Krypto im Konflikt: Sanktionsrisiko, DeFi-Fundraising und was Firmen wissen müssen
Eine detaillierte Analyse des Blockchain-Intelligence-Unternehmens Elliptic kartiert Krypto-Asset-Aktivitäten auf beiden Seiten des Russland-Ukraine-Kriegs und landet direkt auf den Schreibtischen von Compliance-Beauftragten, Auditoren und den Wirtschaftsprüfungsgesellschaften, die virtuelle Asset-Dienstleister (VASPs) beraten. Der zentrale Befund ist eindeutig: Mehr als jede zehnte pro-russische Krypto-Spende stammt aus Quellen, die bereits als illegal eingestuft wurden, was für jede Plattform, die diese Gelder ohne angemessene Prüfung verarbeitet, ein akutes Sanktionsrisiko darstellt. Für Teams, die AML-Kontrollen aufbauen oder überprüfen, und für alle, die auf Krypto-Buchhaltungssoftware angewiesen sind, um einen Prüfpfad zu führen, ist dieser Bericht ein praktischer Stresstest der aktuellen Rahmenwerke.
Was der Bericht tatsächlich abdeckt
Elliptic stützte sich auf eigene proprietäre Blockchain-Daten, um Krypto-Asset-Ströme zu verfolgen, die mit ukrainischen und pro-russischen Fundraising-Aktivitäten ab dem Zeitraum nach der groß angelegten Invasion Russlands im Februar 2022 zusammenhängen. Der Umfang ist bewusst breit und umfasst humanitäre Kampagnen, militärische Unterstützungsnetzwerke, sanktionierte Einrichtungen und Gruppen, deren öffentliche Kommunikation Material enthielt, das der Bericht als Verherrlichung möglicher Kriegsverbrechen und Verbrechen gegen die Menschlichkeit charakterisiert.
Das ukrainische Fundraising-Bild
Die Blockchain-Technologie erwies sich auf ukrainischer Seite als hocheffektive Fundraising-Schiene. Der Bericht beziffert die gesamten Krypto-Spenden auf über 78 Millionen US-Dollar. Bitcoin machte nur 1 % dieser Summe aus. Der Großteil floss über Kanäle, die auf neuerer Infrastruktur aufbauten: DeFi-Protokolle, Non-Fungible-Token-Kampagnen und dezentrale autonome Organisationen. Allein NFT-Kampagnen trugen fast 8 Millionen US-Dollar bei, rund 10 % der Gesamtsumme. Diese Größenordnung zeigt etwas, das Compliance-Teams bereits modellieren sollten: DeFi- und NFT-Ströme sind keine Nische mehr. Sie sind wesentliche Fundraising-Instrumente, die in jeder glaubwürdigen AML- und Krypto-Buchhaltungssoftware-Architektur berücksichtigt werden müssen.
Das pro-russische Fundraising-Bild und seine illegale Belastung
Pro-russische Einheiten, eine Kategorie, die Fundraiser für das russische Militär und verbündete Milizen umfasst, sammelten Berichten zufolge 4,8 Millionen US-Dollar an Krypto-Spenden. Versuche, das ukrainische Modell mit NFTs und DeFi-Strukturen nachzubilden, scheiterten weitgehend. Was jedoch nicht scheiterte, war der Zufluss von Geldern aus bereits belasteten Quellen: Der Bericht stellt fest, dass über 10 % der pro-russischen Spenden auf Darknet-Märkte, sanktionierte Einrichtungen oder Anbieter zurückgehen, die mit gestohlenen Zahlungskartendaten in Verbindung stehen. Dieser Anteil verwandelt das pro-russische Fundraising-Ökosystem in ein akutes Sanktionsprüfungsproblem für jede Plattform, die diese Wallets berührt haben könnte.
Sanktionsrisiko: Was die Zahlen in der Praxis bedeuten
Eine Illicit-Source-Quote von über 10 % ist kein akademischer Datenpunkt. Sowohl nach US-OFAC-Regeln als auch nach EU-Sanktionsverordnungen unterliegt ein VASP, das eine Transaktion verarbeitet, bei der die Counterparty-Wallet mit einer designierten Einrichtung verbunden ist, einem potenziellen Strict-Liability-Risiko, unabhängig davon, ob die Plattform zum Zeitpunkt der Transaktion von der Verbindung wusste. Die Pflicht zu wissen liegt beim Unternehmen.
