Mercado Bitcoin Hack: Was die 10 Mio. USD Einfrierung für Finanzteams bedeutet

Fast 10 Millionen US-Dollar der rund 49 Millionen US-Dollar, die bei Mercado Bitcoin, Brasiliens größter Krypto-Börse, gestohlen wurden, wurden innerhalb von Stunden nach dem Sicherheitsvorfall eingefroren. Für Finanzteams besteht die praktische Lehre darin, dass ein einzelner Vorfall gleichzeitig einen Verlust, eine teilweise Einfrierung und eine mögliche Wiedererlangung erzeugen kann, und nur gut strukturierte Aufzeichnungen, idealerweise in einer speziellen Krypto-Buchhaltungssoftware, es ermöglichen, jeden dieser Zustände genau zu beschreiben.

Was bei Mercado Bitcoin geschah

Laut dem Blockchain-Intelligence-Unternehmen Chainalysis, das seinen Bericht über die Reaktion veröffentlichte, erlitt Mercado Bitcoin in den frühen Morgenstunden des 2. November einen Sicherheitsvorfall. Ein Angreifer begann, Vermögenswerte, die über 17 Blockchains gehalten wurden, in Wellen zu bewegen, um geschätzte 49 Millionen US-Dollar in verschiedenen Kryptowährungen abzuziehen. Die größten Tranchen stammten aus Bitcoin und Ethereum. Vermögenswerte auf kleineren Netzwerken, darunter Base, Tron und Polygon, wurden ebenfalls abgeräumt.

Mercado Bitcoin war ein Chainalysis-Kunde und alarmierte das Team des Unternehmens in den frühen Morgenstunden des Vorfalls. Nach eigener Darstellung des Unternehmens mobilisierte es Ermittler von drei Kontinenten in einem sogenannten digitalen Kriegsraum. Ein Direktor von Mercado Bitcoin rief den Solution-Experten des Unternehmens im Land um 2:30 Uhr Eastern Time mit der Nachricht an und teilte eine Liste der unbefugten Transaktionen. Der Ermittler begann sofort, diese Bewegungen nachzuvollziehen.

Wir stützen uns hier auf die Darstellung eines Anbieters, die aus dessen Perspektive verfasst ist. Die unten genannten Zahlen sind die der Darstellung und sollten als berichtet und nicht unabhängig überprüft behandelt werden.

Der Zeitablauf nach Bericht

Die Reihenfolge ist wichtig, weil sie zeigt, wie eng das Zeitfenster für Eingriffe ist. Innerhalb von 30 Minuten hatten die Ermittler Kontakt mit Strafverfolgungsbehörden aufgenommen, um Adressen zu übermitteln, die möglicherweise eingefroren werden könnten. Kurz darauf sprachen sie auch mit Stablecoin-Emittenten. Am Morgen waren etwa 4 Millionen US-Dollar gestohlener Stablecoins gesperrt, und im Laufe der folgenden Stunden erreichte die Summe etwa 9 Millionen US-Dollar, wobei die Schlagzeile von fast 10 Millionen US-Dollar spricht.

Wer die Einfrierungen veranlasste

Die Quelle besagt, dass die Ermittler direkt mit Paxos, Anchorage Digital, Ripple, Circle und Tether kommunizierten und mit Strafverfolgungsbehörden zusammenarbeiteten, um gestohlene Stablecoins, die diese Emittenten geschaffen hatten, zu sperren. In einem Beispiel wurden gestohlene USDT an Adressen zurückverfolgt, an denen sie möglicherweise eingefroren werden konnten. Die Adressen und unterstützende Erkenntnisse wurden über bestehende Beziehungen zu Tether und Strafverfolgungsbehörden eskaliert, und Tether fror über 4 Millionen US-Dollar ein.

Die Quelle besagt auch, dass die Arbeit weitergeht. Verbleibende Gelder werden weiterhin verfolgt und überwacht, und weitere Eingriffsmöglichkeiten werden identifiziert. Die Kennzeichnung von Adressen, die mit dem Diebstahl in Verbindung stehen, hält diese Aktivität sichtbar, während sich die Gelder weiter bewegen.

Warum die ersten Stunden entscheiden, was eingefroren werden kann

Die Quelle betont einen Punkt, der aus buchhalterischer Sicht beachtenswert ist: Die ersten Stunden eines Hacks sind für Ermittler am wichtigsten. In diesem Zeitfenster können zentral ausgegebene Stablecoins manchmal eingefroren werden, bevor der Angreifer sie in schwerer zu störende Vermögenswerte wie BTC und ETH umwandelt. Sobald der Wert umgewandelt und bewegt wurde, verengen sich die Optionen stark.

