OFAC sanktioniert Sinbad: Handlungspflicht für Buchhaltungsfirmen und CFOs
Das Office of Foreign Assets Control des US-Finanzministeriums hat den Bitcoin-Mixer Sinbad auf seine Sanktionsliste gesetzt und ihn als primäres Geldwäschewerkzeug der nordkoreanischen Lazarus-Gruppe eingestuft. Für Buchhaltungsfirmen, Wirtschaftsprüfer und CFOs mit jeglicher Exposition gegenüber digitalen Vermögenswerten ist diese Einstufung keine entfernte geopolitische Schlagzeile. Sie ist ein Compliance-Auslöser, der eine sofortige Überprüfung der Kunden-Screening-Verfahren, der Transaktionsüberwachungs-Workflows und der Fähigkeiten aller in Ihrem Tech-Stack befindlichen Krypto-Buchhaltungssoftware erfordert.
Was Sinbad ist und warum OFAC handelte
Sinbad wurde im Oktober 2022 gestartet und fungiert als On-Chain-Bitcoin-Mischdienst. Wie andere Mixer akzeptiert er Kryptowährung von Nutzern, bündelt diese Coins mit Geldern anderer Nutzer und gibt einen gleichwertigen Betrag zurück, wodurch die Transaktionsspur, die Blockchain-Analysen andernfalls verfolgen würden, absichtlich unterbrochen wird. Die Einstufung des Finanzministeriums beschreibt Sinbad als Verarbeiter von Millionen Dollar an virtueller Währung, die mit Operationen der Lazarus-Gruppe in Verbindung stehen, und nennt ausdrücklich Erlöse aus den Hacks von Horizon Bridge und Axie Infinity.
Die Verbindung zur Lazarus-Gruppe
Die Maßnahme des OFAC steht im Einklang mit einem gut dokumentierten Muster. Nachdem Tornado Cash, ein auf Ethereum basierender Mixer, im August 2022 sanktioniert und ChipMixer Anfang 2023 von Strafverfolgungsbehörden abgeschaltet wurde, zeigten On-Chain-Analysen, dass nordkoreanische Akteure zu Sinbad migrierten. Gelder aus mehreren großen Hacks im Jahr 2023, einschließlich der Vorfälle bei Harmony Bridge, Atomic Wallet, Alphapo, Coinspaid, Stake und Ronin Bridge, wurden als Teil mehrstufiger Geldwäscheketten über Sinbad geleitet.
Eine dokumentierte Sequenz veranschaulicht die Komplexität der Schichtung. Gelder aus dem Harmony-Bridge-Hack blieben zunächst ruhend, nachdem sie Mitte 2022 durch Tornado Cash geleitet wurden. Später bewegten sie sich durch mehrere zwischengeschaltete Dienste, bevor sie an offensichtliche außerbörsliche Makler weitergegeben, über Sinbad gewaschen, über die Avalanche Bridge zum TRON-Netzwerk gebrückt und schließlich in USDT umgewandelt wurden. Diese Kette durchquert mindestens vier verschiedene Blockchain-Umgebungen und drei Konvertierungspunkte, von denen jeder eine unterschiedliche Herausforderung für Transaktionsüberwachungssysteme darstellt.
Umfang und Marktposition
Die On-Chain-Daten von TRM Labs, die der Maßnahme des Finanzministeriums zugrunde liegen, zeigen, dass Sinbad 2023 der zweitgrößte Mixer nach Volumen war und fast ein Fünftel aller Gelder erhielt, die in diesem Jahr an Mixer gesendet wurden. Die Volumenspitzen bei Sinbad korrelierten direkt mit Zeiträumen, in denen gestohlene Gelder aus großen Hacks durch das Ökosystem flossen. Diese Korrelation ist genau das Muster von Warnsignalen, das eine robuste Buchhaltungssoftware und Überwachungsarchitektur für digitale Vermögenswerte erkennen sollte.
