TokenSpot als Tarnfirma für sanktionierte russische Börse Grinex identifiziert

Das Blockchain-Intelligence-Unternehmen TRM Labs hat mit hoher Konfidenz festgestellt, dass TokenSpot, eine in Kirgisistan registrierte Kryptowährungsbörse, als Tarnfirma für Grinex fungiert, eine russische Börse, die von den Vereinigten Staaten, dem Vereinigten Königreich und der Europäischen Union sanktioniert wurde. Die beiden Einheiten teilen Einzahlungsadressen, eine gemeinsame Gebührenerhebungsadresse im TRON-Netzwerk und einen Direktor, der auch mit einem Zahlungsunternehmen verbunden ist, dessen technische Infrastruktur sich mit dem A7A5-Token-Ökosystem überschneidet. Für Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und CFOs, die Zahlungsströme mit Bezug zu TokenSpot erfasst oder verarbeitet haben, sind die Compliance-Konsequenzen unmittelbar und ernst.

Hintergrund: Wie Grinex zu einer sanktionierten Einheit wurde

Um zu verstehen, was der TokenSpot-Befund bedeutet, ist es hilfreich, den regulatorischen Zeitablauf nachzuvollziehen. Garantex, eine in Russland ansässige Börse, die weit verbreitet zur Geldwäsche von Erlösen aus Ransomware und anderen illegalen Aktivitäten genutzt wurde, wurde am 4. Mai 2022 vom Vereinigten Königreich sanktioniert. Die Strafverfolgungsbehörden nahmen dann im März 2025 die Infrastruktur von Garantex außer Betrieb. In den Monaten danach tauchte Grinex als operationeller Nachfolger auf. Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums sanktionierte Grinex am 14. August 2025, und das Vereinigte Königreich folgte sechs Tage später, am 20. August 2025. Die EU-Sanktionierung erfolgte im selben Zeitraum. TRM Labs hat bereits früher Verbindungen zwischen Grinex, dem breiteren A7-Netzwerk und dem A7A5-Token dokumentiert.

Was die Verbindung zum A7-Netzwerk hinzufügt

A7 ist der größte externe Gegenpart von TokenSpot. TokenSpot sandte 679,5 Mio. USD an A7 und erhielt 48,5 Mio. USD von A7 im analysierten Zeitraum. TokenSpot sandte außerdem 26,5 Mio. USD an den A7A5-Token und erhielt 7,7 Mio. USD. Grinex und Garantex zusammen stellen zwei der nächsten drei größten externen Gegenparteien von TokenSpot dar und machen zusammen 30 % seines ausgehenden Volumens und 10 % seines eingehenden Volumens aus. Diese Konzentration ist auffällig: Keine legitime Börse, die auf Armlänge von sanktionierten Einheiten operiert, würde einen so großen Anteil ihrer Zahlungsströme über designierte oder eng verbundene Parteien leiten.

Die von TRM Labs identifizierten Onchain-Beweise

TRMs frühester Nachweis der Onchain-Aktivität von TokenSpot stammt vom 8. Dezember 2023. Bis zum 27. September 2026 erhielten seine TRON-Adressen 3,54 Mrd. USD und sandten 3,14 Mrd. USD. Allein der Umfang macht dies zu einem bedeutenden Compliance-Ereignis. Die Analyse des Unternehmens stützt sich auf drei verschiedene Kategorien von Blockchain-Beweisen.

