Nordkorea bestreitet Binance-Hack: Was Finance-Teams jetzt tun

Das Dementi Nordkoreas ändert nichts an dem, was Finanzteams tun müssen. Kim Yo-jong, die Schwester des Machthabers Kim Jong-Un und hochrangige Funktionärin, hat die Feststellung des FBI zurückgewiesen, dass nordkoreanische Hacker hinter dem rekordverdächtigen Binance-Exploit von mehr als 6 Milliarden US-Dollar stecken, so die Nachrichtenagentur Yonhap. Doch das FBI und drei Onchain-Ermittler haben ihre Zuschreibungen bereits vorgenommen, und Ihre Sanktionsprüfung, Schadenaufzeichnungen und Prüfungsunterlagen müssen weiterhin auf dokumentierten Beweisen aufbauen. Gute Krypto-Buchhaltungssoftware ermöglicht es einem Unternehmen, dies zu tun, ohne auf eine politische Klärung zu warten.

Was passiert ist: Ein Dementi nach der FBI-Zuschreibung

Die Reihenfolge ist wichtig, denn Finanz- und Compliance-Teams werden erklären müssen, auf welche Fakten sie sich wann gestützt haben. Hier ist, was die Quelle berichtet, und nichts darüber hinaus.

Die Zuschreibung und die Reaktion

Drei Firmen, darunter TRM Labs, schrieben den Angriff nordkoreanischen Akteuren zu. Am Wochenende bestätigte das FBI dann, dass Nordkorea für den Hack verantwortlich war. In seiner Mitteilung bezeichnete das FBI diese spezifische nordkoreanische bösartige Cyberaktivität als "TraderTraitor". Am Montag berichtete Yonhap, dass Kim Yo-jong diese Einschätzung zurückwies.

Ihre Erklärung, wie von Yonhap zitiert, besagt, das FBI versuche, die DVRK als "Cyberkriminalitätsstaat" zu brandmarken, und behauptet, es habe Informationen erhalten, dass eine von der DVRK "unterstützte" Hackergruppe an dem Vorfall beteiligt war. Mit anderen Worten, das Dementi richtet sich gegen die Charakterisierung durch das FBI und gegen die Idee staatlicher Unterstützung, anstatt eine konkurrierende Erklärung zu bieten, wer den Exploit durchgeführt hat. Die Quelle liefert keine alternative Zuschreibung und keine Beweise von nordkoreanischer Seite.

Das bisher berichtete technische Bild

Laut der Quelle stationierte und testete ein Angreifer vor dem Angriff in der letzten Woche bösartigen Code auf drei Wallets und führte dann am Donnerstag den Angriff auf Binance aus. Der Angreifer nutzte EIP-7702, um eine Binance-Hot-Wallet in einen vom Angreifer kontrollierten Sweeper umzuwandeln, und bereitete 50 vorab signierte Autorisierungen vor, damit mindestens eine bei Ausführung gültig bleiben würde. Dieses Maß an Vorbereitung ist für Finanzteams aus einem einfachen Grund relevant: Es beschreibt eine geplante, inszenierte Operation, kein opportunistisches Leeren, was die Art und Weise beeinflusst, wie ein Vorfall in Schaden- und Kontrolldokumentationen charakterisiert wird.

Binances Wiederherstellungsschritte

Am frühen Montag veröffentlichte Binance seinen neuesten Proof of Reserves und erklärte, etwa 95 % der vom Hack betroffenen Vermögenswerte mit eigenen Mitteln wieder aufgefüllt zu haben. Die zugehörige Berichterstattung derselben Quelle merkt an, dass Binance an der Wiederherstellung von Vermögenswerten und Auszahlungen arbeitet und dass nordkoreanische Hacker 242 Millionen US-Dollar der Erlöse über Tron wuschen, während das FBI THORChain unter Druck setzte. Wir haben die früheren Phasen dieser Geschichte in unserem Artikel über das FBI, das Nordkorea für den Binance-Hack verantwortlich macht, und die bilanziellen Auswirkungen behandelt.

Warum ein Dementi Ihre Compliance-Position nicht ändert

Es ist verlockend, eine solche Schlagzeile als neue Unsicherheit zu lesen. Für regulierte Unternehmen ist sie das meist nicht. Die Zuschreibung für Sanktions- und AML-Zwecke hängt nicht davon ab, dass die beschuldigte Partei zustimmt.