Der vorgeschlagene FinCEN-Regel: Ein paralleler Regulierungsweg
Die OFAC-Einstufung erfolgte etwa einen Monat, nachdem das Financial Crimes Enforcement Network einen Regelungsvorschlag veröffentlicht hatte, der US-Finanzinstitute, einschließlich Kryptowährungsunternehmen, formell verpflichten würde, Transaktionen mit Mischdiensten zu überwachen und zu melden. In dem Vorschlag nennt FinCEN Sinbad ausdrücklich im Zusammenhang mit dem Atomic-Wallet-Hack vom Juni 2023 und beschreibt, wie Cyber-Bedrohungsakteure einen erheblichen Teil der illegalen Gelder ausmachen, die zu Mixern fließen.
Was der Vorschlag für Compliance-Teams bedeutet
Wenn der FinCEN-Vorschlag finalisiert wird, würde er eine spezifische, kodifizierte Meldepflicht für Mixer-bezogene Transaktionen schaffen, zusätzlich zu den bestehenden Anforderungen an Verdachtsmeldungen gemäß dem Bank Secrecy Act. Firmen, die bereits über angemessene Krypto-Buchhaltungssoftware und Blockchain-Analytik-Integration verfügen, sind besser positioniert, um diese Schwelle zu erfüllen. Diejenigen, die auf manuelle Prozesse oder generische AML-Workflows setzen, haben eine erhebliche Lücke.
Die praktische Konsequenz ist, dass die Einstufung des OFAC und die Regelung des FinCEN konvergierende Signale sind. Zu warten, bis die FinCEN-Regel finalisiert ist, bevor man handelt, ist keine vertretbare Haltung, wenn eine aktive OFAC-Einstufung bereits eine strikte Haftung für den Umgang mit Sinbad begründet.
Buchhaltungs- und AML-Auswirkungen für Firmen und CFOs
Sanktions-Screening und strikte Haftung des OFAC
OFAC-Sanktionen beinhalten eine strikte Haftung. Das bedeutet, dass eine US-Person oder ein Unternehmen, das der US-Gerichtsbarkeit unterliegt, zivilrechtliche Strafen für die Verarbeitung einer Transaktion riskiert, die eine sanktionierte Adresse berührt, selbst wenn der Kontakt versehentlich erfolgte. Für Buchhaltungsfirmen, die Krypto-Portfolios von Kunden verwalten, Gehälter in digitalen Vermögenswerten zahlen oder Börsenbelege abgleichen, bedeutet die Sinbad-Einstufung, dass jede Adresse, die mit der bekannten On-Chain-Fußabdruck von Sinbad interagiert hat, nun potenziell toxisch ist. Ihre Krypto-Buchhaltungssoftware muss in der Lage sein, diese Adressen zum Zeitpunkt des Abgleichs zu kennzeichnen, nicht erst im Nachhinein.
Transaktionsüberwachung und Prüfung der Besitzkette
Die im Sinbad-Fall dokumentierten mehrstufigen Geldwäschesequenzen über Bitcoin, Ethereum, Avalanche Bridge, TRON und USDT verdeutlichen eine strukturelle Herausforderung. Standard-Transaktionsüberwachung, die nur direkte Gegenparteien prüft, übersieht Expositionen zweiten und dritten Grades. Firmen sollten sicherstellen, dass ihre Blockchain-Analytik-Abdeckung auch indirekte Flüsse umfasst und dass Warnmeldungen auf Mixer-bezogene Heuristiken kalibriert sind. Dies ist keine theoretische Verbesserung; es ist jetzt eine Mindesterwartung, die sowohl vom OFAC als auch von FinCEN signalisiert wird.
Kunden-Due-Diligence und Onboarding-Überprüfungen
Buchhaltungsfirmen, die Krypto-native Kunden beraten oder neue Mandate für digitale Vermögenswerte übernehmen, sollten diese Einstufung als Anlass nehmen, die verstärkte Due Diligence für bestehende Kunden-Wallets erneut durchzuführen. Fordern Sie Kunden auf, historische Interaktionen mit Mischdiensten offenzulegen. Wenn ein Kunde keine saubere Transaktionsherkunft nachweisen kann, ist dies ein wesentliches Onboarding-Risiko, das sowohl Ihre eigene regulatorische Exposition als auch die Integrität aller Jahresabschlüsse betrifft, die Sie zertifizieren oder prüfen sollen.
