Lazarus Group im 540-Millionen-Dollar-Ronin-Bridge-Diebstahl genannt: AML- und Sanktionsimplikationen

Das US-Finanzministerium, Office of Foreign Assets Control (OFAC), hat eine Ethereum-Adresse sanktioniert, die mit der Lazarus Group aus Nordkorea in Verbindung steht, und den staatlich geförderten Hacker-Angriff auf den Diebstahl von 173.600 ETH und 25,5 Millionen USDC von der Ronin-Network-Bridge formell verknüpft. Die Gesamtbeute betrug zum Zeitpunkt des Exploits etwa 540 Millionen Dollar, was es zum zweitgrößten Krypto-Diebstahl aller Zeiten macht. Für Wirtschaftsprüfungsgesellschaften, DeFi-Plattformen, Stablecoin-Emittenten und alle Unternehmen, die mit Ethereum-basierten Vermögenswerten zu tun haben, bringt diese Durchsetzungsmaßnahme unmittelbare Compliance-Pflichten mit sich.

Was auf der Ronin Bridge geschah

Der Exploit wurde am 23. März ausgeführt, aber Ronin Network entdeckte ihn erst sechs Tage später, am 29. März. Die Verzögerung selbst ist bedeutsam: Der Bruch kam erst ans Licht, nachdem ein Benutzer versuchte, 5.000 ETH abzuheben, und die Transaktion fehlschlug. Zu diesem Zeitpunkt war der Wert der gestohlenen Gelder bereits auf schätzungsweise 615 Millionen Dollar gestiegen.

Wie der Angreifer Zugang erhielt

Die Bridge von Ronin erfordert die Zustimmung von fünf der neun Validator-Knoten für jede ausgehende Transaktion. Der Angreifer erlangte die privaten kryptografischen Schlüssel von fünf Validatoren und erreichte damit genau die Schwelle, die erforderlich ist, um die Bridge unentdeckt zu leeren. Ronins Post-Mortem kam zu dem Schluss, dass alle Beweise auf Social Engineering hindeuten und nicht auf eine Software-Schwachstelle, was bedeutet, dass kein Codefehler den Verlust auslöste. Ein Mensch oder mehrere Menschen wurden getäuscht und gaben Zugangsdaten weiter.

Die OFAC-Designation

Am 14. April hat OFAC die Ethereum-Adresse des Angreifers in seine Specially Designated Nationals (SDN)-Liste aufgenommen und den wirtschaftlichen Eigentümer als Lazarus Group benannt. Die Designation verbietet US-Personen und -Unternehmen, Transaktionen mit dieser Adresse durchzuführen oder zu verarbeiten. Jede US-basierte Börse, Verwahrstelle oder Zahlungsdienstleister, die Gelder berührt, die auf diese Wallet zurückführbar sind, ist Sanktionsrisiken ausgesetzt, unabhängig davon, ob sie die Quelle kannten.

Das Wäscherei-Skript: Drei Phasen

Die Blockchain-Analyse der Wallets des Angreifers zeigt eine strukturierte Geldwäschesequenz, die es sich lohnt, im Detail zu verstehen, da dasselbe Muster bei anderen staatlich geförderten Exploits auftaucht und darüber informiert, welche Kontrollen es erkennen sollten.

Phase Eins: USDC-zu-ETH über dezentralisierte Börsen

Der erste Schritt des Angreifers bestand darin, alle gestohlenen USDC über dezentralisierte Börsen (DEXs) in ETH zu tauschen. Stablecoins wie USDC können von ihren Emittenten eingefroren werden, wenn Strafverfolgungsbehörden die betreffende Wallet kennzeichnen. Durch die Umwandlung in ETH bei DEXs, wo es keine KYC-Prüfungen oder vom Emittenten kontrollierte Einfrier-Mechanismen gibt, eliminierte der Angreifer dieses Risiko, bevor Circle oder ein anderer Emittent handeln konnte. Diese Taktik ist inzwischen ein gut dokumentiertes Merkmal von Exploits im DeFi-Bereich.

Phase Zwei: Layering über zentralisierte Börsen

Anschließend wurden etwa 16,7 Millionen Dollar in ETH über drei zentralisierte Börsen bewegt. Dies ist bei DeFi-Exploits ungewöhnlich, gerade weil zentralisierte Plattformen AML- und Sanktionsprüfungspflichten haben. Es wurde häufiger bei Operationen der Lazarus Group beobachtet. Als diese Börsen öffentlich erklärten, mit den Strafverfolgungsbehörden zusammenzuarbeiten, wechselte der Angreifer schnell.