Wessen Beweise zählen

Die Zuschreibung stammt von einer Strafverfolgungsbehörde und von kommerziellen Onchain-Ermittlern, die die Aktivität zurückverfolgt haben. Eine Erklärung eines hochrangigen Funktionärs des beschuldigten Staates ist eine politische Reaktion. Es lohnt sich, sie in einer Aktennotiz festzuhalten, da es sich um ein datiertes, öffentliches Ereignis handelt, aber sie ist keine Grundlage für eine Lockerung von Kontrollen. Ein Compliance-Beauftragter, der das Risiko aufgrund eines Dementis des Beschuldigten herabstufen würde, hätte Mühe, diese Entscheidung gegenüber einer Aufsichtsbehörde oder einem Prüfer zu rechtfertigen.

Was bei der Prüfung gleich bleibt

Wenn Gelder, die mit dem Exploit oder mit Wallets der TraderTraitor-Aktivität verbunden sind, Ihre Plattform, Ihre Kunden oder Ihre Treasury-Gegenparteien berühren, gelten die gleichen Fragen wie am Tag vor dem Dementi. Welche Adressen sind betroffen? Berührten eingehende oder ausgehende Überweisungen sie direkt oder über Zwischenstationen? Wurden diese Überweisungen zum damaligen Zeitpunkt geprüft, und gibt es eine Aufzeichnung des Ergebnisses? Unser früherer Beitrag darüber, wie Nordkorea den Binance-Diebstahl wäscht, erläutert, warum der Geldwäschepfad ebenso wichtig ist wie der ursprüngliche Diebstahl.

Das Berichtsrisiko, Partei zu ergreifen

Interne Memos, Vorstandsvorlagen und Kundenkommunikation sollten die Zuschreibung korrekt beschreiben: Das FBI und drei Onchain-Firmen schreiben den Angriff nordkoreanischen Akteuren zu, und ein nordkoreanischer Funktionär hat dies bestritten. "Nordkorea hat Binance gehackt" als feststehende Tatsache zu schreiben oder "die Zuschreibung ist umstritten", als ob die Beweise ausgewogen wären, ist beides unpräzise. Jede Behauptung ihrer Quelle zuzuordnen, schützt den Autor und das Unternehmen.

Was das für Buchhaltungsteams und Prüfer bedeutet

Die bilanziellen Fragen bei einem Hack dieses Ausmaßes sind weitgehend unabhängig davon, wer ihn verübt hat. Sie hängen davon ab, ob ein Unternehmen oder seine Kunden Vermögenswerte an dem betroffenen Handelsplatz hielten oder Gelder erhielten, die dorthin zurückverfolgt werden können. Ein Tool für die Buchhaltung digitaler Vermögenswerte macht den Unterschied zwischen der Beantwortung dieser Fragen an einem Nachmittag und der Beantwortung in Wochen.

Für Unternehmen, CFOs und Controller

Beginnen Sie mit dem Engagement. Welche Einheiten der Gruppe oder welche Kunden hielten zum Zeitpunkt des Vorfalls Guthaben bei Binance? Waren Guthaben eingeschränkt, verzögert oder von der Auszahlungssperre betroffen? Binances Erklärung, etwa 95 % der betroffenen Vermögenswerte mit eigenen Mitteln aufgefüllt zu haben, ist eine Unternehmenserklärung zu seiner eigenen Abhilfe, sodass jede Anerkennungsentscheidung auf Ihrer Seite auf Ihren eigenen Fakten beruhen sollte: was Sie hielten, was Sie abheben können und was Sie erwarten zurückzuerhalten. Die Quelle liefert keine Zahlen für einzelne Kunden, und nichts hier sollte so gelesen werden, dass ein bestimmter Kunde einen bestimmten Betrag verloren oder behalten hat.

Zweitens, denken Sie an die Offenlegung. Wenn ein Guthaben bei einer Börse betroffen war oder die Werthaltigkeit eines Vermögenswerts unsicher ist, werden Prüfer Beweise für die Position, das Datum, an dem sie unsicher wurde, und die Beurteilung des Managements anfordern. Eine datierte Aktennotiz, die den Hack, die FBI-Zuschreibung und das nordkoreanische Dementi abdeckt, hilft zu zeigen, dass das Management die zum damaligen Zeitpunkt verfügbaren Fakten berücksichtigt hat. Unser Leitfaden zum Erkennen von Engagements mit Krypto-Buchhaltungssoftware zeigt, wie Sie betroffene Guthaben in Ihrem Hauptbuch finden.