Einfrierbare und nicht einfrierbare Vermögenswerte sind unterschiedliche Risiken

Eine Einfrierung ist keine Wiedererlangung. Eingefrorene Stablecoins liegen an einer Adresse unter Beschränkung. Ob und wann sie an das Opfer zurückgehen, hängt von Prozessen ab, die die Quelle nicht beschreibt, sodass nichts hier als Rückgabegarantie gelesen werden sollte. Für ein Finanzteam, das Bestände bei dem betroffenen Handelsplatz hält, teilen sich die gestohlenen Vermögenswerte in mindestens zwei Kategorien mit sehr unterschiedlichen Aussichten: Vermögenswerte, bei denen Emittenten handeln konnten, und Vermögenswerte wie Bitcoin und Ethereum, die die Quelle als schwerer zu stören beschreibt.

Diese Aufteilung sollte sich in Ihren Aufzeichnungen widerspiegeln. Wenn Ihr Hauptbuch nur eine einzige Position für „Börsenguthaben“ zeigt, können Sie den Teil mit einem plausiblen Weg zur Wiedererlangung nicht von dem Teil trennen, der praktisch verloren ist.

Geschwindigkeit ist eine operative Kontrolle, nicht nur eine forensische

Die beschriebene Reaktion begann mit einem Anruf der Börse bei einem Anbieter innerhalb von Stunden. Für Unternehmen, die Kunden- oder Treasury-Vermögenswerte bei Drittanbietern halten, lautet die entsprechende Frage intern: Wer in Ihrer Organisation erfährt zuerst von einem Vorfall, und wie schnell kann diese Person eine Liste Ihrer Risiken nach Chain und Vermögenswert erstellen? Unser früherer Artikel zum Erkennen von Risiken durch einen Hack mit Krypto-Buchhaltungssoftware behandelt diesen Workflow ausführlicher.

Buchhalterische Implikationen für Unternehmen, Prüfer und CFOs

Dies ist ein Nachrichtenbericht über eine Untersuchung, kein Rechnungslegungsstandard, daher ist das Folgende eine Analyse und keine Aussage darüber, was eine Regel vorschreibt. Die tatsächliche Behandlung hängt von Ihrem Rechnungslegungsrahmen ab, davon, wie Sie Vermögenswerte halten, ob direkt oder über einen Verwahrer, und was Ihre Verträge sagen. Bestätigen Sie dies mit Ihrem Wirtschaftsprüfer und Rechtsberater.

Stellen Sie fest, was Sie bei dem Handelsplatz hielten, und wann

Die erste Aufgabe ist eine zeitpunktbezogene Position. Sie benötigen Ihre Bestände bei der betroffenen Börse zum Zeitpunkt des Vorfalls, nach Vermögenswert und Blockchain, abgestimmt mit Ihren eigenen Wallet- und Handelsplatzaufzeichnungen. Die Quelle besagt, dass Vermögenswerte über 17 Chains abgezogen wurden, sodass ein Unternehmen mit Multi-Chain-Beständen möglicherweise feststellt, dass sein Risiko über Netzwerke verteilt ist, die es selten überprüft. Gute Krypto-Compliance- und Reporting-Aufzeichnungen machen dies zu einer Abfrage statt zu einem Projekt.

Wenn Sie nur monatlich abstimmen, kann das Vorfallsdatum zwischen zwei Abstimmungen fallen. Erfassen Sie die letzte bekannte Position, die Abrechnungen des Handelsplatzes und jede Transaktionshistorie, die die Börse nach dem Ereignis zur Verfügung stellt.

Behandeln Sie eingefrorene, verlorene und wiedererlangte Beträge als separate Posten

Eine praktische Möglichkeit, Aufzeichnungen verteidigbar zu halten, besteht darin, nicht alles am ersten Tag in eine einzige Abschreibungsentscheidung zusammenzufassen. Erwägen Sie, mindestens Folgendes getrennt zu verfolgen:

• Bestände, von denen Sie glauben, dass sie nicht betroffen waren, mit den Belegen für diese Annahme.
• Bestände, die gestohlen und offenbar von einem Emittenten eingefroren wurden.
• Bestände, die gestohlen und weiterbewegt wurden, wie BTC oder ETH.
• Jede spätere Wiedererlangung, mit Datum, Betrag und der zurückgebenden Partei.

