Solana-Wallet-Exploit: 5,8 Mio. US-Dollar abgeschöpft: AML- und Bilanzierungsimplikationen

Ein koordinierter Exploit, der Solana-Wallet-Software ins Visier nahm, hat mehr als 5,8 Millionen US-Dollar aus 7.947 Wallets abgeschöpft, bevor der Angriff formell dokumentiert wurde. Der Vorfall begann am 2. August 2026, betraf SOL, über 300 Solana-basierte Token und eine kleine Anzahl von NFTs und wurde auf vier angreifergesteuerte Adressen zurückgeführt, die alle von einem einzigen Ursprungskonto finanziert wurden. Für Wirtschaftsprüfungsgesellschaften, Auditoren und CFOs mit jeglicher Solana-Exposition ist dies nicht nur eine Cybersicherheits-Schlagzeile. Es löst konkrete Verpflichtungen aus: AML-Screening eingehender Gelder, mögliche Wertminderungsprüfungen, Offenlegungserwägungen und einen genauen Blick darauf, ob bestehende Kontrollen im eigenen Krypto-Buchhaltungssoftware-Stack tatsächlich zweckdienlich sind.

Was geschah: Die Kernfakten

Der Exploit rührte nicht von einer Verwundbarkeit im Solana-Protokoll selbst her. Laut Blockchain-Intelligence-Unternehmen Elliptic scheint die Ursache ein Fehler in bestimmter Solana-kompatibler Wallet-Software zu sein. Diese Unterscheidung ist sowohl technisch als auch rechtlich wichtig. Sie bedeutet, dass die Angriffsfläche auf der Anwendungsebene lag, nicht im Konsensmechanismus der Basisschicht, was die Argumentation betroffener Parteien bei Versicherungs- oder Rechtsrückforderungsansprüchen prägt.

Umfang und Vermögenszusammensetzung

Die 5,8-Millionen-US-Dollar-Zahl umfasst SOL (das native Token), mehr als 300 verschiedene Solana-basierte Token und eine geringe Menge an NFTs mit niedrigem Wert. Fast 8.000 Wallets waren betroffen. Da das gestohlene Portfolio fungible Token und nicht-fungible Vermögenswerte über eine große Anzahl von Adressen umfasst, müssen sich alle Buchhaltungs- oder Prüfungsmandate, die Solana-Bestände in diesem Zeitraum betreffen, mit einer heterogenen Vermögensmischung auseinandersetzen und nicht nur mit einem einzelnen Münztyp.

Zuordnung: Ein einzelner Bedrohungsakteur

Alle vier Adressen, die zur Ausführung des Exploits verwendet wurden, wurden vom selben vorgelagerten Konto finanziert. Die Blockchain-Intelligence-Analyse deutet auf einen einzelnen Betreiber hin und nicht auf eine koordinierte Gruppe. Diese Art der Rückverfolgbarkeit der Finanzierungskette ist genau das, was On-Chain-Analysen aufdecken sollen, und es ist auch das, was jede konforme Krypto-Buchhaltungssoftware oder Transaktionsüberwachungslösung zum Zeitpunkt des Eingangs kennzeichnen können sollte.

AML- und Screening-Verpflichtungen

Blockchain-Intelligence-Anbieter haben die Exploiter-Adressen gekennzeichnet und für das Screening verfügbar gemacht. Das bedeutet, dass jedes regulierte Unternehmen, das während oder nach dem Angriffsfenster Solana-Transaktionen verarbeitet, einen praktischen Mechanismus hat, um die Exposition zu prüfen. Es bedeutet auch, dass es immer schwieriger zu verteidigen ist, wenn diese Prüfungen nicht durchgeführt werden.

Wer muss screenen und wann

Die Screening-Verpflichtung ist am weitesten gefasst für Anbieter virtueller Vermögenswerte (VASPs), Börsen und Verwahrer, die unter FATF-angeglichenen Rahmenwerken operieren. Aber sie geht weiter. Wirtschaftsprüfungsgesellschaften, die Buchhaltungs- oder ausgelagerte Treasury-Dienste für Kunden mit Solana-Beständen betreiben, CFOs von Unternehmen, die während des Exploit-Fensters SOL-Zahlungen erhalten haben, und Auditoren, die digitale Vermögenssalden abzeichnen, müssen alle in Betracht ziehen, ob belastete Gelder in den Adressraum ihres Kunden oder Arbeitgebers gelangt sind.