OFAC- und EU-Sanktionsmechanik
Der OFAC-Rahmen verpflichtet US-Personen und -Einrichtungen, Transaktionen mit sanktionierten Parteien zu blockieren und blockiertes Vermögen zu melden. Das EU-Sanktionsregime, das in den Mitgliedstaaten durch Verordnungen des Rates umgesetzt wird, sieht gleichwertige Einfrier- und Meldepflichten vor. Keiner der beiden Rahmen macht eine Ausnahme für Beträge, die klein erscheinen. Eine Spende von 500 US-Dollar, die über einen Wallet-Cluster mit Verbindung zu einer sanktionierten Miliz geleitet wird, birgt dasselbe rechtliche Risiko wie eine große institutionelle Überweisung, wenn die Verbindung on-chain nachgewiesen werden kann.
Warum Blockchain-Nachverfolgbarkeit hier wichtig ist
Das permanente öffentliche Ledger der Blockchain schneidet in beide Richtungen. Es ist der Mechanismus, der es Elliptic überhaupt ermöglichte, den Anteil illegaler Quellen zu identifizieren, aber es ist auch der Mechanismus, der es Regulierungs- und Strafverfolgungsbehörden ermöglicht, Ströme rückwirkend nachzuverfolgen. Ein VASP, das 2022 oder 2023 eine pro-russische Spenden-Wallet verarbeitet hat, könnte feststellen, dass dieser Wallet-Cluster 2026 neu designiert oder neu einer sanktionierten Einrichtung zugeordnet wird. Genau wegen dieser rückwirkenden Exposition müssen Transaktionsaufzeichnungen auf Einzeltransaktionsebene, nicht nur Onboarding-KYC-Momentaufnahmen, geführt und in der jeweiligen Digital-Asset-Buchhaltungssoftware durchsuchbar sein.
DeFi, NFTs und DAOs als Compliance-Blindflecken
Die ukrainischen Fundraising-Daten leisten für Compliance-Teams etwas Nützliches: Sie belegen empirisch, dass DeFi-Protokolle, NFT-Minting-Kampagnen und DAOs schnell und grenzüberschreitend zweistellige Millionenbeträge mobilisieren können. Dieselbe Fähigkeit ist neutral gegenüber der Sache, der sie dient. Ein DeFi-Protokoll prüft nicht die politische Zugehörigkeit eines Liquiditätsanbieters. Ein NFT-Smart-Contract führt kein KYC für einen Käufer durch.
Regulatorische Entwicklung in den USA und der EU
Sowohl die USA als auch die EU bewegen sich darauf zu, die DeFi-Compliance-Lücke zu schließen, allerdings mit unterschiedlichem Tempo. In den USA hat der überarbeitete CLARITY Act die legislative Aufmerksamkeit darauf gelenkt, welche DeFi-Betreiber ausreichend dezentralisiert sind, um eine Broker-Dealer-Einstufung zu vermeiden, und welche nicht. Betreiber, die maßgebliche Kontrolle behalten, unterliegen AML-Pflichten nach FinCEN-Regeln. Für den Kontext, wie sich diese Gesetzgebung entwickelt, lesen Sie unsere frühere Berichterstattung darüber, was der überarbeitete CLARITY Act für nicht-dezentralisierte DeFi-Betreiber bedeutet.
In der EU verlangen die Markets in Crypto-Assets Regulation (MiCA) und die Transfer of Funds Regulation (TFR) zusammen die Einhaltung der Travel Rule für Krypto-Transfers oberhalb von Schwellenbeträgen, doch DeFi befindet sich in einer erklärten regulatorischen Grauzone, deren Überprüfung die Europäische Kommission zugesagt hat. Die Elliptic-Ergebnisse erhöhen den politischen Druck auf diese Überprüfung: Wenn DeFi-Schienen im Konfliktkontext 78 Millionen US-Dollar bewegen können, werden Regulierungsbehörden keine unbegrenzte Unklarheit über AML-Pflichten akzeptieren.
NFTs: der 8-Millionen-Datenpunkt, den Firmen nicht ignorieren können
Fast 8 Millionen US-Dollar, die über NFT-Kampagnen in einem einzigen Konfliktkontext gesammelt wurden, sind ein Datenpunkt, der beeinflussen sollte, wie Wirtschaftsprüfungsgesellschaften NFT-Aktivitäten für ihre VASP-Kunden klassifizieren. Ein NFT ist nicht automatisch ein Sammlerstück mit minimalem Risiko für Finanzkriminalität. Wenn NFT-Kampagnen als Fundraising-Instrumente genutzt werden, haben die zugrunde liegenden Ströme dasselbe AML-Profil wie jeder andere Spendenkanal, einschließlich der Notwendigkeit von Herkunftsnachweisen für bedeutende Beitragende und Sanktionsprüfungen von Wallet-Adressen, die an Sekundärmarkttransaktionen beteiligt sind.
