REvil Ransomware: Krypto-Zahlungen und Geldwäsche nachverfolgt
Eine detaillierte Fallstudie des Blockchain-Analyseunternehmens Elliptic verfolgt einen echten REvil-Ransomware-Angriff vom Moment der Infektion über die Lösegeldverhandlung und Bitcoin-Zahlung bis hin zur anschließenden Geldwäsche. Für Wirtschaftsprüfungsgesellschaften, Auditoren und CFOs, die digitale Vermögenswerte verwalten oder dazu beraten, haben die Ergebnisse direkte AML-, Sanktions- und Rechnungslegungsimplikationen, die nicht ignoriert werden können.
Was REvil ist und warum es für Nutzer von Krypto-Buchhaltungssoftware wichtig ist
REvil, auch bekannt als Sodinokibi, ist eine mit Russland verbundene Ransomware-Gruppe, die für Angriffe auf Unternehmen verschiedener Branchen verantwortlich ist. Bei einem viel beachteten Vorfall wurden Hunderte Unternehmen durch einen Supply-Chain-Angriff auf Kaseya, einen Anbieter von IT-Management-Software, kompromittiert. Die Gruppe agiert in großem Umfang und betreibt faktisch ein professionelles kriminelles Unternehmen mit eigenem Opferportal, Verhandlungsschnittstelle und technischer Support-Infrastruktur.
Zu verstehen, wie REvil Kryptowährungen einnimmt und bewegt, ist keine akademische Übung. Unternehmen, die Krypto-Buchhaltungssoftware zur Erfassung von Transaktionen mit digitalen Vermögenswerten nutzen, müssen wissen, dass Gelder, die über Börsen laufen, Ransomware-Kontamination tragen können und dass diese Kontamination bei Due Diligence, Audit oder regulatorischer Prüfung auftauchen kann. Der von Elliptic dokumentierte Lebenszyklus macht dieses Risiko konkret.
Einblick in die Verhandlung: Von der Monero-Forderung zur Bitcoin-Zahlung
Der von Elliptic verfolgte Fall begann mit einer Standard-REvil-Infektion. Nachdem die Malware auf dem System des Opfers ausgeführt wurde, verschlüsselte sie Dateien und hinterließ eine Lösegeldforderung, die das Opfer zu einem Tor-gehosteten Portal führte. Dieses Portal zeigte die ursprüngliche Forderung: 50.000 US-Dollar, zahlbar in Monero (XMR), einer auf Privatsphäre ausgerichteten Kryptowährung, die dafür entwickelt wurde, auf der Blockchain extrem schwer nachverfolgbar zu sein.
Der Wechsel von Monero zu Bitcoin
Monero ist die bevorzugte Währung vieler Ransomware-Gruppen, gerade weil sein Transaktionsgraph konstruktionsbedingt undurchsichtig ist. Für die meisten Opfer ist es auch schwieriger, XMR zu beschaffen, insbesondere in den Vereinigten Staaten, wo weniger Börsen sie listen. Ransomware-Response-Firmen, die im Namen von Opfern verhandeln und zahlen, lehnen Monero-Zahlungen häufig ganz ab, teilweise aus Sorge um die Einhaltung von Sanktionen.
In diesem Fall bat das Opfer darum, stattdessen in Bitcoin zu zahlen. REvil stimmte zu, erhob jedoch einen Aufschlag von 10 % auf den ausgehandelten Betrag. Dieser Aufpreis ist bezeichnend: Die Gruppe hat das zusätzliche Risiko, das sie durch die Annahme eines nachverfolgbaren Vermögenswerts eingeht, ausdrücklich eingepreist. Bitcoins öffentliches Ledger bedeutet, dass Blockchain-Analyseunternehmen dem Geld folgen können, und die REvil-Betreiber wissen das.
Die Verhandlung in der Praxis
Das Opferportal funktioniert ähnlich wie eine kommerzielle Kundenservice-Oberfläche, inklusive eines Chat-Tabs, in dem das Opfer direkt mit REvil-Betreibern kommunizieren kann. Der dokumentierte Austausch zeigt, wie das Opfer die Verhandlung eröffnet, einen Nachweis der Entschlüsselungsfähigkeit anfordert (REvil lieferte entschlüsselte Beispieldateien als Beweis) und dann den Preis aggressiv drückt. Ein Eröffnungsgegenangebot von 10.000 US-Dollar wurde abgelehnt. Nach weiterem Hin und Her einigten sich beide Seiten auf 25.000 US-Dollar in Bitcoin, etwa die Hälfte der ursprünglichen Forderung, nachdem ein früherer Rabatt von 20 %, den REvil noch vor Beginn der Verhandlungen gewährt hatte, berücksichtigt wurde.