Gemeinsame Einzahlungs- und Aggregator-Adressen

Börsen weisen in der Regel jedem Kunden eine eindeutige Einzahlungsadresse zu und sammeln die erhaltenen Gelder dann in einer zentralen Aggregator-Adresse. Nach einem Cyberangriff am 16. April 2026 veröffentlichte Grinex eine Liste von Adressen, die nach eigenen Angaben betroffen waren. Eine dieser Adressen, TA8vyBg93KXaiQXV22WWXTB9hz3caN81DE, war vom 5. Februar bis zum 29. Juli 2026 aktiv und erhielt insgesamt 268,9 Mio. USD. Von diesem Betrag kamen 146,3 Mio. USD direkt von 126 TokenSpot-Einzahlungsadressen. Mindestens zwei dieser TokenSpot-Einzahlungsadressen waren von einer Adresse aktiviert worden, die TRM unabhängig als zu TokenSpot gehörend verifiziert hat, und alle ihre Gelder waren zuvor in dieselbe TokenSpot zugeordnete Adresse gesammelt worden. Weitere 116,3 Mio. USD kamen von drei Adressen, die beiden Börsen gleichzeitig zugeordnet werden. Adressen, die nur Grinex zugeordnet werden, trugen 1,9 Mio. USD bei.

Der praktische Effekt ist, dass Gelder, die über diesen Aggregator von TokenSpot abgezogen wurden, mit Geldern einer Börse vermischt wurden, die von den USA, dem Vereinigten Königreich und der EU sanktioniert wurde. Jeder nachgelagerte Empfänger dieser Gelder und jedes Unternehmen, das diese Eingänge verbucht hat, kann indirekt nach dem Strict-Liability-Rahmen von OFAC exponiert sein.

Gemeinsame Gebührenerhebungsadresse

Jede Transaktion auf TRON erfordert eine Gebühr, die in TRX, dem nativen Token des Netzwerks, gezahlt wird. Dienste finanzieren ihre Einzahlungsadressen in der Regel mit TRX vor und sammeln später ungenutzte Guthaben an eine einzige Reservoir-Adresse. TRM identifizierte TWqeMbv3EJtJhmKYUTodT7BmG9fcQRjwor als Empfänger von übrig gebliebenem TRX von sowohl TokenSpot- als auch Grinex-Adressen zwischen dem 23. April und dem 8. Juli 2026. Insgesamt sandten 711 TokenSpot-Adressen und 58 Grinex-Adressen ihr Rest-TRX an diese einzige Adresse, die etwa 25.000 USD über 1.126 Transfers sammelte, durchschnittlich etwa 22 USD pro Transfer. TRM zog die Möglichkeit in Betracht, dass ein Dritter beide Börsen in eine Adresse abfloss, aber die beteiligten Beträge sind mit routinemäßiger Gebührenverwaltung vereinbar und viel zu klein, um einen Diebstahl von zwei Börsen darzustellen, die Hunderte Millionen Dollar bewegt haben. Die Einschätzung ist, dass ein gemeinsamer Betreiber dieses Reservoir kontrolliert.

Gleichzeitige technische Ausfälle während des Angriffs im April 2026

Am 15. April 2026 um 13:02 UTC kündigte Grinex eine "technische Pause" an und teilte Kunden mit, dass Einzahlungen, Auszahlungen und die Website vorübergehend nicht verfügbar seien. Fünfundzwanzig Minuten später, um 13:27 UTC, veröffentlichte TokenSpot eine eigene Mitteilung, in der es auf "technische Arbeiten" verwies und warnte, dass Einzahlungen und Auszahlungen instabil sein könnten. Am folgenden Tag bestätigte Grinex einen Cyberangriff und veröffentlichte seine Liste der betroffenen Adressen, darunter zwei Adressen, die TRM TokenSpot zuordnet. Keine anderen Börsen erscheinen in dieser Offenlegung. TRM bewertet das Zusammentreffen dieser beiden Ankündigungen in Kombination mit der Aufnahme von TokenSpot zugeordneten Adressen in die eigene Hack-Offenlegung von Grinex als vereinbar mit gemeinsamer operativer Kontrolle.

