TRM Labs: Das illegale Krypto-Ökosystem im Fokus
Trotz eines anhaltenden Rückgangs der Kryptowährungsbewertungen seit 2021 ist der Dollarwert der mit Krypto verbundenen Kriminalität nicht im gleichen Maße gesunken. Der wegweisende Bericht von TRM Labs zum illegalen Krypto-Ökosystem, der erste, der mehr als 40 verschiedene Kriminalitätstypologien über mehr als 20 Blockchains systematisch klassifiziert, macht das Ausmaß des Problems schonungslos deutlich: Mindestens 7,8 Milliarden USD flossen in Ponzi- und Pyramidensysteme, 1,5 Milliarden USD wurden für Drogenmärkte im Darknet ausgegeben, und 3,7 Milliarden USD wurden innerhalb eines Jahres durch Hacks und Exploits gestohlen. Für Buchhaltungsfirmen, Wirtschaftsprüfer und CFOs, die digitale Asset-Bücher führen, ist der Bericht keine Hintergrundlektüre. Er ist eine Compliance-Referenz.
Warum fallende Preise das illegale Volumen nicht reduzierten
Die intuitive Erwartung ist, dass ein Bärenmarkt kriminelle Aktivitäten zusammen mit dem legitimen Handel schrumpfen lässt. Die Daten von TRM Labs stellen diese Annahme direkt infrage. Kriminelle sind keine passiven Halter; sie bewegen Gelder schnell, konvertieren über Chains hinweg und zielen auf Infrastrukturschwächen ab, die unabhängig vom Preis bestehen. Die Widerstandsfähigkeit der illegalen Dollarvolumina deutet auf strukturelle Faktoren hin, nicht auf spekulative.
Der Multi-Chain-Wandel als Risikoverstärker
Die bedeutendste strukturelle Veränderung, die im Bericht dokumentiert wird, ist der Zusammenbruch der Bitcoin-Dominanz innerhalb illegaler Zuflüsse. Im Jahr 2016 machte Bitcoin 97 % des illegalen Krypto-Volumens aus. Im vom Bericht abgedeckten Zeitraum war dieser Anteil auf 19 % gefallen. Auf der Hacking-Seite ist der Wandel noch ausgeprägter: Bitcoin machte 2016 zwei Drittel des Hack-Volumens aus, aber bis 2022 entfielen weniger als 3 % darauf. Ethereum nahm 68 % der Hack-Erlöse ein, und Binance Smart Chain hielt 19 %.
Die Terrorismusfinanzierung erzählt eine parallele Geschichte. Bitcoin war 2016 das ausschließliche Vehikel. Bis 2022 hatten Assets auf der TRON-Blockchain übernommen und machten 92 % dieser Kategorie aus. Die praktische Konsequenz für Compliance-Teams ist, dass die Überwachung einer einzelnen Chain oder auch die Priorisierung von Bitcoin-Adressen im Transaktionsscreening keine glaubwürdige AML-Haltung mehr ist.
Cross-Chain-Bridges als primäre Angriffsfläche
Etwa 2 Milliarden USD wurden im vom Bericht abgedeckten Jahr durch Cross-Chain-Bridges gestohlen. Bridges, die es ermöglichen, Kryptowährung von einem Blockchain-Netzwerk auf ein anderes zu übertragen, sind zu einem bevorzugten Ziel geworden, gerade weil sie Liquidität auf einer einzigen Protokollebene konzentrieren. Sobald Gelder extrahiert sind, nutzen Kriminelle Chain-Hopping, indem sie Assets in schneller Folge durch mehrere Netzwerke zirkulieren lassen, um sowohl Herkunft als auch Ziel zu verschleiern. Diese Technik erschwert die Transaktionsverfolgung und strapaziert die analytische Kapazität konventioneller AML-Tools.
Für eine tiefergehende technische Analyse dessen, was dies für die On-Chain-Due-Diligence bedeutet, lesen Sie unsere Berichterstattung zu AML-Warnsignalen, die Compliance-Teams aus Krypto-Bridge-Hacks kennen müssen.
