Elliptic veröffentlicht kostenlose Binance-Exploit-Blocklist nach 6,4 Mrd. USD Hack
Elliptic hat eine kostenlose, herunterladbare Blocklist von Blockchain-Adressen veröffentlicht, die es direkt dem 6,43 Milliarden USD schweren Binance-Exploit zugeordnet hat, dem größten Krypto-Diebstahl aller Zeiten. Der Datensatz ist ab sofort als CSV-Datei verfügbar, API-Zugang soll folgen. Jedes Unternehmen, das digitale Vermögenswerte verarbeitet, verwahrt oder bilanziert, hat nun ein praktisches Instrument, um Gegenparteien zu überprüfen und Geldwäscherouten zu unterbinden, bevor die gestohlenen Gelder seine Bücher erreichen. Die Sanktionsdimension, verbunden mit DPRK-Akteuren, macht diese Überprüfung zur Pflicht, nicht nur zur guten Praxis.
Was die Blocklist enthält und wie sie erstellt wurde
Die Ermittler von Elliptic haben die Gelder direkt vom Binance-Exploit zurückverfolgt und die Adressen dem Angriff zugeordnet. Der CSV-Snapshot repräsentiert verifizierte Zuordnungen zum Zeitpunkt der Veröffentlichung, und das Unternehmen hat erklärt, dass es weitere Adressen hinzufügen wird, sobald die Tracing-Arbeit fortschreitet. Der API-Zugang wird die automatisierte Einpflege ermöglichen, sobald er live geht, und ist damit für die Integration in Transaktionsüberwachungssysteme geeignet.
Ausmaß des Diebstahls im Kontext
Die Analyse von Elliptic beziffert den gestohlenen Betrag auf 6,43 Milliarden USD. Zur Einordnung: Das ist mehr als das Vierfache der 1,46 Milliarden USD, die beim Bybit-Exploit im Februar 2025 entwendet wurden, der seinerzeit selbst als größter einzelner Krypto-Diebstahl bezeichnet wurde. Der Binance-Exploit übertrifft diesen nun. Von der Gesamtsumme hat Elliptic bestätigt, dass 2,84 Milliarden USD eingefroren wurden. Der verbleibende Rest ist aktiv und bewegt sich durch die Branche, und Elliptic hat darauf hingewiesen, dass die Geldwäscheaktivitäten voraussichtlich in den kommenden Monaten anhalten werden.
Zuordnung zu DPRK-Akteuren
Elliptic hat den Hack Akteuren mit Verbindungen zu Nordkorea zugeordnet. Diese Zuordnung hat unmittelbare regulatorische Bedeutung: DPRK-verbundene Einheiten unterliegen Sanktionen, die in den Vereinigten Staaten von OFAC und in anderen Rechtsordnungen von entsprechenden Behörden verwaltet werden. Jedes Unternehmen, das diese Gelder erhält, verarbeitet oder deren Bewegung ermöglicht, selbst unwissentlich, ist potenziellen Sanktionsrisiken ausgesetzt. Die Blocklist ist das Instrument, um zu verhindern, dass sich dieses Risiko materialisiert.
Warum dies unmittelbare Pflichten für Krypto-Unternehmen schafft
Die frühere kostenlose Blocklist von Elliptic, die nach dem Bybit-Exploit veröffentlicht wurde, hat einen Präzedenzfall geschaffen. Die Position des Unternehmens ist, dass die kostenlose Bereitstellung der Daten für die gesamte Branche die Anzahl der Prüfpunkte vervielfacht, von denen jeder eine weitere Route verschließt, die die Gelder nehmen könnten. Dieselbe Logik gilt hier, in etwa vierfachem Umfang.