Ob ein Betrag als Wertminderung, Verlust, Forderung oder Eventualposten erfasst wird, ist eine Beurteilung für Ihren Rahmen und Ihren Prüfer. Der Punkt für Ihre Buchhaltung ist, dass sich die Fakten, die jeder Beurteilung zugrunde liegen, über Tage ändern, und Ihre Aufzeichnungen sollten diese Geschichte bewahren, anstatt sie zu überschreiben.

Erwartungen von Prüfern und Nachweise

Prüfer werden vernünftigerweise Nachweise für Bestand und Rechte an digitalen Vermögenswerten verlangen, die bei Dritten gehalten werden. Nach einem Vorfall können diese Nachweise schwerer zu beschaffen sein. Bewahren Sie Kopien der Kommunikation der Börse, etwaige Erklärungen zum Status der Kundenbestände und Ihre eigenen Transaktionsaufzeichnungen auf. Unser Hinweis zu buchhalterischen Schritten nach einem Auszahlungsstopp bei Mercado Bitcoin geht durch, was dokumentiert werden sollte, während der Zugang eingeschränkt ist.

Steuer- und AML-Überlegungen

Die Quelle diskutiert die steuerliche Behandlung nicht, und es wird keine Steuerbehördenrichtlinie zitiert, daher werden wir keine behaupten. Was wir sagen können, ist, wo die Fragen auftauchen werden.

Steuern: Fragen zu Zeitpunkt und Charakterisierung

Ob ein Diebstahlverlust bei einer Drittbörse abzugsfähig ist, wann er erfasst wird und wie eine spätere Wiedererlangung besteuert wird, variiert je nach Gerichtsbarkeit und Sachverhalt. Eine Einfrierung, die später zu einer Rückgabe führt, könnte das Bild ändern, nachdem Sie bereits einen Verlust erfasst haben. Unternehmen mit brasilianischen Aktivitäten oder Gegenparteien sollten lokalen Rat einholen, anstatt eine Behandlung aus einem anderen Land anzunehmen. Dokumentieren Sie das Vorfallsdatum, die Beträge nach Vermögenswert und die Bewertungsgrundlage, die Sie verwenden, damit die Position unterstützt oder überarbeitet werden kann.

Einzelne Steuerzahler, die Vermögenswerte bei der Börse hielten, stehen vor denselben offenen Fragen in kleinerem Maßstab. Sie sollten ihre Transaktionshistorie und etwaige Börsenmitteilungen aufbewahren und vor der Einreichung einer Verlustposition Rat einholen.

AML: Gestohlene Gelder bewegen sich weiter

Die Quelle betont, dass sich die Gelder weiter bewegen werden und dass die Kennzeichnung von Adressen, die mit dem Diebstahl in Verbindung stehen, die Aktivität sichtbar hält. Für regulierte Unternehmen ist das eine Screening-Frage. Wenn gestohlene Vermögenswerte Ihre Plattform oder die Wallets Ihrer Kunden erreichen, hängt die Frage, ob Sie sie identifizieren können, davon ab, wie aktuell Ihre Adressdaten sind. Unternehmen, die Einzahlungen annehmen oder verarbeiten, sollten prüfen, ob ihr Screening neu gekennzeichnete Adressen erfasst und ob Analysten wissen, wie ein mutmaßlicher Treffer eskaliert wird.

Es ist auch eine Erinnerung daran, dass Stablecoin-Emittenten auf Adressen reagieren können, wenn ihnen schnell umsetzbare Erkenntnisse vorliegen. Compliance-Teams, die mit Emittenten zu tun haben, sollten den Eskalationsweg kennen, bevor sie ihn benötigen. Für verwandten Kontext zur Verfolgung gestohlener Gelder im großen Maßstab lesen Sie unsere Berichterstattung zur Zuordnung eines großen Hacks durch Blockchain-Intelligence. Beachten Sie, dass nichts in der Mercado-Bitcoin-Quelle diesen Angriff einer bestimmten Gruppe zuordnet, und wir nehmen keine Zuordnung vor.

Was Finanzteams jetzt tun sollten

Die folgenden Schritte sind eine praktische Checkliste, keine regulatorische Anforderung. Sie ergeben sich aus den oben genannten Fakten: ein Multi-Chain-Diebstahl, eine schnelle, aber teilweise Einfrierung und eine laufende Verfolgung.