Kriminalitätstypologien: Was der Bericht tatsächlich katalogisiert
TRM Labs klassifiziert illegale Krypto-Aktivitäten in zwei große Abschnitte. Der erste umfasst Aktivitäten, die direkt Krypto-Erlöse generieren. Der zweite umfasst die Geldwäsche dieser Erlöse, unabhängig davon, ob das ursprüngliche Verbrechen krypto-nativ oder fiat-basiert war. Die Taxonomie erstreckt sich über mehr als 40 Kategorien, von Spionage und SIM-Swapping bis hin zu Pump-and-Dump-Schemata. Die für institutionelle Compliance relevantesten Abschnitte fallen in eine Handvoll Cluster.
Darknet-Märkte und Vendor-Shops
Darknet-Märkte (DNMs) bleiben der größte Treiber des krypto-vermittelten illegalen Handels. Dies sind verschlüsselte Multi-Vendor-Plattformen im Darknet, auf denen Drogen und personenbezogene Daten die Hauptgüter sind. TRM-Labs-Daten zeigen, dass im Berichtszeitraum 1,49 Milliarden USD für DNMs ausgegeben wurden. Über 80 % dieses Volumens flossen über russischsprachige Märkte. Der größte westliche Bitcoin-DNM zum Zeitpunkt des Berichts hielt weniger als 10 % des globalen Marktanteils.
Es gibt eine bemerkenswerte operative Divergenz zwischen östlichen und westlichen DNMs. Russischsprachige Plattformen verwenden überwiegend nur Bitcoin, ohne Privacy-Coin-Optionen. Westliche Plattformen bieten tendenziell ausschließlich Monero an, oder Monero neben Bitcoin, was eine andere Risikokalkulation in Bezug auf Strafverfolgungsmaßnahmen widerspiegelt. Für Transaktionsüberwachungszwecke bedeutet dies, dass Monero-Zuflüsse und ungewöhnliche Bitcoin-Clustering-Muster je nach Gegenparteigeografie unterschiedliche Red-Flag-Profile aufweisen.
Neben DNMs erhielten unabhängige Vendor-Shops, Einzelbetreiber-Storefronts, die Tor, Telegram-Bots und verschlüsselte E-Mail nutzen, im gleichen Zeitraum mehr als 230 Millionen USD. Diese Plattformen bergen höhere Risiken für Kunden, da es keinen Treuhandvermittler gibt, aber aus Compliance-Sicht sind sie in Transaktionsdaten schwerer zu identifizieren, gerade weil sie ohne zentralisiertes Adresscluster operieren.
Cybercrime-Foren als Finanzinfrastruktur
Cybercrime-Foren stehen vielen illegalen Transaktionen vorgelagert. Sie fungieren als Marktplätze für initiale Zugangsdaten, Malware, Zero-Day-Schwachstellen und gestohlene personenbezogene Daten und erzielen Einnahmen aus Registrierungsgebühren, Treuhanddiensten und gestaffelten Account-Upgrades. TRM Labs untersuchte prominente Beispiele, darunter ein langjähriges russisches Forum mit Fokus auf Exploit-Handel und eine große englischsprachige Plattform mit Millionen registrierter Nutzer. Kryptowährung ist durchweg die Zahlungsschiene der Wahl. Für eine Firma, die Kunden oder Gegenparteien mit Berührungspunkten zu diesen Ökosystemen aufgenommen hat, werden standardmäßige KYB-Prüfungen allein anhand der Gewerberegistrierung diese Exposition nicht aufdecken.
Auswirkungen auf Buchhaltung und Prüfung
Die Ergebnisse des Berichts haben direkte Konsequenzen für die Art und Weise, wie Buchhaltungsfirmen und CFOs digitale Asset-Engagements angehen. Die Konzentration illegaler Volumina in Multi-Chain-Umgebungen und die Geschwindigkeit, mit der Gelder über Protokolle hinweg bewegt werden, bedeuten, dass die Nutzungsdauer jeder statischen Wallet-Screening-Liste in Stunden gemessen wird, nicht in Monaten.
Transaktionsüberwachung und Ledger-Integrität
Für Firmen, die digitale Asset-Buchhaltungssoftware zur Führung von Kundenbüchern nutzen, stellt sich die Frage, ob die Datenfeeds der Software Multi-Chain-Analysen einbeziehen oder nur große Chains abdecken. Ein Kunde, dessen Treasury gleichzeitig Assets auf Ethereum, TRON und BNB Chain hält, erfordert Screening-Logik, die alle drei umfasst. Eine Lücke in einem einzigen Feed schafft einen blinden Fleck, der die Firma regulatorischer Rügen aussetzen könnte, wenn eine Gegenpartei später sanktioniert oder als kriminelle Adresse identifiziert wird.