Die Direktorenverbindung und Infrastrukturüberschneidung

Die Verbindung reicht über Onchain-Daten hinaus. Berichte vom Juni 2024, die sich auf Aufzeichnungen des kirgisischen Justizministeriums berufen, identifizierten Melis Batyrbekovich Umarhodjaev als Direktor sowohl von TokenSpot als auch von Tsunami Payments, einem kirgisischen Zahlungsunternehmen. Seit September 2026 führt das betreffende Register ihn nicht mehr in dieser Funktion. Öffentliche DNS-Einträge auf dnsdumpster.com zeigen, dass die Domain von Tsunami Payments und die Domain des A7A5-Tokens denselben Satz von Staging-Subdomains teilen: account-api-stage, account-stage, internal-stage und kyc-stage. Das Teilen von Staging-Infrastruktur zwischen scheinbar unabhängigen Unternehmen ist ein starker Indikator für gemeinsame technische Entwicklung oder gemeinsame Backend-Systeme und verbindet den ehemaligen Direktor von TokenSpot mit dem breiteren A7-Netzwerk, das Regulierungsbehörden und Blockchain-Analysten seit Monaten verfolgen.

Sanktionsfluss-Summen: Was die Zahlen zeigen

Die Analyse von TRM erfasst die gesamten Zahlungsströme zwischen TokenSpot und seinen sanktionierten Gegenparteien in den Zeiträumen, in denen die jeweilige Sanktionierung in Kraft war.

Die Zahlen nach der Sanktionierung sind rechtlich am bedeutsamsten. TokenSpot sandte 109,7 Mio. USD an Garantex, nachdem diese Börse sanktioniert worden war, und sandte und erhielt erhebliche Beträge mit Grinex nach August 2025. Nach dem Strict-Liability-Standard von OFAC muss eine Partei nicht gewusst haben, dass eine Transaktion sanktionsverboten war, um zivilrechtlich haftbar zu sein. Wissen ist relevant für die Strafmilderung, nicht für den zugrunde liegenden Verstoß selbst.

Buchhaltungs- und Compliance-Implikationen für Unternehmen

Für Buchhaltungspraktiken und Abschlussprüfer

Jeder Mandant, dessen Transaktionen mit digitalen Vermögenswerten TokenSpot berührt haben, direkt oder über einen Intermediär, sollte nun als potenzieller Sanktionsrisikofall behandelt werden, bis eine vollständige Rückverfolgung ihn entlastet. Die Vermischung von TokenSpot- und Grinex-Geldern in einem gemeinsamen Aggregator bedeutet, dass selbst ein Mandant, der glaubte, nur mit einer kirgisischen Börse zu handeln, Gelder erhalten oder gesendet haben könnte, die über einen Aggregator mit Erlösen designierter Einheiten gelaufen sind.

Aus buchhalterischer Sicht müssen Gelder, die von einer sanktionierten Quelle stammen, möglicherweise anders klassifiziert werden als gewöhnliche Handelserlöse. Je nach Jurisdiktion können sie Blockierungspflichten unterliegen, was bedeutet, dass sie nicht einfach als Einkommen erfasst und weiterverwendet werden können. Robuste Krypto-Buchhaltungssoftware mit Echtzeit-Sanktionsprüfung auf Transaktionsebene, nicht nur beim Onboarding, ist unerlässlich, um genau diese Art indirekter Exposition zu erkennen. Wenn Ihre derzeitige Software für die Buchhaltung digitaler Vermögenswerte den Sanktionsstatus der Gegenpartei nicht auf Transaktionsebene kennzeichnet, zeigt der Fall TokenSpot genau, warum diese Lücke gefährlich ist.

Abschlussprüfer, die Abschlüsse für Perioden ab Dezember 2023 prüfen, sollten fragen, ob Mandanten Konten bei TokenSpot unterhielten und ob diese Positionen auf Sanktionsrisiken bewertet wurden. Die Antwort wird beeinflussen, wie Salden ausgewiesen werden und ob Eventualverbindlichkeiten offengelegt werden müssen. Für Hinweise darauf, wie die Garantex-Sanktionierungen die Praxis bereits geprägt haben, siehe unsere frühere Berichterstattung darüber, wie die Garantex-Sanktionen Krypto-Unternehmen und ihre Bücher beeinflusst haben.