Für Buchhaltungsfirmen und CFOs

1. Erstellen Sie eine zeitpunktbezogene Position für alle Bestände, die bei der betroffenen Börse gehalten werden, nach Vermögenswert und Chain.
2. Trennen Sie Bestände in die Kategorien nicht betroffen, eingefroren und weiterbewegt und bewahren Sie die Belege für jede auf.
3. Erfassen Sie das Vorfallsdatum und den Zeitablauf aus der Kommunikation der Börse und aus zuverlässiger öffentlicher Berichterstattung und notieren Sie, welche Zahlen vom Anbieter berichtet sind.
4. Stimmen Sie die Erfassungsmethode frühzeitig mit Ihrem Prüfer ab und schreiben Sie die Annahmen auf.
5. Legen Sie einen Überprüfungsrhythmus fest, damit spätere Einfrierungen, Freigaben oder Wiedererlangungen die Aufzeichnungen mit einer datierten Spur aktualisieren.
6. Informieren Sie den Vorstand oder den Kunden darüber, was bekannt ist, was unbekannt ist und was Sie tun werden, wenn Gelder zurückgegeben werden.

Für Compliance- und Operationsteams

Bestätigen Sie, dass das Adress-Screening häufig aktualisiert wird, dass Sie historische Einzahlungen gegen neu gekennzeichnete Adressen durchsuchen können und dass Sie einen benannten Kontaktweg für Strafverfolgungsbehörden und Stablecoin-Emittenten haben. Prüfen Sie Ihre Konzentration bei Handelsplätzen: Wie viel Ihres Treasury-Bestands liegt bei einer einzelnen Börse und auf wie vielen Chains?

Wo Krypto-Buchhaltungssoftware passt

Spezielle Krypto-Buchhaltungssoftware rechtfertigt ihren Platz in einem Vorfall wie diesem, indem sie schnelle, sachliche Fragen beantwortet: Was hielten wir, auf welcher Chain, in welchem Vermögenswert, zu welchem Zeitstempel und wie wurde es abgestimmt. Krypto-Buchhaltungssoftware, die eine unveränderliche Transaktionshistorie führt und es ermöglicht, Positionen nach Status zu kennzeichnen, macht die Aufteilung in eingefroren, verloren und wiedererlangt unkompliziert. Digitale Vermögenswert-Buchhaltungssoftware, die Wallet- und Handelsplatzdaten mit dem Hauptbuch verknüpft, reduziert den manuellen Wiederaufbau, den ein Vorfall sonst erzwingen würde. Nichts davon verhindert einen Diebstahl, aber es verkürzt die Zeit zwischen einem Vorfall und einer verteidigbaren Zahlenbasis.

FAQ

Wie viel wurde bei Mercado Bitcoin gestohlen und wie viel wurde eingefroren?

Die Quelle berichtet von etwa 49 Millionen US-Dollar, die über 17 Blockchains gestohlen wurden. Etwa 9 Millionen US-Dollar wurden in den folgenden Stunden eingefroren, wobei die Schlagzeile von fast 10 Millionen US-Dollar spricht. Diese Zahlen stammen aus dem von Chainalysis veröffentlichten Bericht, daher sollten sie als berichtete Zahlen behandelt werden.

Bedeutet eine Einfrierung, dass die Gelder zurückgegeben werden?

Nein. Die Quelle beschreibt, dass Gelder eingefroren, nicht zurückgegeben werden. Wie und wann eingefrorene Vermögenswerte freigegeben werden, wird nicht behandelt, daher sollten Unternehmen keine Wiedererlangung buchen, bis sie tatsächlich eintritt und belegt ist.

Welche Vermögenswerte können nach einem Hack eingefroren werden?

Die Quelle besagt, dass zentral ausgegebene Stablecoins manchmal eingefroren werden können, bevor Angreifer sie in Vermögenswerte wie BTC und ETH umwandeln, die schwerer zu stören sind. Zu den genannten kontaktierten Emittenten gehören Paxos, Anchorage Digital, Ripple, Circle und Tether.

Wie sollten wir den Verlust erfassen, während sich die Fakten noch ändern?

Halten Sie die Kategorien getrennt: nicht betroffen, eingefroren, weiterbewegt und später wiedererlangt, jeweils mit datierten Belegen. Die Erfassungsmethode selbst hängt von Ihrem Rechnungslegungsrahmen und Ihrem Prüfer ab, daher sollten Sie sie mit ihm abstimmen, anstatt sie anzunehmen.

Was sollte ein börsenexponiertes Unternehmen zuerst prüfen?

Beginnen Sie mit einer zeitpunktbezogenen Bilanz nach Vermögenswert und Blockchain zum Zeitpunkt des Vorfalls, abgestimmt mit Ihren eigenen Aufzeichnungen. Sammeln Sie dann die Kommunikation der Börse und bestätigen Sie, dass Ihr Screening neu gekennzeichnete Adressen erfasst, die mit dem Diebstahl in Verbindung stehen.

Source: Chainalysis