Pig-Butchering-Betrug: Wie Blockchain-Verhaltenserkennung verdächtige Wallets kennzeichnet

Pig Butchering, auch als Romance-Baiting bekannt, hat sich in den vergangenen Jahren zu einer der finanziell schädlichsten Krypto-Betrugstypologien entwickelt und verursacht jährlich Schäden in Milliardenhöhe. Ein neuer Ansatz zur Verhaltenserkennung, entwickelt vom Blockchain-Analyseunternehmen Elliptic, automatisiert nun die Identifizierung verdächtiger Wallets on-chain und gibt Compliance-Teams und Strafverfolgungsbehörden eine schnellere, skalierbarere Reaktionsmöglichkeit. Für jedes Unternehmen, das Krypto-Buchhaltungssoftware einsetzt oder die Compliance für digitale Vermögenswerte verwaltet, wird das Verständnis dieser Betrugsmuster on-chain und der Erkennungssignale zu einer zentralen operativen Anforderung.

Was Pig Butchering ist und warum es weiter zunimmt

Der Betrug folgt einem gleichbleibenden Muster. Ein Betrüger baut über Wochen oder manchmal Monate eine romantische oder freundschaftliche Beziehung zu einem Ziel auf und lenkt das Opfer dann auf eine gefälschte Investitionsplattform, typischerweise mit Kryptowährungen. Die Opfer werden manipuliert, zunehmend größere Zahlungen zu autorisieren. Das Social Engineering ist so effektiv, dass die Opfer oft weiterhin Gelder senden, selbst nachdem Finanzinstitute die Transaktionen als verdächtig gemeldet haben.

Die menschlichen Kosten hinter dem Betrug

Die Menschen, die diese Operationen betreiben, sind häufig selbst Opfer. Organisierte Kriminalitätsgruppen, die aus speziellen Lagern in Myanmar, Laos und Kambodscha operieren, rekrutieren oder verschleppen Arbeitskräfte für die Betrugsoperationen. Das Büro der Vereinten Nationen für Drogen- und Verbrechensbekämpfung (UNODC) hat eine globale Ausbreitung dieser Lager über Südostasien hinaus dokumentiert. Ein Betrugslager in Sihanoukville, Kambodscha, wurde von den Behörden als Ort identifiziert, an dem Beweise für Menschenhandel, Entführung und Folter gefunden wurden.

Jüngste Durchsetzungsmaßnahmen

Die regulatorischen Reaktionen haben sich verschärft. Im Mai 2025 sanktionierte das US-Office of Foreign Assets Control (OFAC) die Karen National Army, ihren Anführer Saw Chit Thu und seine beiden Söhne wegen der Unterstützung von Cyber-Betrug und Menschenhandel an der myanmarisch-thailändischen Grenze. Die Grenzregion des Myawaddy-Townships beherbergt einige der berüchtigtsten Lager, darunter KK Park und die Shwe Kokko-Entwicklung.

Kurz vor der OFAC-Maßnahme erließ das US-Financial Crimes Enforcement Network (FinCEN) eine Mitteilung, um die Huione Group, eine Reihe kambodschanischer Dienstleistungen, die stark mit Betrugslagern verbunden sind, als Section 311 Primary Money Laundering Concern einzustufen. Diese Einstufung schneidet die Gruppe effektiv von den US-Finanzmärkten ab. Zusammengenommen signalisieren diese Durchsetzungsmaßnahmen eine deutliche Eskalation des regulatorischen Drucks auf industrialisierten Krypto-Betrug und die Erwartung, dass Anbieter virtueller Vermögenswerte über Erkennungsfähigkeiten verfügen.

Der charakteristische On-Chain-Fußabdruck eines Pig-Butchering-Betrugs

Ein Grund, warum Verhaltenserkennung heute machbar ist, liegt darin, dass Pig-Butchering-Betrügereien erkennbare Muster on-chain hinterlassen. Der Betrug ist nicht zufällig. Er folgt einer strukturierten Abfolge von Transaktionen, die bei der Analyse in großem Maßstab mithilfe von maschinellem Lernen mit aussagekräftiger Genauigkeit identifiziert werden können.

Wie die Transaktionssequenz abläuft

Elliptic veröffentlichte ein detailliertes Beispiel aus einem realen Fall. Ein Opfer verlor zwischen dem 30. August und dem 20. Oktober 2023 insgesamt 73.500 US-Dollar. Die Sequenz begann mit einer ersten Einzahlung von 4.908,34 US-Dollar auf eine Wallet des Betrügers. Fünf Tage später überwies der Betrüger 197,98 US-Dollar zurück, was einem scheinbaren Gewinn von etwa 4 % entspricht, als Ködertransaktion, um das Opfer zu weiteren Investitionen zu bewegen. Zwei deutlich größere Einzahlungen folgten: 27.005,54 US-Dollar und dann 41.597,68 US-Dollar. Auf jede folgte eine weitere kleine Köderzahlung, um den Anschein von Renditen aufrechtzuerhalten.