Sanktionsrisiko ist nicht von der Absicht abhängig
Der Strict-Liability-Rahmen von OFAC bedeutet, dass die Verarbeitung einer Transaktion mit sanktionierten Geldern oder sanktionierten Parteien ein Risiko schaffen kann, unabhängig davon, ob das Unternehmen wusste, dass die Gelder belastet waren. Sobald Elliptic eine öffentliche Blocklist veröffentlicht und erklärt hat, dass sie die Adressen DPRK-verbundenen Akteuren zuordnet, wird es für ein Unternehmen, das keine Überprüfung vornimmt und subsequently diese Gelder verarbeitet, sehr schwierig sein, zu argumentieren, es hätte keine Möglichkeit gehabt, davon zu wissen. Die Veröffentlichung der Blocklist erhöht faktisch die Wissensschwelle für die Branche.
Das Geldwäschefenster ist jetzt offen
Die Empfehlung von Elliptic ist eindeutig: Die Gelder bewegen sich jetzt, und die Überprüfung sollte jetzt erfolgen. Große Hacks, die staatlich verbundenen Akteuren zugeordnet werden, folgen einem erkennbaren Muster: schnelle Fragmentierung über Wallets, Routing über Mixing-Dienste oder Cross-Chain-Bridges und schließlich Umwandlung über Börsen oder OTC-Schalter mit schwachen Kontrollen. Je länger ein Unternehmen wartet, die Blocklist einzupflegen, desto größer ist die Wahrscheinlichkeit, dass eine markierte Adresse unentdeckt durch seine Systeme läuft.
Buchhaltungs- und Prüfungsimplikationen für Unternehmen und CFOs
Für Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und CFOs mit Engagement in digitalen Vermögenswerten ist die Binance-Blocklist auf mehreren Ebenen relevant, über die unmittelbare AML-Prüfung hinaus.
Werthaltigkeit und Impairment von Vermögenswerten
Jedes Unternehmen oder jeder Fonds, der zum Zeitpunkt des Exploits Vermögenswerte bei Binance hielt, muss die Werthaltigkeit beurteilen. Nach IFRS und US GAAP kann ein Eventualvermögenswert, dessen Realisierung nicht so gut wie sicher ist, nicht angesetzt werden. Wenn Vermögenswerte bestätigt eingefroren oder verloren sind, ist ein Impairment oder eine Abschreibung erforderlich. Die bestätigten 2,84 Milliarden USD eingefrorene Gelder werfen eine separate Frage auf: Wenn eine Wiedererlangung wahrscheinlich, aber nicht vollständig ist, muss das Management die Grundlage für einen etwaigen Buchwert unter Bezugnahme auf die bestätigte Einfrierung und den laufenden Tracing-Prozess dokumentieren. Diese Dokumentation sollte die Elliptic-Analyse als öffentlich verfügbare, verifizierbare Quelle nennen.
Offenlegungspflichten
Sofern die Beträge wesentlich sind, müssen der Exploit und etwaige damit verbundene Vermögenspositionen im Jahresabschluss offengelegt werden. Für Unternehmen, die als Abschlussprüfer von Krypto-nativen Mandanten tätig sind, ist dies ein Risikobereich, der in der aktuellen Berichtsperiode erhöhte Aufmerksamkeit erfordert. Software zur Bilanzierung digitaler Vermögenswerte, die Blockchain-Daten einpflegt, kann dabei helfen, festzustellen, ob Kunden-Wallets Gelder erhalten haben, die auf die Exploit-Adressen zurückgehen, und unterstützt so die Vollständigkeitsaussage in einer Prüfung.
Integration der Transaktionsüberwachung
Unternehmen, die Krypto-Buchhaltungssoftware oder Software zur Bilanzierung digitaler Vermögenswerte verwenden, um On-Chain-Aktivitäten zu erfassen und abzustimmen, sollten prüfen, ob ihre Tools die Echtzeit- oder Near-Real-Time-Einpflege von Blocklists unterstützen. Ein CSV-Download ist die unmittelbare Option; die API-Integration, sobald von Elliptic verfügbar, ermöglicht kontinuierliche Aktualisierungen, wenn neue zugeordnete Adressen hinzugefügt werden. Compliance-Teams sollten dies ihren Technologieanbietern melden und den Integrationszeitplan bestätigen.