Phase Drei: Tornado Cash Mischen

Der Großteil der Geldwäsche verlagerte sich auf Tornado Cash, einen Ethereum-basierten Smart-Contract-Mixer. Zum 14. April wurden etwa 80,3 Millionen Dollar in ETH durch den Mixer geleitet, weitere 9,7 Millionen Dollar befanden sich in Zwischen-Wallets und warteten vermutlich auf denselben Bestimmungsort. Das ließ etwa 433 Millionen Dollar in der ursprünglichen Wallet des Angreifers zurück, unausgegeben und von Blockchain-Analysten aktiv verfolgt. Insgesamt waren zum Zeitpunkt der OFAC-Maßnahme schätzungsweise 18% der gestohlenen Gelder gewaschen.

Lazarus Group: Kontext und Erkennung von Mustern

Die Lazarus Group zielt seit mindestens 2017 auf Krypto-Unternehmen ab. Ihre früheren Operationen konzentrierten sich auf zentralisierte Börsen in Südkorea und Asien. In den letzten zwei Jahren hat sich die Gruppe aggressiv DeFi-Protokollen und Cross-Chain-Bridges zugewandt. Der Ronin-Angriff folgt einer erkennbaren Vorlage: Ein Opfer in Südostasien (Ronins Entwickler Sky Mavis hat seinen Sitz in Vietnam), ein Social-Engineering-Einstiegsvektor und eine mehrschichtige Geldwäschesequenz, die mit DEX-Swaps beginnt und zu Mischdiensten übergeht.

Die US- und verbündete Regierungen haben öffentlich die Krypto-Diebstahlserlöse der Lazarus Group mit Nordkoreas Atom- und Raketenprogrammen in Verbindung gebracht. Die OFAC-Maßnahme gegen diese Adresse ist daher nicht rein eine Frage der Finanzkriminalität. Sie steht an der Schnittstelle von Sanktionsrecht, nationaler Sicherheit und Krypto-Asset-Compliance.

Compliance-Verpflichtungen für Unternehmen, die diese Vermögenswerte verwalten

Sanktionsprüfung für US-Personen und -Unternehmen

Die OFAC-Designation bedeutet, dass jede US-Person und jedes Nicht-US-Unternehmen mit US-Bezug eingehende und ausgehende Transaktionen gegen die SDN-Liste prüfen muss. Der Empfang von Geldern, die auf die sanktionierte Adresse zurückführbar sind, auch über mehrere Zwischenschritte hinweg, kann einen Sanktionsverstoß darstellen. Der rechtliche Standard im US-Sanktionsrecht ist bei einigen Verstößen die Gefährdungshaftung: Die Absicht ist nicht immer eine Verteidigung. Unternehmen, die auf Blockchain-Analysen zur Unterstützung von AML-Untersuchungen setzen, müssen sicherstellen, dass ihre Werkzeuge Adress-Cluster erfassen, nicht nur exakte Übereinstimmungen, da Gelder durch Zwischen-Wallets fließen, bevor sie einen Dienst erreichen.

Exposition von Stablecoin-Emittenten und Banken

Der USDC-Winkel verdient besondere Aufmerksamkeit. Circle fror Gelder in den sanktionierten Wallets ein, nachdem der Exploit identifiziert wurde, was zeigt, dass Stablecoin-Emittenten eine Echtzeit-Kontrolle über On-Chain-Salden behalten. Banken und Zahlungsunternehmen, die Dollar-Stablecoins halten oder verarbeiten, müssen verstehen, welche Stablecoins eine Einfrier-Fähigkeit des Emittenten besitzen, und Kontrollen aufbauen, die dieses Risiko widerspiegeln. Der aufkommende US-Bundesrahmen für Stablecoins legt lizenzierten Emittenten neue Pflichten in Bezug auf AML, Sanktionsprüfung und Risikomanagement auf. Jedes Unternehmen, das einen nicht konformen Stablecoin wie einen konformen behandelt, ist regulatorischen Risiken in diesem Rahmen ausgesetzt.

Tornado-Cash-Exposition

Tornado Cash wurde inzwischen separat von OFAC sanktioniert. Jedes Unternehmen, dessen Wallets im Zeitraum dieses Exploits ETH erhalten haben, die durch Tornado Cash geleitet wurden, sollte seine Exposition überprüfen. Selbst der passive Empfang kontaminierter Gelder kann eine Meldung an OFAC erfordern und, je nach den Umständen, eine freiwillige Selbstoffenlegung. Krypto-Buchhaltungssoftware, die von Compliance-Teams verwendet wird, muss Tornado-Cash-Interaktionen auf Wallet-Ebene kennzeichnen, nicht nur auf Transaktionsebene, da die Verschleierung darauf ausgelegt ist, die Rückverfolgung über Transaktionsgrenzen hinweg zu erschweren.