Aus buchhalterischer Sicht kann Chain-Hopping-Aktivität scheinbare Anschaffungskostenverzerrungen erzeugen. Jeder Swap über Chains hinweg kann in den meisten Jurisdiktionen einen Veräußerungsvorgang darstellen. Wenn das Treasury-Team eines Kunden Cross-Chain-Bridges für legitimes Treasury-Management nutzt und diese Bridges ausgebeutet wurden oder auf einer Hochrisiko-Watchlist stehen, benötigt die Firma ein Protokoll zur Kennzeichnung und Dokumentation dieser Transaktionen in der Prüfungsakte, getrennt von normalen Veräußerungsaufzeichnungen.
Risikobasierte Kundenannahme und laufende Überwachung
Die Taxonomie von TRM Labs gibt Compliance-Beauftragten ein praktisches Vokabular zur Aktualisierung ihres risikobasierten Ansatzes. Firmen, die Kunden in DeFi-Protokollentwicklung, Bridge-Infrastruktur oder Peer-to-Peer-Handel annehmen, sollten Bridge-Exposition nun als spezifische Risikokategorie in Kundenannahmeformularen behandeln, nicht als Untermenge generischen "Krypto-Risikos". Ebenso erfordern Kunden mit bedeutenden TRON-Treasury-Positionen eine verstärkte Due Diligence angesichts der dokumentierten Dominanz von TRON bei Terrorismusfinanzierungsströmen, unabhängig vom angegebenen Zweck des Kunden.
In der EU ansässige Firmen sollten dies mit der Stoßrichtung auf Gesetzgebungsebene abgleichen. Für Kontext dazu, wie EU-Gesetzgeber genau auf diese Risiken reagieren, lesen Sie unseren Beitrag dazu, wie EU-Gesetzgeber Krypto in die Anti-Korruptionsstrategie drängen.
Erlöse aus Ponzi- und Pyramidensystemen: die Prüfungsherausforderung
7,8 Milliarden USD, die in Ponzi- und Pyramidensysteme fließen, sind keine abstrakte Zahl. Ein Teil dieses Kapitals wird über legitime Börsen gelaufen, in Stablecoins umgewandelt und in Treasury-Konten oder Anlageportfolios von Kunden gelandet sein, die glaubten, echte Anlagerenditen zu erhalten. Wirtschaftsprüfer müssen harte Fragen zur Herkunft ungewöhnlich hochverzinslicher Krypto-Bestände stellen und sollten On-Chain-Herkunftsnachweise anfordern, anstatt sich allein auf Darstellungen der Gegenpartei zu verlassen. Wenn ein Kunde die Mittelherkunft für einen großen Krypto-Zufluss auf Adressebene nicht erklären kann, ist das ein Red Flag, der sowohl unter AML- als auch unter berufsständischen Prüfungsstandards eine Eskalation erfordert.
Praktische Schritte für Compliance- und Finanzteams
Der TRM-Labs-Bericht ist beschreibend, aber die von ihm geforderte Compliance-Reaktion ist operativ. Die folgenden Prioritäten gelten für Buchhaltungsfirmen, Unternehmens-CFOs und Prüfungsengagements:
Aktualisieren Sie Ihre Chain-Abdeckung und Ihren Screening-Umfang
Prüfen Sie, ob Ihre aktuelle Krypto-Buchhaltungssoftware und Ihre Transaktionsüberwachungstools Ethereum, BNB Chain, TRON und die von Ihren Kunden genutzten Bridge-Protokolle abdecken. Wenn das AML-Screening Ihrer Firma standardmäßig Bitcoin-first ist, ist es nun strukturell nicht mehr mit dem Ort ausgerichtet, an dem sich illegale Volumina tatsächlich konzentrieren. Diese Fehlausrichtung ist eine dokumentierte Lücke, die ein Regulator bei der Prüfung Ihres AML-Programms finden wird.
Klassifizieren Sie Bridge-Transaktionen explizit
Cross-Chain-Bridge-Transaktionen sollten in Kundenbüchern als eigener Transaktionstyp kategorisiert werden, nicht mit einfachen Token-Swaps zusammengeführt. Jedes Bridge-Ereignis benötigt einen Zeitstempel, die Ausgangs- und Empfangs-Chain, den Namen des Bridge-Protokolls und eine Notiz dazu, ob dieses Protokoll zum Zeitpunkt der Transaktion auf einer Sanktions- oder Hochrisiko-Watchlist steht. Diese Aufzeichnung unterstützt sowohl die Prüfungsakte als auch jede künftige regulatorische Anfrage.