Vor dem Senden der Gelder bat das Opfer REvil, die Ziel-Bitcoin-Adresse zu bestätigen. Diese Vorsicht ist operativ wichtig: Kryptowährungszahlungen sind irreversibel. Sobald eine Transaktion an das Netzwerk gesendet wurde, kann sie nicht zurückgerufen werden. Die Adresse vor der Übermittlung zu verifizieren, ist elementare Hygiene, aber ein Schritt, den Opfer unter Druck häufig übersehen.
Zahlung bestätigt: Was auf der Blockchain passiert
Nachdem das Opfer 25.000 US-Dollar in Bitcoin überwiesen hatte, aktualisierte sich das REvil-Portal, bestätigte den Eingang und gewährte Zugang zum Entschlüsselungstool. Für das Opfer war der Vorfall damit praktisch beendet. Für Compliance- und Forensikzwecke begann er gerade erst.
Layering und Wallet-Aufteilung
Elliptics Blockchain-Nachverfolgung zeigte, dass REvil sofort begann, die erhaltenen Gelder zu waschen. Die verwendete Geldwäschetechnik ist als Layering bekannt: Die Bitcoin werden auf mehrere Wallets aufgeteilt, mit Geldern aus anderen Lösegeldzahlungen kombiniert und über zwischengeschaltete Adressen geleitet, um die ursprüngliche Quelle zu verschleiern. Zum Zeitpunkt der Veröffentlichung wurde der Geldwäscheprozess als noch andauernd beschrieben, doch die Blockchain-Analyse hatte bereits Teile der Gelder bis zu Börsen zurückverfolgt.
Diese Börsen führen Know-your-Customer-(KYC)-Aufzeichnungen für die Konten, die die kontaminierten Bitcoin erhalten haben. Diese Daten stellen verwertbare Erkenntnisse für Strafverfolgungsbehörden dar, selbst wenn die endgültige Auszahlung noch nicht erfolgt ist. Die praktische Implikation für Börsen und Finanzinstitute ist, dass die Prüfung eingehender Einzahlungen gegen bekannte Ransomware-Wallets nicht optional ist; sie ist eine AML-Kontrolle an vorderster Front.
Warum Börsen der Engpass sind
Die meisten Börsen, die Bitcoin in Fiat-Währung umtauschen, nutzen Blockchain-Analysetools, um Kundeneinzahlungen zu prüfen. Kontaminierte Gelder, die in dieser Phase identifiziert werden, können bis zur Überprüfung durch Strafverfolgungsbehörden eingefroren werden. REvils Layering-Versuche sind teilweise darauf ausgelegt, diese Prüfung zu umgehen, indem sie die direkte Verbindung zwischen der Lösegeld-Wallet und dem Auszahlungskonto unterbrechen. Je länger und komplexer die Layering-Kette, desto schwieriger die Zuordnung, obwohl Elliptics Fallstudie zeigt, dass sophisticated Analytik den Faden dennoch verfolgen kann.
Für einen tieferen Einblick, wie künstliche Intelligenz heute eingesetzt wird, um diese Art von Geldwäscheverhalten in großem Maßstab zu erkennen, lesen Sie unsere Berichterstattung darüber, wie KI zur Erkennung von Bitcoin-Geldwäsche in großem Maßstab eingesetzt wird.
AML-Implikationen für Wirtschaftsprüfungsgesellschaften und CFOs
Die REvil-Fallstudie ist eine praktische Illustration, wie Krypto-bezogene Finanzkriminalität in die Bilanzen ansonsten legitimer Unternehmen hineinreicht. Für professionelle Dienstleistungsunternehmen und Corporate-Finance-Teams gibt es mehrere unterschiedliche Compliance-Druckpunkte.
Ransomware-Zahlungen und Sanktionsrisiko
Die Zahlung eines Lösegelds an eine sanktionierte Einheit oder an eine Gruppe, deren Mitglieder Sanktionen unterliegen, kann selbst einen Sanktionsverstoß darstellen, unabhängig davon, ob die Zahlung unter Zwang erfolgte. Das US-amerikanische Office of Foreign Assets Control (OFAC) hat bereits Leitlinien veröffentlicht, die klarstellen, dass Lösegeldzahlungen an sanktionierte Akteure regulatorische Risiken für das Opfer und jeden Vermittler, einschließlich Berater und Incident-Response-Firmen, die an der Erleichterung der Zahlung beteiligt sind, mit sich bringen. Bei jedem Kunden, der einen Ransomware-Angriff erlitten und in Kryptowährung gezahlt hat, muss diese Zahlung auf Sanktionsrisiken geprüft werden, bevor sie in einem Jahresabschluss erscheint.