Angemessenheit des AML-Programms

Der Ronin-Vorfall zeigt eine Kontrolllücke, die im Bridge- und DeFi-Kontext häufig ist: Es gab keinen Echtzeit-Alarm, als ein ungewöhnlich großer Abfluss auftrat. Erst ein fehlgeschlagener Abhebungsversuch eines Benutzers sechs Tage später deckte den Diebstahl auf. Bei zentralisierten Börsen und Verwahrstellen wäre eine vergleichbare Verzögerung bei der Erkennung eines abnormalen Abflusses wahrscheinlich eine AML-Programmschwäche gemäß dem Bank Secrecy Act. Unternehmen sollten überprüfen, ob ihre Transaktionsüberwachungsregeln Bridge-bezogene Flüsse, Szenarien des Kompromittierens von Validator-Schlüsseln und plötzliche große Saldenänderungen in verwahrten Wallets abdecken.

Buchhalterische Auswirkungen: Wie man gestohlene und eingefrorene Vermögenswerte verbucht

Für Unternehmen, die betroffene Vermögenswerte hielten

Jedes Unternehmen, das zum Zeitpunkt des Exploits Vermögenswerte auf der Ronin Bridge hielt, muss prüfen, wie der Verlust zu verbuchen ist. Nach US-GAAP unterliegen gehaltene Krypto-Assets derzeit dem Fair-Value-Modell gemäß ASC 350-60. Ein Diebstahl oder Verlustereignis führt zur sofortigen Ausbuchung des Vermögenswerts und zur Erfassung eines Verlusts in der Gewinn- und Verlustrechnung. Wenn die Rückgewinnung unsicher ist, sollte keine Forderung erfasst werden, bis die Rückgewinnung wahrscheinlich und messbar ist. Dieselbe Logik gilt nach IFRS, wobei der relevante Standard davon abhängt, wie das Unternehmen den Krypto-Asset klassifiziert.

Für Unternehmen, die kontaminierte Gelder erhielten

Ein Unternehmen, das unwissentlich Gelder erhalten hat, die auf eine sanktionierte Adresse zurückführbar sind, steht vor einer anderen buchhalterischen Herausforderung. Wenn diese Gelder von einer Börse eingefroren oder unter einer Sanktionssperre blockiert sind, können sie nicht frei verwendet oder veräußert werden. Sie sollten nicht als vollständig liquider Vermögenswert verbucht werden. Eine Eventualverbindlichkeit kann auch entstehen, wenn das Unternehmen Gegenstand einer OFAC-Untersuchung oder eines Durchsetzungsverfahrens ist. Rechtsberater und Wirtschaftsprüfer sollten frühzeitig einbezogen werden, und eine angemessene Offenlegung im Jahresabschluss ist wahrscheinlich erforderlich. Gute Krypto-Buchhaltungssoftware, die die Wallet-Herkunft verfolgt, reduziert die Zeit, die benötigt wird, um die Exposition zu identifizieren und zu quantifizieren.

Für DeFi-Protokolle und Bridge-Betreiber speziell wirft das Szenario des Kompromittierens von Validator-Schlüsseln Fragen zur Verwahrung und Kontrolle von Vermögenswerten auf, die unter den aktuellen Rechnungslegungsstandards noch nicht vollständig gelöst sind. Wenn ein Unternehmen Validator-Schlüssel im Namen von Benutzern kontrolliert, hängt die Frage, ob die Vermögenswerte dieser Benutzer in der Bilanz des Unternehmens erscheinen sollten, davon ab, ob das Unternehmen das Verlustrisiko trägt, was in diesem Fall eindeutig der Fall war.

Was Unternehmen jetzt tun sollten

Der Ronin-Bruch und die anschließende OFAC-Designation ergeben eine kurze Checkliste für Compliance- und Finanzteams:

