Wallet- und Transaktionsprüfung

Die Namensprüfung zeigt einem Unternehmen, wer seine Kunden sind; die Wallet-Prüfung zeigt, woher deren Geld kommt und wohin es fließt. Auf einer öffentlichen Blockchain kann eine einzelne Einzahlung Gelder enthalten, die Minuten zuvor eine bezeichnete Adresse verlassen haben, und eine einzelne Auszahlung kann Werte direkt an eine solche Adresse übertragen. In dieser Lektion geht es darum, wie Adressen und Überweisungen auf Sanktionsrisiken geprüft werden, wie Hop-Grenzen und Schwellenwerte festgelegt werden und was zu tun ist, wenn Gelder von einer bezeichneten Adresse tatsächlich eingehen.

Zwei Quellen für Adressrisiken

Die Wallet-Prüfung nutzt zwei verschiedene Arten von Daten.

Listenadressen sind Adressen virtueller Vermögenswerte, die eine Behörde als Kennungen einer bezeichneten Partei veröffentlicht hat. Eine Übereinstimmung ist eindeutig und maßgeblich: Die Adresse gehört jemandem, mit dem das Unternehmen möglicherweise keine Geschäfte tätigen darf.

Durch Analysen zugeordnete Risiken stammen aus Blockchain-Analysen: Adressgruppen, die einer bezeichneten Person oder einem bezeichneten Dienst zugeordnet werden, sowie Transaktionsverfolgung, mit der gemessen wird, welcher Anteil des Werts einer Überweisung mit ihnen in Verbindung gebracht werden kann. Diese Methode deckt weit mehr ab als Listen, ist aber probabilistisch. Die Zuordnung kann falsch oder veraltet sein, und verschiedene Tools können zu unterschiedlichen Ergebnissen kommen. Die IDFE-BA-Lektionen Zuordnung und Kennzeichnung und Bewertung der Clusterqualität erläutern die Gründe dafür; die Lektion Blockchain-Analysen für Compliance behandelt die Validierung von Analyseergebnissen.

Ein solides Programm nutzt beides: Listenadressen für Sicherheit, Analysen für Reichweite und eine Dokumentation dazu, welche Quelle jeweils die Entscheidung begründet hat.

Direkte und indirekte Risiken

Direktes Risiko bedeutet, dass die Gegenparteiadresse einer Überweisung selbst eine bezeichnete Adresse ist oder zu einem bezeichneten Cluster gehört. Indirektes Risiko bedeutet, dass die Gelder zwischen der bezeichneten Quelle und der Überweisung über eine oder mehrere Zwischenadressen geflossen sind. Analysetools geben indirekte Risiken in der Regel als Anteil am Wert der Überweisung und als Anzahl der Hops an. Hier bezeichnet die Anzahl der Hops die Zwischenadressen oder -entitäten zwischen der bezeichneten Quelle und der Überweisung. Tools zählen Hops unterschiedlich. Daher sollte die Konfiguration des Unternehmens die verwendete Zählweise festlegen.

Indirekte Risiken nehmen mit der Entfernung und durch Vermischung ab. Eine Einzahlung, die eine Hop-Stufe zuvor 80 % ihres Werts von einer bezeichneten Börse erhalten hat, ist ein ganz anderer Fall als eine Einzahlung, bei der 0,5 % des Werts sechs Hops zuvor auf einen bezeichneten Mixer zurückgeführt werden können. Wie der Anteil berechnet wird, hängt auch von der Verfolgungsmethode ab (siehe die IDFE-BA-Lektion Gelder vorwärts und rückwärts verfolgen). Daher sollte die Methode Teil der dokumentierten Konfiguration des Unternehmens sein.

Hop-Grenzen und Schwellenwerte

Regeln setzen Risiken in Maßnahmen um. Sie müssen auf die Risikobewertung des Unternehmens abgestimmt und dokumentiert sein. Beispiel für eine Richtlinie:

Die Prozentwerte und Hop-Anzahlen oben sind Beispiele, keine Standards. Ein Unternehmen legt sie anhand von Tests mit bekannten Fällen fest, dokumentiert die Gründe dafür und überprüft sie, wenn sich Typologien ändern. Eine Regel, die bei jedem indirekten Risiko unabhängig von der Entfernung eine Meldung auslöst, überlastet die Analysten; wer indirekte Risiken vollständig ignoriert, übersieht verschachtelte Dienste und Geldwäsche, die nur einen Schritt von der Listenadresse entfernt ist.