Der Ausgangspunkt ist das Screening auf Adressebene gegen die veröffentlichten Exploiter-Adressen. Wenn eine eingehende Transaktion direkt oder innerhalb weniger Hops auf diese Adressen zurückgeführt werden kann, besteht für das empfangende Unternehmen eine potenzielle Exposition gegenüber Erträgen aus Straftaten. In den meisten globalen AML-Rahmenwerken wird die Verpflichtung zur Einreichung einer Verdachtsmeldung (SAR) oder eines Äquivalents durch vernünftige Gründe für den Verdacht ausgelöst, nicht durch Gewissheit. Eine Verbindung mit wenigen Hops zu einer markierten Exploit-Adresse erreicht diese Schwelle in der Regel.

Für einen breiteren Blick darauf, wie On-Chain-Analysen diese Untersuchungen umgestalten, siehe unsere Berichterstattung über wie Blockchain-Analytik AML-Ermittlungen neu gestaltet.

Die vier Exploiter-Adressen

Die Tatsache, dass alle vier Angreiferadressen von einem Quellkonto finanziert wurden, vereinfacht die Rückverfolgungsaufgabe etwas. Ermittler und Compliance-Teams können sich auf einen eng verbundenen Cluster konzentrieren und nicht auf ein diffuses Netzwerk. Allerdings nutzen Exploiter routinemäßig Mixer, wechseln die Chain zu anderen Protokollen oder überbrücken Vermögenswerte zu EVM-kompatiblen Chains, um die Spur zu verschleiern, daher sollte das Screening nicht auf die bekannten Solana-Adressen beschränkt bleiben. Alle nachgelagerten Konvertierungen oder überbrückten Äquivalente verdienen gleiche Prüfung.

Bilanzielle Behandlung für betroffene Unternehmen

Die bilanziellen Auswirkungen unterscheiden sich je nachdem, ob Ihr Unternehmen oder Kunde ein Exploit-Opfer, ein nachgelagerter Empfänger belasteter Gelder oder keines von beidem ist, aber dennoch Solana-basierte Vermögenswerte hält.

Wertminderung und Abschreibung für Opfer

Nach US-GAAP (ASC 350-60, das FASB-Beizulegender-Zeitwert-Modell für Krypto-Assets, das für Geschäftsjahre ab dem 15. Dezember 2024 übernommen wurde) und IFRS (IAS 38 oder IAS 2, je nach Klassifizierung) sind Vermögenswerte, die gestohlen wurden, nicht mehr unter der Kontrolle des Unternehmens. Kontrolle ist ein grundlegendes Aktivierungskriterium. Sobald ein Exploit bestätigt ist, kann das Unternehmen diese Vermögenswerte nicht mehr in seiner Bilanz ausweisen. Das Datum der Ausbuchung ist das Datum, an dem die Kontrolle verloren ging, in diesem Fall das Angriffsdatum, der 2. August 2026, nicht das Datum, an dem das Unternehmen davon erfahren hat.

Der Verlust fließt in die Gewinn- und Verlustrechnung. Nach GAAP kann dies je nach Wahl der Bilanzierungsmethode des Unternehmens im operativen oder sonstigen Aufwand erfasst werden. Nach IFRS verlangt IAS 38 die Ausbuchung eines immateriellen Vermögenswerts, wenn keine künftigen wirtschaftlichen Vorteile mehr erwartet werden, wobei der resultierende Gewinn oder Verlust erfolgswirksam ist. Unternehmen sollten der Versuchung widerstehen, den gestohlenen Betrag ohne klare Hinweise auf Wiederherstellungsaussichten in einer Forderung zu parken, da dieser Ansatz bei der Prüfung schwer zu unterstützen ist.

NFTs: Eine komplexere Ausbuchung

Die vom Exploit erfassten NFTs fügen eine Komplexitätsebene hinzu. NFTs sind nicht homogen, und ihre Buchwerte hängen davon ab, wie sie ursprünglich erfasst wurden. Wenn sie als Vorrat gehalten werden (für NFT-Handelsunternehmen), fallen sie unter IAS 2 oder ASC 330. Wenn sie als immaterielle Vermögenswerte mit unbestimmter Nutzungsdauer gehalten werden, folgen sie ASC 350 oder IAS 38. In beiden Fällen müssen sie nach dem Diebstahl abgeschrieben werden. Die Herausforderung besteht darin, den Buchwert für Artikel mit geringerem Wert zu ermitteln, bei denen die Anschaffungskostenaufzeichnungen dünn sein können, was ein starkes Argument dafür ist, von Anfang an granulare Transaktionsaufzeichnungen in einer robusten Software für digitale Asset-Buchhaltung zu führen.