• Prüfen Sie alle eingehenden Krypto-Transaktionen gegen die OFAC-SDN-Liste, einschließlich der neu sanktionierten Ethereum-Adresse und aller zugehörigen Cluster-Adressen.
• Überprüfen Sie die Exposition gegenüber USDC und anderen Stablecoins auf Transaktionen, die um das Exploit-Datum herum stattgefunden haben und umgewandelte oder gemischte Gelder betreffen könnten.
• Bewerten Sie, ob Ihre Transaktionsüberwachungsregeln einen Bridge-Abfluss von mehreren hundert Millionen Dollar in Echtzeit erkannt hätten, und aktualisieren Sie die Schwellenwerte, falls nicht.
• Bestätigen Sie, dass Ihre Krypto-Buchhaltungsunterlagen die Herkunft von ETH-Beständen nachverfolgen können, insbesondere solcher, die über DEX-Swaps oder Mischdienste erhalten wurden, um einen sauberen Prüfpfad zu unterstützen.
• Wenn Ihr Unternehmen eine Exposition gegenüber Tornado-Cash-Transaktionen hat, holen Sie rechtlichen Rat ein, ob eine freiwillige Offenlegung gegenüber OFAC angemessen ist, bevor Regulierungsbehörden Kontakt aufnehmen.

Die breitere regulatorische Entwicklung ist ebenfalls klar. Wie die OFAC-Sanktionen gegen Irans Krypto-Sektor gezeigt haben, sind die US-Behörden bereit, Finanzdesignationen aggressiv einzusetzen, um staatliche Krypto-Aktivitäten abzuschneiden. Cross-Chain-Bridges und DeFi-Protokolle werden nicht mehr als außerhalb des regulatorischen Perimeters behandelt.

Häufig gestellte Fragen

Was bedeutet die OFAC-Designation der Lazarus-Group-Adresse für US-Börsen?

US-Börsen und jedes Unternehmen mit US-Bezug dürfen keine Transaktionen verarbeiten, die die sanktionierte Ethereum-Adresse betreffen. Dies umfasst nicht nur direkte Überweisungen, sondern auch Transaktionen, bei denen Gelder über zwischengeschaltete Adressen auf die sanktionierte Wallet zurückgeführt werden können. Verstöße können auch ohne Nachweis der Absicht zivilrechtliche Strafen nach sich ziehen.

Kann ein Unternehmen haftbar gemacht werden, wenn es kontaminierte Gelder ohne Kenntnis ihrer Herkunft erhalten hat?

Das US-Sanktionsrecht kann bei bestimmten Verstößen eine Gefährdungshaftung vorsehen, was bedeutet, dass mangelnde Kenntnis nicht immer eine vollständige Verteidigung darstellt. Die Stärke des AML- und Sanktionsprüfungsprogramms eines Unternehmens ist relevant dafür, wie OFAC sein Ermessen bei der Durchsetzung ausübt, beseitigt die Haftung jedoch nicht. Eine frühzeitige freiwillige Offenlegung und ein nachgewiesenes Compliance-Programm führen in der Regel zu günstigeren Ergebnissen.

Wie sollte der Diebstahlverlust im Jahresabschluss erfasst werden?

Nach ASC 350-60 sollten gestohlene Krypto-Assets zum Zeitpunkt der Identifizierung des Verlusts ausgebucht werden, mit einem entsprechenden Verlust in der Gewinn- und Verlustrechnung. Eine Rückgewinnungsforderung sollte erst dann gebucht werden, wenn die Rückgewinnung sowohl wahrscheinlich als auch verlässlich schätzbar ist. Nach IFRS hängt die Behandlung von der Klassifizierung des Vermögenswerts ab, aber das Ausbuchungsprinzip ist ähnlich.

Warum hat der Angreifer zuerst USDC in ETH umgewandelt?

Dollar-Stablecoins wie USDC werden von zentralisierten Unternehmen ausgegeben, die die Möglichkeit behalten, bestimmte Wallet-Salden on-chain einzufrieren. Durch den Tausch von USDC in ETH an dezentralisierten Börsen entzog der Angreifer dem Emittenten die Möglichkeit, die Gelder einzufrieren, und umging KYC-Prüfungen an zentralisierten Plattformen. Ether hat keinen vergleichbaren Einfrier-Mechanismus auf Protokollebene.

Wie ist die buchhalterische Behandlung von Krypto-Assets, die durch eine Sanktionssperre eingefroren wurden?

Vermögenswerte, die einer Sanktionssperre oder regulatorischen Einfrierung unterliegen, können nicht frei verwendet oder veräußert werden. Sie sollten nicht als uneingeschränkte Zahlungsmitteläquivalente oder liquide Mittel klassifiziert werden. Je nach den Umständen kann auch eine Eventualverbindlichkeit offengelegt werden müssen, wenn das Unternehmen einem potenziellen Durchsetzungsverfahren ausgesetzt ist. Wirtschaftsprüfer und Rechtsberater sollten zeitnah einbezogen werden, um die angemessene Darstellung und Offenlegung zu bestimmen.

Quelle: Elliptic