Aktualisieren Sie Ihre Risikoappetit-Erklärungen
Risikoappetit-Erklärungen, die vor 2022 verfasst wurden, spiegeln mit ziemlicher Sicherheit weder Multi-Chain-Exposition noch Bridge-Risiko oder TRON-spezifische Überlegungen wider. Eine Aktualisierung, die das TRM-Labs-Typologierahmenwerk einbezieht und die im Bericht dokumentierten spezifischen Kriminalitätskategorien und Blockchain-Verteilungen zitiert, wird sowohl die interne Governance-Position als auch jede externe regulatorische Einreichung stärken.
Schulen Sie Mitarbeiter zu Chain-Hopping-Red-Flags
Transaktionsprüfer müssen Chain-Hopping-Sequenzen in Kundendaten erkennen. Ein Muster schneller, kleinerer Transfers über drei oder mehr Blockchains innerhalb eines kurzen Zeitfensters, insbesondere wenn das endgültige Ziel ein privacy-fähiges Asset oder eine unhosted Wallet ist, sollte eine verstärkte Prüfung auslösen. Dies ist heute Standardtypologie, kein Randfall.
Quelle: TRM Labs
Häufig gestellte Fragen
Warum blieben die illegalen Krypto-Volumina trotz fallender Preise stabil?
Die Daten von TRM Labs deuten darauf hin, dass kriminelle Aktivitäten im Krypto-Bereich eher von strukturellen Gelegenheiten als vom Assetpreis getrieben werden. Kriminelle bewegen Gelder schnell über Chains hinweg, nutzen Protokollschwächen aus und agieren über ein sich verbreiterndes Spektrum von Blockchains, von denen keine durch einen Preisrückgang bei Bitcoin oder Ethereum wesentlich beeinflusst wird.
Was bedeutet der sinkende Anteil von Bitcoin am illegalen Volumen für AML-Programme?
Es bedeutet, dass Bitcoin-first-Screening nicht mehr ausreicht. Da Ethereum, BNB Chain und TRON nunmehr die Mehrheit der Hack-Erlöse bzw. der Terrorismusfinanzierungsströme ausmachen, benötigen AML-Programme Multi-Chain-Abdeckung als Basis, nicht als Ergänzung.
Wie sollten Buchhaltungsfirmen Cross-Chain-Bridge-Transaktionen in Kundenbüchern behandeln?
Jede Bridge-Transaktion sollte als eigenständiges Ereignis mit Ausgangs-Chain, Empfangs-Chain, Protokollname und einer Sanktions-/Watchlist-Statusprüfung zum Zeitpunkt der Transaktion protokolliert werden. In den meisten Jurisdiktionen kann eine Bridge-Übertragung auch eine Veräußerung für Steuerzwecke darstellen, daher müssen die Anschaffungskostenaufzeichnungen bei jedem Crossing aktualisiert werden.
Ändert dieser Bericht die Art und Weise, wie Wirtschaftsprüfer die Annahme von Krypto-Kunden angehen sollten?
Ja. Die Taxonomie von mehr als 40 Kriminalitätstypologien und die im Bericht dokumentierten Verteilungen auf Blockchain-Ebene geben Wirtschaftsprüfern einen Referenzrahmen zur Identifizierung risikoärmerer Kundenprofile in der Annahmephase. Kunden mit erheblicher TRON-Exposition, Beteiligung an Bridge-Protokollen oder hochverzinslichen Krypto-Anlagerenditen unklarer Herkunft rechtfertigen nun ausdrücklich eine verstärkte Due Diligence.
Was ist Chain-Hopping und warum ist es für die Transaktionsüberwachung wichtig?
Chain-Hopping ist die Praxis, Gelder nacheinander durch mehrere Blockchain-Netzwerke zu bewegen, um die ursprüngliche Quelle und das endgültige Ziel zu verschleiern. Es ist eine dokumentierte Geldwäschetechnik. Aus Überwachungssicht bedeutet dies, dass eine saubere Adresse auf einer Chain immer noch der nachgelagerte Empfänger illegaler Gelder sein kann, wenn Zwischen-Chains nicht im Screening-Workflow abgedeckt sind.