Rechnungslegungs- und Prüfungsimplikationen
Für Buchhalter und Auditoren, die VASPs betreuen, wirft der Elliptic-Bericht mehrere konkrete Fragen auf, die in jeder Auftragsplanung oder jedem internen Audit-Zyklus für 2026 berücksichtigt werden sollten.
Integrität der Aufzeichnungen auf Transaktionsebene
Wenn ein VASP-Kunde Transaktionen mit Wallets verarbeitet hat, die nun als mit sanktionierten Einrichtungen oder Darknet-Märkten verbunden identifiziert werden, muss das Unternehmen feststellen, welche Aufzeichnungen auf Transaktionsebene existieren. Aggregierte Salden im Hauptbuch sind unzureichend; benötigt werden die Wallet-Adresse, der Zeitstempel, die Gegenpartei und der Blockchain-Transaktionshash. Jede Krypto-Buchhaltungssoftware-Bereitstellung, die diese Felder nicht auf Ebene der Einzeltransaktion erfasst und aufbewahrt, ist für einen Sanktionsprüfungskontext operativ ungeeignet.
Angaben zu Eventualverbindlichkeiten
Wenn ein VASP Transaktionen verarbeitet hat, die ein rückwirkendes Sanktionsrisiko bergen können, müssen Auditoren und Ersteller beurteilen, ob eine Angabe zu Eventualverbindlichkeiten nach IFRS (IAS 37) oder US GAAP (ASC 450) erforderlich ist. Der Schwellenwert ist, ob ein Abfluss wahrscheinlich und zuverlässig schätzbar ist. In einem Kontext, in dem regulatorische und strafrechtliche Prüfungen von konfliktbezogenen Wallets aktiv und andauernd sind, könnte dieser Schwellenwert näher liegen, als Unternehmen annehmen.
Governance-Dokumentation für Hochrisikokategorien
Governance-Dokumente auf Vorstandsebene, einschließlich AML-Risikobewertungen und der nach den Programmregeln von FinCEN und dem AMLD-Rahmen der EU erforderlichen schriftlichen Richtlinien, sollten überprüft werden, um zu bestätigen, dass konfliktbezogene Wallet-Cluster ausdrücklich als Hochrisikokategorie behandelt werden. Wenn die aktuelle Dokumentation vor dem Zeitraum signifikanter konfliktbezogener Aktivität datiert, muss sie wahrscheinlich aktualisiert werden. Auditoren sollten das Fehlen dieser Kategorie als Kontrolllücke behandeln.
Überprüfung der Exposition früherer Perioden
Der Bericht deckt Aktivitäten ab 2022 ab. Wirtschaftsprüfungsgesellschaften mit VASP-Kunden sollten prüfen, ob eine gezielte Überprüfung der Transaktionsaufzeichnungen früherer Perioden angebracht ist, unter Verwendung aktueller Blockchain-Intelligence-Daten, um zu testen, ob verarbeitete Wallets nun eine bekannte Illicit-Source- oder Sanktionsdesignation tragen. Dies ist ein verhältnismäßiger Schritt, keine erschöpfende Nachprüfung, aber er liefert eine verteidigungsfähige Aufzeichnung, dass das Unternehmen angemessene Schritte unternommen hat, als die Risikoinformationen verfügbar wurden. Ein paralleles Beispiel dafür, wie OFAC-Designierungen rückwirkende Rechnungslegungs- und Compliance-Pflichten schaffen, finden Sie in unserer Analyse, wie die OFAC-Sanktionen gegen Xinbi Guarantee Krypto-Buchhaltungsabläufe beeinflussen.
Praktische Schritte für Compliance- und Finanzteams
Der Bericht schreibt keine Compliance-Antwort vor, aber die Daten deuten auf mehrere konkrete Maßnahmen hin.
Screening-Architektur
Wallet-Screening muss auf Transaktionsebene erfolgen, nicht nur beim Onboarding. Blockchain-Intelligence-Feeds sollten häufig genug aktualisiert werden, um neu designierte Wallet-Cluster zu erfassen. Jede Digital-Asset-Buchhaltungssoftware, die zur Aufzeichnung von VASP-Transaktionen verwendet wird, sollte das Screening-Ergebnis zusammen mit dem Transaktionsdatensatz protokollieren, damit der Prüfpfad vollständig und in sich geschlossen ist.
DeFi- und NFT-Richtlinienabdeckung
AML-Richtlinien, die DeFi-Protokollinteraktionen und NFT-Kampagnen nicht ausdrücklich ansprechen, hinterlassen eine Lücke, die Regulierungsbehörden und Auditoren identifizieren werden. Die Elliptic-Daten machen die Auslassung schwer verteidigbar: Dies sind dokumentierte, wesentliche Fundraising-Kanäle mit nachgewiesener Fähigkeit für groß angelegte Illicit-Source-Exposition.