Dieses Muster, eine erste Einzahlung, eine kleine Gewinnrückzahlung und dann eskalierende Opferzahlungen, wiederholt sich in vielen Pig-Butchering-Fällen. Entscheidend ist, dass dieselbe Betrugs-Wallet-Adresse typischerweise gleichzeitig mit mehreren Opfern in ähnlicher Weise interagiert, was das statistische Signal für die automatisierte Erkennung verstärkt.

Maschinelles Lernen auf Wallet-Verhalten angewendet

Elliptic setzt Techniken des maschinellen Lernens ein, um Wallet-Adressen zu identifizieren, die On-Chain-Aktionen ausführen, die mit bösartigen oder betrügerischen Aktivitäten korrelieren. Wenn eine Screening- oder Untersuchungsabfrage eine verdächtige Adresse abfragt, kann das System ein verhaltensbasiertes Risikosignal zurückgeben, das auf eine mögliche Pig-Butchering-Zugehörigkeit hinweist, zusammen mit dem herkömmlichen exposure-basierten Risikowert, der aus bekannten illegalen Gegenparteien abgeleitet wird.

In einem von Elliptic veröffentlichten anschaulichen Diagramm wurde der Konfidenzwert einer gekennzeichneten Wallet durch ihre Verbindung zu einer Ethereum-Adresse gestärkt, die Tether Ende 2024 auf die schwarze Liste gesetzt hatte. Diese blockierte Adresse selbst hatte eingehende Exposure von bestätigten Pig-Butchering-Wallets, was eine Kette bestätigender Signale erzeugte. Dasselbe Diagramm zeigte eingehende Gelder von einer Börse, die die Ausgabe der Verhaltenserkennung nutzen könnte, um Nutzer fast in Echtzeit daran zu hindern, Gelder an die verdächtige Adresse zu senden.

Über Pig Butchering hinaus: Andere erkannte Betrugsverhaltensweisen

Das von Elliptic entwickelte Verhaltenserkennungsframework deckt zusätzlich zu Pig Butchering 15 weitere Betrugsarten ab. Dazu gehören:

• Approval-Phishing: Opfer werden durch gefälschte Giveaway- oder Airdrop-Kampagnen dazu verleitet, Wallets mit bösartigen Smart Contracts zu verbinden, die ihre Gelder abziehen.
• Token-Impersonation: Betrüger erstellen Token, die wie legitime Vermögenswerte wie USDT oder USDC aussehen, um versehentliche Käufe auszunutzen.
• Rug Pulls: Smart Contracts enthalten Hintertürcode, der es Entwicklern ermöglicht, Investorengelder nach dem Launch abzuziehen.
• Address Poisoning: Es werden Vanity-Adressen erstellt, die Gegenparteien ähneln, mit denen ein Opfer häufig transagiert, um es dazu zu verleiten, Gelder an eine betrügerische Adresse zu senden.

Die Breite der Erkennungssuite ist für Compliance-Teams wichtig. Pig Butchering ist das Hauptrisiko, aber die zugrunde liegenden On-Chain-Verhaltensweisen überschneiden sich mit einer Vielzahl von Betrugstypologien, und ein einziges Erkennungsframework, das alle abdeckt, reduziert den operativen Aufwand erheblich.

Was das für Compliance-Teams und Ermittler bedeutet

Die praktischen Auswirkungen teilen sich in zwei verschiedene Zielgruppen: Anbieter virtueller Vermögenswerte und Strafverfolgungsbehörden.

Für Anbieter virtueller Vermögenswerte

Betrugsteams bei Börsen, Verwahrern und Zahlungsabwicklern stehen vor einem echten Skalierbarkeitsproblem. Das industrielle Volumen der Pig-Butchering-Aktivitäten bedeutet, dass die manuelle Überprüfung jeder Auszahlungsadresse auf Betrugsmuster operativ nicht machbar ist. Die Verhaltenserkennung automatisiert diesen Triage-Schritt. Wenn ein Nutzer versucht, Gelder an eine Adresse zu senden, die Pig-Butchering-Muster aufweist, kennzeichnet das System dies, bevor die Transaktion autorisiert wird, und gibt dem Compliance-Team einen echten Interventionspunkt.