Für Prüfer und Reviewer

Prüfer sollten die Zuschreibung als Input für die Risikobewertung behandeln, nicht als Prüfungsschlussfolgerung. Bei Kunden mit Engagement gegenüber der Börse oder Strömen, die dorthin zurückverfolgt werden, umfassen relevante Verfahren die Bestätigung der am Handelsplatz gehaltenen Guthaben, die Prüfung des Cut-off um den Vorfall und die Überprüfung der Sanktions- und AML-Prüfungsunterlagen des Kunden für Überweisungen im relevanten Zeitfenster. Wenn der Kunde eine Blockliste oder einen Tracing-Bericht eines Drittanbieters verwendet hat, sollte die Prüfungsakte zeigen, welche, wann sie ausgeführt wurde und was sie ergab.

Steuerliche Auswirkungen für einzelne Steuerpflichtige und kleine Unternehmen

Obwohl sich dieser Artikel an Unternehmen richtet, treffen die nachgelagerten Steuerfragen auch Einzelpersonen und kleine Unternehmen. Ob ein Verlust im Zusammenhang mit einem Börsenvorfall geltend gemacht werden kann und wann, hängt von der Jurisdiktion und den Fakten des Steuerpflichtigen ab sowie davon, ob der Verlust realisiert oder noch potenziell wiedererlangbar ist. Da Binance angibt, etwa 95 % der betroffenen Vermögenswerte wieder aufgefüllt zu haben, könnten sich viele Halter in einer Situation befinden, in der es um eine Verzögerung des Zugangs und nicht um einen dauerhaften Verlust geht. Wir können nicht sagen, wie eine Steuerbehörde einen bestimmten Fall behandeln wird, und die Quelle geht nicht darauf ein. Was Steuerpflichtige jetzt tun können, ist, Guthaben, Daten und Transaktionshistorien zu erfassen, bevor sie schwer zu rekonstruieren sind, damit die Aufzeichnung bereitsteht, egal wie sich die Situation auflöst.

Praktische Schritte während des Zuschreibungsstreits

Die folgenden Schritte sind für sich genommen gültig, unabhängig davon, was eine Regierung als Nächstes sagt. Sie gelten, ob Sie die Finanzfunktion eines Unternehmens leiten oder Kunden beraten.

Erstellen Sie jetzt die Beweisakte

• Halten Sie die wichtigsten datierten Ereignisse fest: den Angriff am Donnerstag, die Zuschreibung durch drei Firmen, die FBI-Bestätigung mit der Nennung von TraderTraitor, Binances Proof of Reserves und Wiederauffüllungserklärung sowie das am Montag gemeldete nordkoreanische Dementi.
• Notieren Sie die Quelle jedes Elements, unter Verwendung der Aufsichtsbehörde, der Strafverfolgungsmitteilung oder eines neutralen Nachrichtenberichts, und vermeiden Sie es, sich auf Kommentare zu verlassen.
• Speichern Sie die Prüfungsergebnisse und die Version jeder Blockliste oder Tracing-Daten, die Sie an jedem Datum verwendet haben.

Führen Sie Engagement- und Prüfungschecks erneut durch

• Prüfen Sie Kunden- und Treasury-Überweisungen mit Bezug zu Binance und alle Wallets, die mit dem Exploit oder der gemeldeten Tron-Geldwäscheroute verbunden sind, über die relevanten Daten.
• Bestätigen Sie, dass Ihre Sanktions- und AML-Tools aktualisierte Indikatoren haben und dass Warnungen von einer namentlich genannten Person überprüft wurden.
• Eskalieren Sie jeden Treffer über Ihren üblichen Prozess für verdächtige Aktivitäten und warten Sie nicht auf weitere Klärung zur Zuschreibung.

Bringen Sie Ihre Aufzeichnungen und Ihre Berichterstattung in Einklang

• Stellen Sie sicher, dass Ihr Hauptbuch Guthaben auf Wallet- und Börsenebene zu jedem Datum anzeigen kann, damit Anerkennungs- und Offenlegungsentscheidungen unterstützt werden können.
• Halten Sie Bewertungs- und Zeitstempelkonventionen konsistent, damit Periodenendpositionen zwischen Einheiten vergleichbar sind.
• Legen Sie eine interne Formulierung fest, wie Sie die Zuschreibung in Vorstandsvorlagen und Kundenbriefen beschreiben, und lassen Sie sie vom Reviewer genehmigen.

Wo Krypto-Buchhaltungssoftware ins Spiel kommt

Ereignisse wie dieses sind ein Stresstest dafür, ob die Bücher eines Unternehmens einer Aufsichtsbehörde, einem Prüfer oder einem Kunden schnell Antwort geben können. Der Punkt ist nicht, dass Software Urteilsvermögen ersetzt. Der Punkt ist, dass Urteilsvermögen eine saubere, nachvollziehbare Grundlage braucht.