Schulung der Mitarbeiter zu konfliktbezogenen Typologien
Die Meldung verdächtiger Aktivitäten erfordert, dass Mitarbeiter Muster erkennen. Konfliktbezogene Fundraising-Typologien, einschließlich der Nutzung von DAOs zur Bündelung von Spenden, NFT-Drops als Deckmantel für Werttransfers und DeFi-Bridging zur Verschleierung von Mittelherkunft, sollten in den nächsten Schulungszyklus aufgenommen werden. Die FATF-Leitlinien zu virtuellen Assets und die FinCEN-SAR-Meldeanforderungen für VASPs bieten beide eine regulatorische Grundlage für die Erwartung dieser Abdeckung.
Häufig gestellte Fragen
Schafft der Elliptic-Bericht rechtliche Verpflichtungen für VASPs?
Der Bericht selbst nicht. Rechtliche Verpflichtungen ergeben sich aus OFAC-Designierungen, EU-Ratsverordnungen und nationaler AML-Gesetzgebung. Der Wert des Berichts liegt darin, dass er Risikomuster und Wallet-Cluster-Daten aufzeigt, die VASPs zur Stärkung ihres Screenings nutzen können. Diese Informationen zu ignorieren, obwohl sie öffentlich verfügbar sind, könnte für eine regulatorische Bewertung relevant sein, ob ein Unternehmen angemessene Schritte unternommen hat.
Was bedeutet "über 10 % aus illegalen Quellen" für ein VASP, das pro-russische Spenden angenommen hat?
Es bedeutet, dass die statistische Wahrscheinlichkeit, dass eine bestimmte pro-russische Spenden-Wallet auf einen Darknet-Markt, eine sanktionierte Einrichtung oder einen Anbieter gestohlener Karten zurückgeht, wesentlich und nicht vernachlässigbar ist. Ein VASP, das solche Spenden ohne Screening auf Transaktionsebene angenommen hat, sollte dies als Anlass nehmen, seine Aufzeichnungen zu überprüfen und, falls eine Exposition festgestellt wird, rechtlichen Rat zu freiwilligen Offenlegungspflichten nach den geltenden OFAC- oder EU-Sanktionsregeln einzuholen.
Unterliegen NFT-Transaktionen denselben AML-Pflichten wie Krypto-Transfers?
In den meisten Jurisdiktionen ja, wenn ein VASP den Austausch oder Transfer von NFTs erleichtert, die nach lokalem Recht als virtuelle Assets gelten. Die aktualisierten FATF-Leitlinien zu virtuellen Assets schließen NFTs ausdrücklich ein, die als Zahlungs- oder Anlageinstrumente fungieren. Sowohl die US-FinCEN-Regeln als auch die TFR der EU gelten für qualifizierende Transfers. Die konkrete Einstufung hängt von den Merkmalen des NFT und der Rolle der Plattform in der Transaktion ab.
Wie sollten Auditoren konfliktbezogene Wallet-Exposition in Jahresabschlüssen behandeln?
Nach IAS 37 und ASC 450 sollte eine Eventualverbindlichkeit offengelegt werden, wenn ein potenzieller Abfluss wahrscheinlich und vernünftig schätzbar ist, und angegeben werden, wenn ein Abfluss möglich, aber nicht wahrscheinlich ist. Wenn ein VASP Wallets mit identifizierten Sanktionsverbindungen verarbeitet hat und potenzielle regulatorische Maßnahmen drohen, muss der Auditor in Absprache mit den Rechtsberatern des Unternehmens beurteilen, ob einer der Schwellenwerte erfüllt ist.
Betrifft dieser Bericht Unternehmen, die Krypto nur für Treasury- oder Zahlungszwecke nutzen und nicht als VASPs tätig sind?
Die direkten AML-Pflichten sind für Nicht-VASP-Unternehmen geringer, aber Sanktionspflichten gelten für alle US-Personen und EU-Einrichtungen unabhängig von ihrem Geschäftsmodell. Eine Unternehmens-Treasury, die Krypto hält und on-chain transagiert, hat die Pflicht, nicht mit sanktionierten Gegenparteien zu handeln. Wenn das Unternehmen eine blockchain-verbundene Zahlungsschiene nutzt, sollte es bestätigen, dass sein Sanktionsscreening on-chain-Gegenparteien abdeckt und nicht nur traditionelle Bankkontodaten.
Quelle: Elliptic