Für Unternehmen, die Krypto-Buchhaltungssoftware oder Buchhaltungssoftware für digitale Vermögenswerte zusammen mit Transaktionsüberwachungssystemen betreiben, bedeutet die Integration verhaltensbasierter Risikosignale in den Workflow, dass gekennzeichnete Transaktionen erfasst, dokumentiert und innerhalb desselben Audit-Trails eskaliert werden können, der für die Finanzberichterstattung verwendet wird. Diese Ausrichtung ist wichtig, wenn Regulierungsbehörden oder Wirtschaftsprüfer Nachweise für die AML-Kontrollen eines Unternehmens verlangen.

Die FinCEN Section 311-Einstufung der Huione Group ist ein konkretes Beispiel dafür, was passiert, wenn die Gegenparteien eines Unternehmens mit diesen Ökosystemen verbunden sind. Jeder Dienst für virtuelle Vermögenswerte, der Transaktionen mit Huione-verbundenen Wallets ohne angemessenes Screening abgewickelt hat, steht jetzt vor einer schwierigen Diskussion mit Compliance-Beauftragten und externen Prüfern. Verhaltenserkennung, wäre sie früher vorhanden gewesen, hätte diese Verbindungen proaktiv aufdecken können.

Für Strafverfolgungsermittler

Ermittler haben mit steigenden Fallzahlen bei begrenzten Ressourcen zu kämpfen. Die Verhaltenserkennung adressiert einen spezifischen Schmerzpunkt: zu wissen, wo zuerst gesucht werden muss. Wenn ein Opfer einen Pig-Butchering-Verlust meldet, kann ein Ermittler die gemeldete Wallet-Adresse abfragen und erhält sofort ein verhaltensbasiertes Risikosignal. Wenn dieses Signal mit der Schilderung des Opfers von wiederholten Einzahlungen und kleinen Gewinnrückzahlungen übereinstimmt, bestätigt es die Beschwerde und ermöglicht es dem Ermittler, den Fall angemessen zu priorisieren.

Elliptic weist darauf hin, dass sein Research and Investigations Team zahlreiche illegale Telegram-Marktplätze untersucht hat, die Waren und Dienstleistungen für Pig-Butchering-Operationen bereitstellten. Zwei solcher Plattformen wurden nach Maßnahmen im Mai 2025 geschlossen. Die hier diskutierten Verhaltenserkennungsfähigkeiten sind darauf ausgelegt, diese tiefergehenden Ermittlungs-Workflows zu ergänzen, nicht zu ersetzen.

AML- und Rechnungslegungsimplikationen für Unternehmen

Angemessenheit des AML-Programms

Die Verpflichtungen des US Bank Secrecy Act verlangen von Anbietern virtueller Vermögenswerte, AML-Programme zu unterhalten, die vernünftigerweise darauf ausgelegt sind, verdächtige Aktivitäten zu erkennen und zu melden. Die FinCEN-Leitlinien und OFAC-Durchsetzungsmaßnahmen von 2025 haben Pig Butchering zu einem explizit benannten Risiko gemacht. Unternehmen, die nicht nachweisen können, dass sie über Kontrollen zur Erkennung dieser Typologie verfügen, sind regulatorischer Kritik und möglichen Durchsetzungsmaßnahmen ausgesetzt. Verhaltenserkennungstools, die dokumentierte, prüfbare Risikosignale generieren, tragen direkt zur Erfüllung dieses Standards der "vernünftigen Ausgestaltung" bei.

Global verlangen sowohl die Travel Rule der Financial Action Task Force (FATF) als auch die Leitlinien zum risikobasierten Ansatz von Anbietern virtueller Vermögenswerte, die Art der Gegenparteien ihrer Kunden zu verstehen. Eine Wallet, die verhaltensbasierte Pig-Butchering-Signale aufweist, ist ein Gegenparteirisikoereignis, nicht nur ein Betrugsrisikoereignis, und sollte in der AML-Dokumentation des Unternehmens entsprechend behandelt werden.

Rechnungslegungs- und Berichterstattungserwägungen

Für CFOs und Finanzteams in krypto-nativen Unternehmen überschneidet sich Pig Butchering in spezifischer Weise mit der Finanzberichterstattung. Wenn Nutzer eines Unternehmens Gelder an Betrugs-Wallets senden und diese Transaktionen anschließend rückgängig gemacht, zurückgefordert oder mit Beschlagnahmungen durch Strafverfolgungsbehörden belegt werden, wird die bilanzielle Behandlung dieser Positionen komplex. Die Verwendung von Krypto-Buchhaltungssoftware, die mit On-Chain-Überwachung integriert ist, ermöglicht es, gekennzeichnete Transaktionen im Hauptbuch bis zur Klärung zu isolieren, anstatt sie als abgeschlossene Abflüsse anzuerkennen und später eine Neuberichtigung zu erfordern.

