einer Transaktion mit dieser Wallet, auch indirekt, einen Sanktionsverstoß nach dem International Emergency Economic Powers Act darstellen. Über Sanktionen hinaus müssen Börsen, die dem Bank Secrecy Act unterliegen, einen SAR einreichen, wenn sie Grund zu der Annahme haben, dass eine Einzahlung mit krimineller Aktivität zusammenhängt, selbst wenn die Wallet nicht formell designiert ist. Die beiden Pflichten bestehen parallel, nicht als Alternativen.

Wie schnell sollte ein Compliance-Team handeln, wenn ruhende Ransomware-Gelder sich zu bewegen beginnen?

Sofort. Eine Peel Chain kann Gelder innerhalb von Stunden nach der ersten Bewegung an eine Börseneinzahlungsadresse leiten, wie der DarkSide-Fall zeigt. Compliance-Teams sollten einen glaubwürdigen Bericht über sich bewegende ruhende Ransomware-Gelder als Auslöser behandeln, ihre Blockchain-Analytics-Screening-Konfiguration noch am selben Tag zu überprüfen und gegebenenfalls zu aktualisieren. Zu warten, bis eine formelle OFAC-Designationsaktualisierung erfolgt, schafft ein Zeitfenster der Exposition.

Schafft das Halten von Bitcoin, die an einer legitimen Börse gekauft wurden, ein Ransomware-Risiko für eine Unternehmens-Treasury?

In den meisten Fällen nein. Bitcoin, die über den gewöhnlichen Market-Making-Prozess einer regulierten Börse erworben wurden, sind nach der Vermischung im Liquiditätspool einer Börse nicht individuell auf eine kriminelle Quelle zurückverfolgbar. Das Risiko ist spezifisch: Wenn eine Treasury-Wallet Bitcoin direkt von einer Adresse erhalten hat, die später als Teil eines Ransomware-Geldwäsche-Clusters identifiziert wird, ist dieser Bestand überprüfungsbedürftig. Unternehmens-Treasurer sollten Transaktionsaufzeichnungen und Blockchain-Analytics-Berichte aufbewahren, um die Herkunft der Bestände nachzuweisen, insbesondere für Assets, die in Zeiten aktiver Ransomware-Geldwäscheaktivität erworben wurden.

Was sollte eine Wirtschaftsprüfungsgesellschaft tun, wenn die Prüfung digitaler Assets eines Kunden den Zeitraum dieser Bewegung abdeckt?

Die Gesellschaft sollte dokumentieren, dass das AML-Screening des Kunden während des relevanten Zeitraums aktiv und angemessen konfiguriert war, verifizieren, dass keine Kunden-Wallet Einzahlungen erhalten hat, die auf den DarkSide-Cluster zurückverfolgbar sind, und Blockchain-Analytics-Berichte als Teil der Prüfungsarbeitspapiere aufbewahren. Wenn eine Exposition identifiziert wird, sollte die Gesellschaft prüfen, ob eine SAR-Pflicht ausgelöst wird und ob OFAC-Meldeanforderungen gelten. Das Prüfungsurteil selbst muss möglicherweise die Angemessenheit der AML-Kontrollen des Kunden über digitale Asset-Transaktionen als Going-Concern- oder interne Kontrollangelegenheit erwähnen.

Quelle: Elliptic