Nachgelagerte Empfänger und Risiko belasteter Vermögenswerte

Für Unternehmen, die während des Exploit-Fensters SOL oder Solana-basierte Token erhalten haben, ohne zu wissen, dass die Gelder gestohlen wurden, ist die bilanzielle Position nuancierter. Die erstmalige Erfassung zum beizulegenden Zeitwert am Transaktionsdatum ist korrekt, wenn das Unternehmen keine Kenntnis von der Belastung hatte. Sobald die Belastung jedoch identifiziert ist, kann eine Rückstellung oder Eventualverbindlichkeit erforderlich sein, wenn Regulierungsbehörden oder Strafverfolgungsbehörden die Herausgabe erzwingen könnten. Dies ist kein geklärtes Praxisfeld, und Unternehmen sollten ihre Screening-Schritte und den Zeitpunkt, zu dem sie Kenntnis erlangt haben, dokumentieren.

Operative Kontrollen: Was Unternehmen jetzt prüfen sollten

Dieser Vorfall zeigt mehrere Kontrolllücken auf, die Wirtschaftsprüfungsgesellschaften und CFOs sofort überprüfen sollten, unabhängig davon, ob sie direkt Solana halten.

Due Diligence bei Wallet-Software

Der Exploit hatte seine Wurzel in der Wallet-Software, nicht in der Chain. Unternehmen, die für Treasury-Management oder die Verwahrung von Kundenvermögen auf Drittanbieter-Wallet-Anwendungen angewiesen sind, sollten bestätigen, dass sie die neuesten gepatchten Versionen ausführen. Jede Wallet, die in den Offenlegungen nach dem Vorfall als verwundbar identifiziert wurde, sollte als kompromittiert behandelt werden, bis der Softwareanbieter ein sauberes Gesundheitszeugnis ausstellt.

Abdeckung der Transaktionsüberwachung

Nicht alle Krypto-Buchhaltungssoftware-Integrationen umfassen Echtzeit- oder Nahe-Echtzeit-Transaktionsüberwachung mit Taint-Analysefähigkeit. Unternehmen sollten überprüfen, ob ihre Tools Solana-native Vermögenswerte abdecken, einschließlich SPL-Token und NFTs, und nicht nur die großen EVM-Chains. Abdeckungslücken auf Asset-Typ-Ebene sind eine bekannte Schwäche, die dieser Vorfall schwerer zu ignorieren macht.

Unternehmen, die ihre Incident-Response-Haltung bereits durchdacht haben, finden nützliche Struktur in unserem Beitrag über Ransomware-Response-Planung für Krypto haltende Unternehmen, der einen vergleichbaren vierschrittigen Rahmen beschreibt, der auf Diebstahlereignisse anwendbar ist.

Prüfungsverfahren für Kundenportfolios

Auditoren mit Kunden, die Solana-basierte Vermögenswerte halten, sollten ihrem Prüfungsprogramm für digitale Vermögenswerte einen spezifischen Schritt hinzufügen: Bestätigen Sie, dass die Wallet-Adressen des Kunden nicht zu den 7.947 betroffenen gehören, und bestätigen Sie, dass keine eingehenden Transaktionen während des Exploit-Fensters vom gekennzeichneten Angreifer-Cluster stammen. Beide Schritte sind mit den jetzt öffentlich verfügbaren Daten auf Adressebene durchführbar und sollten in der Prüfungsakte dokumentiert werden.

Breiterer Risikokontext

Exploits auf Wallet-Ebene sind nicht neu, aber das Ausmaß hier – fast 8.000 Wallets und eine Multi-Asset-Abschöpfung, die fungible Token und NFTs umfasst – spiegelt wider, wie viel Wert jetzt außerhalb der großen verwahrten Börsenumgebungen liegt und in Self-Custody- oder Anwendungsebene-Wallets. Für Buchhaltungs- und Compliance-Teams schafft dieser Trend eine direkte Herausforderung: Je weiter Vermögenswerte von zentralisierten Verwahrern mit etablierten AML-Programmen entfernt sind, desto mehr fällt die Verpflichtung zum Screening und zur Überwachung auf das nächste Unternehmen in der Transaktionskette.