Für Unternehmen, die nach IFRS oder US GAAP bilanzieren, birgt die Klassifizierung von Vermögenswerten, die Beschlagnahmungen durch Strafverfolgungsbehörden oder OFAC-bedingten Beschränkungen unterliegen, spezifische Angabepflichten. Eine klare, dokumentierte Kette vom Verhaltenserkennungs-Flag zur bilanziellen Behandlung macht diese Angaben besser verteidigbar.

Wirtschaftsprüfungsgesellschaften, die Krypto-Mandanten beraten, sollten auch prüfen, ob ihre AML-Risikobewertungen für diese Mandanten die Pig-Butchering-Typologie angemessen adressieren. Angesichts der OFAC- und FinCEN-Maßnahmen von 2025 reicht es nicht mehr aus, Romance-Baiting als peripheres Betrugsrisiko zu behandeln. Es ist ein sanktionsnahes AML-Risiko mit direkten Auswirkungen auf die Sorgfaltspflicht gegenüber Kunden und das Mandatsrisiko.

Häufig gestellte Fragen

Was macht Pig Butchering on-chain erkennbar?

Der Betrug folgt einem wiederkehrenden Transaktionsmuster: einer ersten Einzahlung des Opfers, einer kleinen Gewinnrückzahlung durch den Betrüger und dann eskalierenden Zahlungen des Opfers. Da dieselbe Wallet diese Sequenz typischerweise gleichzeitig mit mehreren Opfern durchläuft, kann maschinelles Lernen Wallets, die dieses Verhalten zeigen, in großem Maßstab identifizieren, noch bevor die Wallet auf einer bestätigten Betrugsliste erscheint.

Wie wirkt sich die FinCEN Section 311-Einstufung der Huione Group auf US-Unternehmen aus?

Eine Einstufung als Section 311 Primary Money Laundering Concern verbietet US-Finanzinstituten effektiv, Korrespondenzkonten zu unterhalten oder Transaktionen mit der benannten Einheit abzuwickeln. Für Anbieter virtueller Vermögenswerte bedeutet dies, dass jede Transaktion, die Huione-verbundene Wallets oder Dienste berührt, das Unternehmen regulatorischen Sanktionen aussetzen könnte. Unternehmen sollten gegen die Einstufung screenen und ihr historisches Transaktionsengagement überprüfen.

Ist Pig Butchering sowohl ein OFAC-Sanktionsrisiko als auch ein Betrugsrisiko?

Ja. Die OFAC-Sanktionen vom Mai 2025 gegen die Karen National Army und ihre Führung bedeuten, dass Wallets und Einheiten, die mit diesen benannten Parteien verbunden sind, nun US-Sanktionen unterliegen. Der Transaktion mit sanktionierten Wallets, selbst unwissentlich, kann eine strikte Haftung begründen. Verhaltenserkennung, die Pig-Butchering-nahe Wallets kennzeichnet, bevor eine Transaktion autorisiert wird, reduziert dieses Risiko direkt.

Wie sollten Wirtschaftsprüfungsgesellschaften Pig Butchering in AML-Risikobewertungen für Mandanten behandeln?

Angesichts der OFAC- und FinCEN-Durchsetzungsmaßnahmen von 2025 sollte Pig Butchering als sanktionsnahes AML-Risiko und nicht als periphere Betrugstypologie behandelt werden. Die Sorgfaltspflicht gegenüber Kunden für Anbieter virtueller Vermögenswerte sollte diese Typologie explizit ansprechen, und Mandatsrisikobewertungen sollten berücksichtigen, ob der Mandant nachweislich angemessene Erkennungskontrollen implementiert hat.

Kann Krypto-Buchhaltungssoftware Verhaltenserkennungssignale in den Audit-Trail integrieren?

Im Prinzip ja. Krypto-Buchhaltungssoftware, die über API mit Transaktionsüberwachungssystemen verbunden ist, kann verhaltensbasierte Risikoflags auf Transaktionsebene erfassen. Das bedeutet, dass eine gekennzeichnete Transaktion im Hauptbuch isoliert, mit dem Risikosignal dokumentiert und innerhalb desselben Workflows eskaliert werden kann, der für die Finanzberichterstattung verwendet wird, wodurch ein belastbarer Audit-Trail sowohl für AML- als auch für Buchhaltungszwecke entsteht.

Quelle: Elliptic