Was gute Tools ermöglichen sollten

Krypto-Buchhaltungssoftware und Software für die Buchhaltung digitaler Vermögenswerte sollten es einem Team ermöglichen, ein datiertes Guthaben nach Handelsplatz und Wallet abzurufen, jede Überweisung einer Gegenpartei und einem Prüfungsdatensatz zuzuordnen und den Pfad für einen Prüfer zu exportieren. Wenn ein Vorfall ausbricht, sollte das Team nach dem betroffenen Handelsplatz und Zeitfenster filtern können, anstatt die Position aus CSV-Exporten neu aufzubauen. Wenn eine Plattform die Herkunft einer Transaktion nicht anzeigen kann, ist es schwer, die Folgefrage zu beantworten, die Aufsichtsbehörden tendenziell stellen: Was wussten Sie, und wann?

Verbindungen zum weiteren Durchsetzungsbild

Diese Geschichte steht im Zusammenhang mit mehreren Strängen, die wir bereits behandelt haben: der Geldwäsche eines Teils der Erlöse über Tron, dem Druck der Strafverfolgungsbehörden auf THORChain und der Arbeit, die Unternehmen an Engagement und Reserven leisten müssen. Zusammen gelesen zeigen sie ein Muster, in dem sich Zuschreibung, Tracing und Wiederherstellung alle öffentlich und in Echtzeit entfalten. Ein Unternehmen, dessen Aufzeichnungen nach Datum, Wallet und Gegenpartei abgefragt werden können, ist besser in der Lage, auf jede neue Entwicklung zu reagieren, sobald sie eintritt. Für den breiteren Rahmen siehe unseren Hub für Krypto-Compliance-Berichterstattung.

Was wir noch nicht wissen

Es ist ebenso wichtig, die Grenzen aufzuzeigen. Die Quelle berichtet weder über Beweise, die Nordkorea vorgelegt hat, noch über eine Änderung der Position des FBI nach dem Dementi oder über neue regulatorische Maßnahmen, die dadurch ausgelöst wurden. Sie gibt auch keine Auswirkungen pro Kunde an oder Details dazu, wie Binances Wiederauffüllung in seinen eigenen Büchern bilanziert wird. Behandeln Sie jede Behauptung über diese Fakten hinaus als unbestätigt, bis eine Primärquelle sie bestätigt.

FAQ

Ändert Nordkoreas Dementi die Zuschreibung des FBI?

Basierend auf der Quelle: Nein. Das FBI bestätigte am Wochenende, dass Nordkorea verantwortlich war, und nannte die Aktivität "TraderTraitor". Das von Yonhap gemeldete Dementi weist diese Einschätzung zurück, bietet aber in der verfügbaren Berichterstattung keine alternative Erklärung.

Sollte mein Unternehmen seine Sanktionsprüfung wegen des Dementis ändern?

Nein. Ein Dementi des Beschuldigten ist kein Grund, Kontrollen zu lockern. Halten Sie Ihre Prüfung für Adressen und Ströme im Zusammenhang mit dem Exploit aktuell, dokumentieren Sie Ihre Ergebnisse und eskalieren Sie Treffer über Ihren üblichen Prozess.

Wie sollten wir die Zuschreibung in internen Dokumenten beschreiben?

Seien Sie präzise und ordnen Sie jede Behauptung ihrer Quelle zu. Zum Beispiel: Das FBI und drei Onchain-Ermittler, darunter TRM Labs, schreiben den Angriff nordkoreanischen Akteuren zu, und ein nordkoreanischer Funktionär hat dies bestritten. Vermeiden Sie es, eine der beiden Seiten als feststehende Tatsache darzustellen.

Was sollten Prüfer Kunden mit Binance-Engagement fragen?

Fragen Sie nach Guthaben, die um das Vorfallsdatum am Handelsplatz gehalten wurden, nach Beweisen für Auszahlungen oder Einschränkungen, nach den Prüfungsunterlagen des Kunden für relevante Überweisungen und nach der Beurteilung des Managements zur Werthaltigkeit und Offenlegung, gestützt auf datierte Dokumente.

Welche Rolle spielt Krypto-Buchhaltungssoftware hier?

Sie gibt Teams eine nachvollziehbare Aufzeichnung von Guthaben, Wallets und Gegenparteien nach Datum, sodass Fragen zu Engagement, Prüfung und Offenlegung aus dem Hauptbuch beantwortet werden können, anstatt aus verstreuten Exporten rekonstruiert zu werden.

Source: The Block