Das Muster der nordkoreanischen staatlich geförderten Hacks und Geldwäsche ist gut etabliert und anhaltend. In den fünf Jahren vor dieser Einstufung stahlen nordkoreanische Hacker mehr als 2 Milliarden US-Dollar in Kryptowährungen bei über 30 Angriffen, so TRM Labs-Daten, die in der Maßnahme des Finanzministeriums zitiert werden. Die Lazarus-Gruppe ist kein Randakteur; sie ist ein anhaltender, ausgefeilter Gegner, dessen Erlöse regelmäßig in Börsen, OTC-Desks und DeFi-Protokolle gelangen, die von legitimen Marktteilnehmern genutzt werden.
Finanzberichterstattungs- und Buchhaltungsaspekte
Aus buchhalterischer Sicht können digitale Vermögenswerte, die von einem sanktionierten Unternehmen erhalten oder über es verarbeitet wurden, nicht rechtmäßig als Umsatz oder Bestand erfasst werden. Wenn solche Vermögenswerte in den Büchern eines Kunden auftauchen, müssen sie möglicherweise als Eventualverbindlichkeiten bis zur regulatorischen Lösung offengelegt werden, und alle aufgelaufenen Gewinne wären nach geltendem Sanktionsrecht nicht realisierbar. Prüfer, die Krypto-haltende Unternehmen prüfen, sollten jetzt eine spezifische Sinbad-bezogene Adressprüfung in ihre Going-Concern- und Risikobewertungsverfahren aufnehmen.
Für CFOs von Firmen, die Kryptowährungszahlungen akzeptieren oder digitale Vermögenswerte in der Bilanz halten, wirft die Einstufung auch Offenlegungsfragen auf. Wenn Ihr Unternehmen eine indirekte Exposition über Gegenparteien hat, die Sinbad genutzt haben, muss diese Exposition möglicherweise im Rahmen bestehender Finanzberichterstattungspflichten bewertet und offengelegt werden, selbst wenn die Wahrscheinlichkeit einer Durchsetzungsmaßnahme gering ist. Proaktive Offenlegung ist fast immer einer nachträglichen Korrektur vorzuziehen.
Praktische nächste Schritte für Compliance- und Finanzteams
Sofortmaßnahmen
Erstens: Ziehen Sie die von OFAC veröffentlichten Sinbad-Adressen und laden Sie sie noch heute in Ihre Sanktions-Screening-Listen. Zweitens: Führen Sie eine rückwirkende Überprüfung aller 2023 verarbeiteten Krypto-Transaktionen gegen diese Adressen durch. Drittens: Informieren Sie Ihren AML-Beauftragten und Ihre Rechtsabteilung über den FinCEN-Vorschlag, damit Ihr Unternehmen einen Kommentar einreichen oder zumindest den Finalisierungszeitplan verfolgen kann. Viertens: Überprüfen Sie Ihre Kunden-Onboarding-Fragebögen und fügen Sie explizite Fragen zur Nutzungshistorie von Mixern hinzu.
Workflow- und Technologieüberprüfung
Wenn Ihre aktuelle Krypto-Buchhaltungssoftware nicht mit einem Blockchain-Analytik-Anbieter integriert ist, der Mixer-Exposition erkennen kann, sollte diese Lücke jetzt zu einer Technologiebeschaffungsentscheidung hochgestuft werden, anstatt in den nächsten Budgetzyklus verschoben zu werden. Die Konvergenz einer OFAC-Einstufung und eines FinCEN-Vorschlags signalisiert, dass sich Mixer-bezogene Compliance-Pflichten von Best Practice zur gesetzlichen Anforderung entwickeln. Firmen, die bereits bei der Krypto-Compliance-Berichterstattung die Nase vorn haben, werden weit weniger Zeit und Geld für die Sanierung aufwenden als diejenigen, die erst handeln, wenn die Durchsetzung eintrifft.