Bilanzielle Behandlung einer Lösegeldzahlung
Aus rein buchhalterischer Sicht umfasst eine in Kryptowährung gezahlte Lösegeldzahlung mindestens zwei unterschiedliche Buchungsvorgänge: die Veräußerung der Kryptowährung (die je nach Anschaffungskosten der verwendeten Bitcoin einen steuerpflichtigen Kapitalgewinn oder -verlust auslösen kann) und die Erfassung des Lösegelds als Betriebsausgabe oder Verlust. Wenn die zur Zahlung verwendeten Bitcoin in der Unternehmensbilanz gehalten wurden, muss die Veräußerung zum fairen Marktwert zum Zeitpunkt der Transaktion erfasst werden. Unternehmen, die auf Buchhaltungssoftware für digitale Vermögenswerte setzen, sollten überprüfen, ob ihre Systeme die Anschaffungskosten der veräußerten Coins erfassen und die entsprechende Gewinn-/Verlustberechnung automatisch generieren.
Kontaminierte Zuflüsse: Die Empfängerseite
Wirtschaftsprüfungsgesellschaften, die ausgelagerte Buchhaltungs- oder CFO-Dienstleistungen für Kryptounternehmen erbringen, sehen sich einem anderen Risiko gegenüber: Ein Kunde kann unwissentlich Gelder erhalten, die während der Geldwäschekette durch Ransomware-Wallets gelaufen sind. Wenn das Börsenkonto eines Kunden Bitcoin erhält, die Elliptic oder ein vergleichbares Analysetool mit einer REvil-Wallet verknüpfen kann, kann die Börse die Gelder einfrieren, einen Verdachtsbericht (SAR) einreichen oder beides. Unternehmen, die Krypto-Buchhaltungssoftware nutzen, sollten sicherstellen, dass ihr Abstimmungsprozess alle Gelder kennzeichnet, die anschließend von einer Börse eingefroren oder unter Quarantäne gestellt werden, und dass die relevanten Offenlegungspflichten verstanden werden.
Dieses Risiko ist nicht hypothetisch. Wie wir bereits berichtet haben, gehören zu den AML-Warnsignalen, die Compliance-Teams nach Crypto-Bridge-Hacks kennen müssen, genau diese Art von nachgelagerter Kontaminationsverschleppung, bei der Gelder aus kriminellen Aktivitäten mehrere Stationen durchlaufen, bevor sie auf einem scheinbar sauberen Konto landen.
Praktische Schritte für Unternehmen, die Krypto-aktive Kunden beraten
Die Elliptic-Fallstudie ist detailliert genug, um eine Reihe konkreter operativer Maßnahmen für professionelle Dienstleistungsunternehmen zu unterstützen.
Vorbereitung vor dem Vorfall
Unternehmen sollten prüfen, ob ihre Kunden über ein Ransomware-Response-Protokoll verfügen, das eine Sanktionsprüfung vor jeder Zahlung vorsieht. Wenn ein Kunde in den USA tätig ist, birgt jede Zahlung, die eine sanktionierte Person oder Einheit berührt, OFAC-Risiken. Der Incident-Response-Plan sollte einen Schritt enthalten, bei dem rechtliche Berater mit Sanktionsexpertise eingebunden werden, bevor Gelder bewegt werden, nicht danach.
Buchhalterische Überprüfung nach der Zahlung
Wenn eine Zahlung bereits geleistet wurde, muss das Buchhaltungsteam die Transaktion präzise rekonstruieren: das Datum, den Bitcoin-Betrag, das Fiat-Äquivalent zum Zeitpunkt der Überweisung, die Anschaffungskosten der verwendeten Coins und die beteiligten Wallet-Adressen. Diese Details werden sowohl für die Jahresabschlüsse als auch für jede spätere Zusammenarbeit mit Strafverfolgungsbehörden benötigt. Robuste Buchhaltungssoftware für digitale Vermögenswerte, die einen vollständigen, zeitgestempelten Audit-Trail bewahrt, ist in diesem Szenario kein Luxus; sie ist eine Voraussetzung für verteidigungsfähige Berichterstattung.