Praktische Schritte: Was heute zu tun ist
Die folgenden Maßnahmen gelten für jedes Unternehmen, das mit digitalen Vermögenswerten in Berührung kommt, sei es als Börse, Verwahrer, OTC-Schalter, Fondsadministrator oder Wirtschaftsprüfungs- und Buchhaltungspraxis mit Krypto-nativen Mandanten.
Sofortige Überprüfung
Laden Sie die CSV-Blocklist von Elliptic herunter und gleichen Sie sie mit Ihren aktuellen Transaktionsüberwachungs- und Wallet-Screening-Systemen ab. Identifizieren Sie etwaige historische Transaktionen mit den gelisteten Adressen und eskalieren Sie sie zur Compliance-Prüfung. Wenn Ihre Systeme keine CSV direkt einpflegen können, ist eine manuelle Prüfung der jüngsten hochwertigen oder ungewöhnlichen Transaktionen der Mindeststandard, während eine technische Lösung vorbereitet wird.
Aktualisierung von Richtlinien und Verfahren
Aktualisieren Sie Ihre AML-Richtlinie, um die DPRK-Zuordnung ausdrücklich zu erwähnen. Wenn Ihre Sanktionsprüfungsrichtlinie ausschließlich auf offiziellen Regierungslisten basiert, der OFAC-SDN-Liste in den USA und entsprechenden Listen anderswo, ist dieses Ereignis Anlass zu prüfen, ob ergänzende Blockchain-Analyse-Feeds als Teil Ihres Screening-Prozesses formalisiert werden sollten. Aufsichtsbehörden in mehreren Rechtsordnungen haben angedeutet, dass die ausschließliche Nutzung offizieller Listen nicht ausreicht, wenn Blockchain-Analysedaten verfügbar und wesentlich sind.
Kommunikation mit Mandanten und Gegenparteien
Wirtschaftsprüfungsgesellschaften, die Krypto-Unternehmen beraten, sollten proaktiv Kontakt aufnehmen, um zu bestätigen, dass die Mandanten die Blocklist eingepflegt haben. Wenn ein Mandant keine angemessene Überprüfung nachweisen kann, ist dies ein Compliance-Risiko, das dokumentiert und gegebenenfalls gemeldet werden muss. Bei Prüfungsaufträgen bestätigen Sie, ob die Blocklist-Überprüfung abgeschlossen wurde, und bewahren Sie den Nachweis dieser Bestätigung in den Arbeitspapieren auf.
Überwachung von Aktualisierungen
Elliptic hat erklärt, dass die Ermittler weitere Adressen hinzufügen werden, sobald das Tracing fortschreitet. Richten Sie einen Prozess ein, um regelmäßig nach Aktualisierungen zu suchen, und wechseln Sie zur API-basierten Einpflege, sobald dieser Zugang verfügbar ist. Das Geldwäschemuster bei staatlich verbundenen Hacks dieser Größenordnung spielt sich typischerweise über Monate ab, nicht über Tage, was bedeutet, dass die Blocklist wachsen wird und die Überprüfungspflicht bis weit in 2027 bestehen bleibt.
Regulatorischer Kontext: DPRK, OFAC und der globale Sanktionsrahmen
DPRK-verbundene Cyberakteure waren für eine Reihe hochkarätiger Krypto-Diebstähle verantwortlich. OFAC hat mehrere Einheiten und Personen, die mit diesen Operationen in Verbindung stehen, im Rahmen seiner Sanktionsprogramme designiert. Für US-Personen und Transaktionen mit US-Bezug ist das Verbot absolut: Keine Transaktion mit einer designierten Partei oder deren Eigentum ist erlaubt, und Verstöße ziehen zivil- und strafrechtliche Sanktionen nach sich. Für Unternehmen außerhalb der USA gelten entsprechende Regelungen in der EU, im Vereinigten Königreich und den meisten wichtigen Finanzzentren.