Es lohnt sich auch zu überprüfen, wie Ihr Unternehmen mit der Komplexität von Gerichtsbarkeiten umgeht. Der Sinbad-Fall betrifft US-Sanktionsrecht, aber die zugrunde liegenden Hacks und Geldwäscheketten sind global. Firmen mit Kunden in mehreren Rechtsordnungen sollten prüfen, ob lokale AML-Vorschriften parallele Verpflichtungen zu den US-Einstufungen auferlegen. Der Ansatz der japanischen FSA zur Betrugsprävention spiegelt beispielsweise eine ähnliche Haltung gegenüber Mixer-Risiken wider, wie in unserer Analyse der Krypto-Betrugspräventionsmaßnahmen der FSA Japan behandelt. Ebenso signalisieren die breiteren Trends zur Wirtschaftskriminalität, die im BDO Worldwatch-Bericht identifiziert wurden und in unserem Beitrag darüber diskutiert werden, wie die BDO-Worldwatch-Erkenntnisse zu Wirtschaftskriminalität die Krypto-Compliance-Programme beeinflussen, dass Aufsichtsbehörden weltweit die Erwartungen an genau diese Art von Illicit-Finance-Exposition verschärfen.
Häufig gestellte Fragen
Gilt die OFAC-Einstufung von Sinbad für Nicht-US-Firmen?
OFAC-Sanktionen gelten für US-Personen und Unternehmen, die der US-Gerichtsbarkeit unterliegen. Nicht-US-Firmen, die US-Dollar-Abwicklungen verarbeiten, US-Korrespondenzbanken nutzen oder US-basierte Kunden haben, sind jedoch sekundären Expositionsrisiken ausgesetzt. Viele Nicht-US-Regulierungsbehörden reagieren auch auf OFAC-Einstufungen, indem sie ihre eigenen Watchlists aktualisieren, sodass die praktische Reichweite größer ist als der formelle rechtliche Umfang.
Was bedeutet strikte Haftung im OFAC-Kontext?
Strikte Haftung bedeutet, dass die Absicht für die zivilrechtliche Strafbarkeit irrelevant ist. Ein Unternehmen, das versehentlich eine Transaktion verarbeitet, die eine Sinbad-verknüpfte Adresse berührt, kann dennoch mit einer Zivilstrafe belegt werden, selbst wenn es keine Kenntnis von der Sanktionsverbindung hatte. Deshalb ist proaktives Adress-Screening unerlässlich, nicht optional.
Wie interagiert der vorgeschlagene FinCEN-Regel mit bestehenden SAR-Pflichten?
Bestehende Verpflichtungen des Bank Secrecy Act verlangen bereits Verdachtsmeldungen für Transaktionen, die auf Geldwäsche hindeuten. Der vorgeschlagene FinCEN-Regel würde eine spezifische, zusätzliche Meldekategorie für Mixer-bezogene Transaktionen schaffen, möglicherweise die Schwelle senken, was gemeldet werden muss, und klären, dass die Interaktion mit einem Mixer allein ein Auslöser sein kann.
Was sollte ein Prüfer tun, wenn das Wallet eines Kunden indirekte Exposition gegenüber Sinbad hat?
Der Prüfer sollte den Befund dokumentieren, die Wesentlichkeit der Exposition bewerten, Rechtsberatung einholen, ob eine SAR erforderlich ist, und prüfen, ob die Exposition die Going-Concern-Bewertung beeinflusst oder einen Hinweis im Jahresabschluss erfordert. Dem Kunden sollte auch geraten werden, eigene rechtliche Beratung zur Selbstoffenlegung gegenüber OFAC einzuholen.
Können digitale Vermögenswerte, die durch Sinbad geleitet wurden, rechtmäßig gehalten oder verkauft werden?
Vermögenswerte, die direkt auf eine sanktionierte Adresse zurückführbar sind, können ohne OFAC-Lizenz nicht verkauft oder übertragen werden. Vermögenswerte mit nur indirekter oder entfernter Nähe in der Besitzkette erfordern eine rechtliche Bewertung der spezifischen Fakten. Unternehmen sollten diese Entscheidung nicht ohne qualifizierten Sanktionsrechtsberater treffen.
Quelle: TRM Labs