Laufende Wallet-Prüfung
Für Unternehmen, die Krypto-Treasuries verwalten oder Krypto-Eingänge im Namen von Kunden verarbeiten, sollte die Wallet-Prüfung gegen bekannte Ransomware- und Sanktionslisten eine ständige operative Kontrolle sein, keine einmalige Prüfung. Blockchain-Analysefunktionen sind heute kommerziell verfügbar und werden von Regulierungsbehörden zunehmend als Teil eines glaubwürdigen AML-Rahmens erwartet. Der REvil-Fall bestätigt, dass selbst kleine Unternehmen Ziele sind und dass die beteiligten Lösegeldbeträge, obwohl bescheiden im Vergleich zu Schlagzeilenangriffen, groß genug sind, um materiellen finanziellen und reputationsbezogenen Schaden zu verursachen.
Häufig gestellte Fragen
Kann ein Unternehmen legal ein Kryptowährungs-Lösegeld zahlen?
Das hängt davon ab, wer die Zahlung erhält. In den USA kann die Zahlung eines Lösegelds an eine von OFAC als sanktioniert eingestufte Person oder Gruppe einen Sanktionsverstoß darstellen, selbst wenn die Zahlung unter Zwang erfolgte. OFAC hat spezifische Leitlinien zu Ransomware-Zahlungen veröffentlicht. Bevor ein Lösegeld gezahlt wird, sollte Sanktionsberatung hinzugezogen werden. Die Tatsache, dass die Zahlung in Kryptowährung erfolgt, ändert die rechtliche Analyse nicht.
Wie sollte eine Bitcoin-Lösegeldzahlung in den Büchern erfasst werden?
Eine in Bitcoin gezahlte Lösegeldzahlung beinhaltet die Veräußerung eines Kapitalvermögenswerts. Die Veräußerung sollte zum fairen Marktwert des Bitcoin zum Zeitpunkt der Transaktion erfasst werden. Die Differenz zwischen diesem Wert und den Anschaffungskosten des gehaltenen Bitcoin ist ein Kapitalgewinn oder -verlust. Das Lösegeld selbst wird in der Regel als Betriebsausgabe oder außergewöhnlicher Verlust erfasst, je nach dem verwendeten Rechnungslegungsrahmen. Beide Ereignisse müssen getrennt in Ihrer Buchhaltungssoftware für digitale Vermögenswerte erfasst werden.
Warum bevorzugen Ransomware-Gruppen Monero gegenüber Bitcoin?
Monero verwendet kryptografische Techniken, die Absenderadressen, Empfängeradressen und Transaktionsbeträge auf Protokollebene verschleiern. Im Gegensatz zu Bitcoin, wo der Transaktionsgraph auf der Blockchain öffentlich sichtbar ist, sind Monero-Transaktionen darauf ausgelegt, nicht nachverfolgbar zu sein. Dies macht es für Blockchain-Analyseunternehmen erheblich schwieriger, dem Geld nach einer Lösegeldzahlung zu folgen. REvils Bereitschaft, im dokumentierten Fall Bitcoin zu akzeptieren, mit einem Aufschlag von 10 %, spiegelt das zusätzliche Rückverfolgbarkeitsrisiko wider, das die Gruppe durch die Abkehr von Monero eingeht.
Was ist Layering im Kontext von Krypto-Geldwäsche?
Layering ist die zweite Stufe des klassischen dreistufigen Geldwäschemusters: Placement, Layering und Integration. Im Krypto-Kontext beinhaltet Layering typischerweise die Aufteilung von Geldern auf viele Wallets, die Vermischung mit Geldern aus anderen Quellen und die Weiterleitung über mehrere zwischengeschaltete Adressen, um die Transaktionsspur zu unterbrechen. Das Ziel ist es, es Blockchain-Analysetools zu erschweren, die ursprüngliche kriminelle Wallet mit dem eventualen Auszahlungspunkt bei einer Börse zu verbinden.
Was sollte eine Wirtschaftsprüfungsgesellschaft tun, wenn Krypto-Gelder eines Kunden aufgrund von Ransomware-Kontamination eingefroren werden?
Der erste Schritt ist, die Grundlage für das Einfrieren zu verstehen. Börsen frieren Gelder typischerweise ein, wenn ihre Screening-Tools eine Verbindung zu einer bekannten illegalen Wallet feststellen. Das Unternehmen sollte Dokumentation von der Börse anfordern, prüfen, ob ein SAR eingereicht wurde, und rechtliche Berater mit AML-Expertise hinzuziehen. Aus buchhalterischer Sicht müssen eingefrorene Gelder möglicherweise als Eventualforderung umklassifiziert werden, bis das Einfrieren aufgehoben ist, mit entsprechender Offenlegung im Jahresabschluss. Die Situation sollte nicht als routinemäßiger Abstimmungsposten behandelt werden.
Quelle: Elliptic