Regulierungsbehörden im Vereinigten Königreich, in der EU und in mehreren APAC-Gerichtsbarkeiten haben durch Leitlinien oder Durchsetzungsmaßnahmen signalisiert, dass „wir wussten nicht, dass die Gelder belastet waren“ keine vollständige Verteidigung ist, wenn Screening-Tools verfügbar und nicht verwendet wurden. Die Kennzeichnung dieser Exploiter-Adressen macht diese Verteidigung nun besonders dünn für jedes Unternehmen, das künftig Solana-Transaktionen verarbeitet.

Der Vorfall unterstreicht auch den operativen Fall für die Aufrechterhaltung einer Trennung zwischen Wallet-Infrastruktur und Buchhaltungssystemen mit ordnungsgemäßer API-Konnektivität zwischen beiden, anstatt manueller Abstimmung. Manuelle Prozesse sind der Punkt, an dem die Erkennung belasteter Gelder zusammenbricht, weil kein Mensch jede eingehende Transaktion in Echtzeit gegen eine aktualisierte Watchlist prüft. Genau dafür ist integrierte Software für digitale Asset-Buchhaltung mit einem Live-Screening-Feed gebaut.

Quelle: Elliptic

Häufig gestellte Fragen

Betrifft dieser Exploit die Solana-Blockchain selbst?

Nein. Die derzeitige Analyse zeigt, dass die Verwundbarkeit in bestimmter Solana-Wallet-Software lag, nicht im Solana-Protokoll oder Konsensmechanismus. Die Blockchain selbst funktionierte normal weiter. Diese Unterscheidung ist wichtig für die Art und Weise, wie betroffene Unternehmen Ansprüche oder Offenlegungen formulieren.

Wie sollte ein Unternehmen gestohlene Solana-Vermögenswerte aus dem Exploit bilanzieren?

Vermögenswerte, über die die Kontrolle verloren wurde, müssen am Tag des Kontrollverlusts ausgebucht werden, also am Tag des Angriffs. Der Buchwert wird erfolgswirksam abgeschrieben. Gestohlene Vermögenswerte in einer Forderung zu parken, ist nur vertretbar, wenn es konkrete Beweise für Wiederherstellungsaussichten gibt, wie etwa laufende Verfahren zur Vermögensrückgewinnung durch Strafverfolgungsbehörden.

Welche AML-Verpflichtung haben Unternehmen, die während des Exploit-Fensters SOL erhalten haben?

Jedes Unternehmen, das während oder kurz nach dem Exploit-Fenster SOL oder Solana-basierte Token erhalten hat, sollte diese eingehenden Transaktionen gegen die veröffentlichten Exploiter-Adressen screenen. Bei einer Verbindung mit wenigen Hops sollte das Unternehmen prüfen, ob eine Verdachtsmeldung nach den Regeln seiner lokalen Gerichtsbarkeit erforderlich ist. Die Dokumentation der durchgeführten Screening-Schritte ist unabhängig vom Ergebnis unerlässlich.

Werden vom Exploit erfasste NFTs in den Büchern anders behandelt?

Ja, bis zu einem gewissen Grad. NFTs sind nicht homogen, und ihre bilanzielle Klassifizierung (Vorrat versus immaterieller Vermögenswert) beeinflusst, welcher Standard ihre Ausbuchung regelt. In allen Fällen müssen gestohlene NFTs abgeschrieben werden. Die Herausforderung besteht darin, den Buchwert für Artikel mit geringem Wert zu ermitteln, bei denen die historischen Anschaffungskostenaufzeichnungen unvollständig sind, weshalb eine granulare Aufzeichnung auf Transaktionsebene von Anfang an wichtig ist.

Was sollten Auditoren tun, wenn ein Kunde Solana-Vermögenswerte hält?

Auditoren sollten dem Prüfungsprogramm für digitale Vermögenswerte zwei spezifische Schritte hinzufügen: Bestätigen, dass die Solana-Adressen des Kunden nicht zu den 7.947 betroffenen Wallets gehören, und bestätigen, dass keine eingehenden Transaktionen während des Exploit-Fensters auf den markierten Angreifer-Cluster zurückgehen. Beide Schritte sind mit den jetzt verfügbaren Daten auf Adressebene durchführbar und sollten in der Prüfungsakte dokumentiert werden.