Die praktische Konsequenz der DPRK-Zuordnung ist, dass die Gelder aus dem Binance-Exploit nicht nur gestohlene Vermögenswerte sind: Sie sind faktisch sanktioniertes Eigentum. Jeder Knoten im Finanzsystem, den sie durchlaufen, übernimmt rechtliches Risiko. Die Elliptic-Blocklist ist ein Instrument, um diesen Durchlauf zu identifizieren und zu blockieren. Lesen Sie unsere frühere Analyse dazu, wie OFAC gegen das Krypto-Betrugsnetzwerk von DPRK-IT-Arbeitern vorging, für zusätzlichen Kontext zur Durchsetzungshaltung, die dieser Zuordnung zugrunde liegt.
Für eine eingehendere Behandlung der buchhalterischen und regulatorischen Folgen speziell für das Ereignis auf Börsenebene lesen Sie unsere Berichterstattung über die buchhalterischen und compliancebezogenen Implikationen des Binance-Hacks und der Aussetzung von Auszahlungen.
Häufig gestellte Fragen
Was ist die Elliptic-Binance-Exploit-Blocklist?
Es handelt sich um eine frei herunterladbare CSV-Datei mit Blockchain-Adressen, die Elliptic direkt dem 6,43 Milliarden USD schweren Binance-Hack zugeordnet hat. Elliptic fügt laufend Adressen hinzu, während das Tracing fortschreitet, und der API-Zugang wird kurz nach der ersten Veröffentlichung verfügbar sein.
Hat mein Unternehmen eine rechtliche Verpflichtung, gegen diese Blocklist zu prüfen?
Es gibt kein einzelnes Gesetz, das die Verwendung dieser spezifischen Blocklist vorschreibt. Die DPRK-Zuordnung bedeutet jedoch, dass die Gelder mit sanktionierten Akteuren verbunden sind. Nach dem Strict-Liability-Rahmen von OFAC in den USA und nach entsprechenden Regelungen anderswo schafft die Verarbeitung von Transaktionen mit sanktioniertem Eigentum ein Risiko, unabhängig von der Absicht. Die Nichtüberprüfung, wenn eine öffentliche, verifizierte Blocklist existiert, wird in einer regulatorischen Überprüfung schwer zu verteidigen sein.
Wie steht die Zahl von 6,43 Milliarden USD im Vergleich zu früheren Exploits da?
Die Analyse von Elliptic beziffert den Binance-Diebstahl auf mehr als das Vierfache der 1,46 Milliarden USD, die beim Bybit-Exploit im Februar 2025 entwendet wurden. Er wird als der größte einzelne Krypto-Diebstahl aller Zeiten bezeichnet.
Was sollte unsere Krypto-Buchhaltungssoftware oder Software zur Bilanzierung digitaler Vermögenswerte mit diesen Daten tun?
Ihre Tools sollten in der Lage sein, die CSV jetzt einzupflegen und etwaige Adressübereinstimmungen in historischen oder eingehenden Transaktionsdatensätzen zu markieren. Sobald Elliptic den API-Zugang freigibt, stellt die Integration eines Live-Feeds sicher, dass Ihre Überwachung automatisch aktualisiert wird, wenn neue Adressen hinzugefügt werden. Bestätigen Sie diese Fähigkeit mit Ihrem Technologieanbieter und dokumentieren Sie die ergriffenen Schritte.
Wie behandeln wir gestohlene oder eingefrorene Vermögenswerte in unseren Jahresabschlüssen?
Nach IFRS und US GAAP müssen Vermögenswerte, die nicht werthaltig sind, wertgemindert oder abgeschrieben werden. Wenn eine Wiedererlangung möglich, aber unsicher ist, muss das Management die Grundlage für einen etwaigen Buchwert unter Bezugnahme auf verifizierbare Nachweise dokumentieren, wie die in der Elliptic-Analyse veröffentlichten bestätigten Einfrierungsbeträge. Wesentliche Positionen erfordern eine Offenlegung. Abschlussprüfer sollten dies in der aktuellen Periode als Risikobereich mit erhöhter Aufmerksamkeit behandeln.
Quelle: Elliptic