Für CFOs und Treasury-Funktionen

CFOs in Unternehmen, die Zahlungen über TokenSpot akzeptiert oder es für Treasury-Operationen genutzt haben, stehen vor einem zweiteiligen Problem: potenzielle zivilrechtliche Haftung nach OFAC und Risiko für den Jahresabschluss. Der Strict-Liability-Standard bedeutet, dass die Absicht des Unternehmens für die Frage, ob ein Verstoß vorliegt, irrelevant ist. Was jetzt zählt, ist die Qualität und Geschwindigkeit der Reaktion.

Eine freiwillige Selbstoffenlegung gegenüber OFAC, die zeitnah und begleitet von einer gründlichen internen Untersuchung erfolgt, ist einer der bedeutendsten mildernden Faktoren, die die Behörde bei der Festsetzung zivilrechtlicher Geldstrafen berücksichtigt. Dasselbe Prinzip gilt im Vereinigten Königreich unter dem Office of Financial Sanctions Implementation (OFSI) und in EU-Mitgliedstaaten unter ihren jeweiligen nationalen Sanktionsbehörden. Unternehmen sollten auch ihre AML-Transaktionsüberwachungssysteme überprüfen: Wenn TokenSpot vor dem TRM-Befund nicht als Hochrisiko-Gegenpartei gekennzeichnet war, ist das eine Lücke im risikobasierten Ansatz des Unternehmens, die angegangen und dokumentiert werden muss.

Für den breiteren politischen Kontext, wie EU-Regulierungsbehörden mit Kriminalität im Zusammenhang mit Krypto umgehen, gibt unsere Analyse der EU-Antikorruptionsvorschriften und was sie für Compliance-Teams im Bereich digitaler Vermögenswerte bedeuten die Richtung vor.

Praktische nächste Schritte für Compliance- und Finanzteams

Der Befund von TRM Labs erfordert nicht, dass Unternehmen auf eine formelle regulatorische Maßnahme warten, bevor sie handeln. Die Blockchain-Beweise sind öffentlich, die Sanktionierungen sind in Kraft, und die Vermischung von Geldern ist dokumentiert. Teams sollten bei Folgendem schnell handeln:

• Führen Sie eine retrospektive Prüfung aller Kunden- oder Gegenparteibeziehungen mit TokenSpot durch, die Aktivitäten von Dezember 2023 bis heute abdeckt.
• Kartieren Sie alle Zahlungsströme, die über die im TRM-Bericht identifizierte gemeinsame Aggregator-Adresse oder die gemeinsame Gebührenerhebungsadresse gelaufen sind.
• Bewerten Sie, ob Blockierungspflichten nach OFAC-, OFSI- oder EU-Sanktionsvorschriften für erhaltene Gelder gelten.
• Konsultieren Sie Sanktionsrechtsexperten, ob eine freiwillige Selbstoffenlegung angemessen ist, bevor eine regulatorische Anfrage eintrifft.
• Aktualisieren Sie interne Risikobewertungen für kirgisische Börsen und jede Börse im A7-Netzwerk, bis weitere Untersuchungen vorliegen.
• Überprüfen Sie Ihre Krypto-Buchhaltungssoftware und Ihr Transaktionsüberwachungssystem, um sicherzustellen, dass Sanktionsprüfungen auf Transaktionsebene und nicht nur beim Kunden-Onboarding erfolgen.

Quelle: TRM Labs

Häufig gestellte Fragen

Was macht TokenSpot zu einer Tarnfirma und nicht nur zu einer Gegenpartei von Grinex?

TRM Labs identifiziert drei Kategorien von Beweisen, die auf gemeinsame operative Kontrolle statt auf eine bloße Geschäftsbeziehung hindeuten: gemeinsame Einzahlungs- und Aggregator-Adressen auf TRON (darunter eine Adresse, die Grinex als eigene beanspruchte, aber TokenSpot-Kundeneinzahlungen sammelte), eine einzige Gebührenerhebungsadresse, die Rest-TRX von Hunderten Adressen beider Börsen erhielt, und nahezu gleichzeitige Ankündigungen technischer Ausfälle während des Cyberangriffs im April 2026, der speziell auf Grinex abzielte. Die Kombination aus geteilter Infrastruktur und den Verbindungen auf Direktorenebene zum A7A5-Ökosystem untermauert die Bewertung mit hoher Konfidenz.

Bedeutet eine Transaktion mit TokenSpot automatisch, dass ein Unternehmen gegen Sanktionen verstoßen hat?

Nicht automatisch, aber es entsteht ein erhebliches Risiko, das bewertet werden muss. Nach dem Strict-Liability-Standard von OFAC kann ein Sanktionsverstoß ohne Wissen oder Absicht vorliegen. Die entscheidenden Fragen sind, ob das Unternehmen nach Inkrafttreten der relevanten Sanktionierungen von Grinex oder Garantex mit TokenSpot gehandelt hat und ob die betreffenden Gelder durch einen vermischten Aggregator geflossen sind, der Erlöse designierter Einheiten enthielt. Rechtsberatung und eine detaillierte Blockchain-Rückverfolgung sind erforderlich, um die tatsächliche Exposition zu bestimmen.

Wie sollten bereits von TokenSpot erhaltene Gelder in den Konten behandelt werden?

Wenn eine Blockierungspflicht nach OFAC-, OFSI- oder EU-Sanktionsvorschriften gilt, können betroffene Gelder nicht einfach als gewöhnliches Einkommen erfasst und frei verwendet werden. Sie müssen möglicherweise segregiert und der zuständigen Sanktionsbehörde gemeldet werden. Die Klassifizierung im Jahresabschluss hängt von der Jurisdiktion und den spezifischen Umständen ab. Abschlussprüfer sollten solche Eingänge als potenzielle Eventualverbindlichkeit kennzeichnen, bis rechtliche und regulatorische Beratung vorliegt.

Welche Bedeutung haben die gemeinsamen Staging-Subdomains zwischen Tsunami Payments und A7A5?

Staging-Subdomains sind Teil der Entwicklungs- und Testinfrastruktur, die ein Softwareteam aufbaut und pflegt. Identische Staging-Subdomain-Namen bei zwei scheinbar unabhängigen Unternehmen, bestätigt durch öffentliche DNS-Einträge, deuten darauf hin, dass sie dasselbe technische Backend oder Entwicklungsteam nutzen. In Kombination mit der Überschneidung auf Direktorenebene zwischen TokenSpot und Tsunami Payments erweitert diese Infrastrukturverbindung das Netzwerk verbundener Einheiten weit über das hinaus, was öffentlich registrierte Unternehmensstrukturen anzeigen würden.

Welche Regulierungsbehörden sind für Unternehmen außerhalb der USA am relevantesten, die TokenSpot-Transaktionen verarbeitet haben?

UK-Unternehmen sollten die Exposition unter OFSI bewerten, das die britischen Finanzsanktionen verwaltet und seit dem Economic Crime (Transparency and Enforcement) Act 2022 zivilrechtliche Geldstrafen auf Strict-Liability-Basis verhängen kann. EU-Unternehmen sollten die Verpflichtungen nach den relevanten EU-Sanktionsvorschriften und ihren nationalen Umsetzungsgesetzen prüfen. Kirgisistan selbst ist der Sitz von TokenSpot, aber kirgisisches Recht regelt nicht die Sanktionspflichten von US-, UK- oder EU-Unternehmen. Jedes Unternehmen, das eine Lizenz in einer Jurisdiktion eines Mitglieds der Financial Action Task Force (FATF) hält, läuft zudem Gefahr, dass seine nationale AML-Aufsichtsbehörde Transaktionsüberwachungsmängel prüft, die durch diesen Fall offengelegt werden.