Die folgende Regel ermittelt ausstehende Einzahlungen, die laut Richtlinie zurückgehalten werden müssen:

-- Ausstehende Einzahlungen mit direktem Sanktionsrisiko oder hohem indirektem Risiko
SELECT d.deposit_id, d.customer_id, d.txid, d.amount_usd,
       e.exposure_type, e.min_hops, e.sanctioned_share_pct, e.source
FROM deposits d
JOIN sanctions_exposure e
  ON e.txid = d.txid AND e.output_index = d.output_index
WHERE d.status = 'PENDING_CREDIT'
  AND (e.exposure_type = 'DIRECT'
       OR (e.min_hops <= 2 AND e.sanctioned_share_pct >= 10.0))
ORDER BY e.exposure_type, e.sanctioned_share_pct DESC;

Die Abfrage verknüpft jede ausstehende Einzahlung mit dem vom Analyseprozess erzeugten Risikodatensatz. Dazu verwendet sie die Transaktions-ID und den Output-Index, damit nur der eigene Output des Kunden berücksichtigt wird. Sie wählt alle direkten Fälle sowie alle indirekten Fälle innerhalb von zwei Hops aus, bei denen der Anteil am Wert mindestens 10 % beträgt, und sortiert direkte Fälle zuerst. Die Spalte source zeigt an, ob eine Listenadresse oder eine Analysezuordnung das Risiko ergeben hat. Diese Information benötigt der Analyst für seine Entscheidung. Bei kontobasierten Chains wird der Output-Index durch einen Log- oder Transfer-Index ersetzt.

Prüfung vor und nach der Transaktion

Die Richtung einer Überweisung bestimmt, was mit der Prüfung erreicht werden kann.

Ausgehende Überweisungen können vor ihrer Ausführung geprüft werden. Die Zieladresse wird geprüft, sobald der Kunde die Auszahlung beantragt, und nochmals unmittelbar vor der Übertragung ins Netzwerk, da sich Listen zwischenzeitlich ändern können. Bei einem Treffer wird die Überweisung gestoppt: Nach der Übertragung ins Netzwerk und der Bestätigung kann sie nicht mehr rückgängig gemacht werden.

Eingehende Überweisungen können auf Protokollebene nicht abgelehnt werden. Die Gelder kommen an der Einzahlungsadresse des Kunden an, ob das Unternehmen damit einverstanden ist oder nicht. Die Prüfung erfolgt daher nach Eingang, aber vor der Gutschrift: Die Einzahlung bleibt ausstehend, bis die Prüfung abgeschlossen ist. Geht eine Travel-Rule-Nachricht vor der Überweisung ein, können die Angaben zum Auftraggeber und die Absenderadresse vorab geprüft und der sendende VASP aufgefordert werden, die Überweisung nicht zu senden.

Gelder von einer bezeichneten Adresse: einfrieren und melden

Geht eine Einzahlung direkt von einer bezeichneten Adresse ein, ist der Impuls, sie „zurückzusenden“, falsch. Die Rückgabe der Gelder würde einer bezeichneten Partei Vermögenswerte verfügbar machen, genau das, was das Verbot untersagt. Das übliche Verfahren ist:

1. die Einzahlung nicht gutschreiben oder auf eine getrennte, vom Unternehmen kontrollierte Wallet übertragen und als eingefroren erfassen;
2. das Kundenkonto bis zum Abschluss der Prüfung einschränken;
3. die Übereinstimmung mit dem Sanktionsbeauftragten bestätigen und dabei den Listeneintrag oder die Zuordnung, die txid und den Betrag dokumentieren;
4. die eingefrorenen Vermögenswerte innerhalb der Frist zu melden, die das jeweilige Regelwerk vorgibt, und einen Verdachtsbericht bei der Financial Intelligence Unit einzureichen, sofern Gründe dafür vorliegen;
5. die Gelder nur auf schriftliche Anweisung oder mit Genehmigung der Behörde freigeben oder übertragen.

Nicht jede Einzahlung aus einer bezeichneten Quelle bedeutet, dass der Kunde eine Straftat begangen hat. Nach öffentlichkeitswirksamen Bezeichnungen haben Unbekannte kleine Beträge von bezeichneten Adressen an bekannte Wallets gesendet. Diese Praxis wird Dusting genannt. Der Dust selbst wird weiterhin eingefroren und gemeldet, aber das Kundenkonto sollte anhand des Gesamtbilds beurteilt und nicht automatisch geschlossen werden.

Ein durchgearbeitetes Beispiel

Ein Privatkunde, der vor acht Monaten aufgenommen wurde und eine bescheidene Handelsaktivität aufweist, erhält eine Einzahlung von 2,4 ETH aus einer nicht verwahrten Wallet. Die Risiko-Engine meldet ein indirektes Risiko: 35 % des Werts lassen sich einen Hop zurück bis zu einem Cluster verfolgen, der einer bezeichneten Börse zugeordnet ist. Nach der obigen Richtlinie muss die Einzahlung zurückgehalten werden.

Der Analyst bearbeitet den Fall Schritt für Schritt:

1. Quelle prüfen. Die Zuordnung stammt aus einer Analyse und nicht von einer Listenadresse. Der Analyst prüft die Kennzeichnungshistorie des Clusters und stellt fest, dass sie bereits vor der Bezeichnung stabil war. Das stützt die Zuordnung.
2. Zwischen-Wallet untersuchen. Sie erhielt zwei Stunden vor der Weiterleitung an den Kunden Gelder aus dem bezeichneten Cluster und weist keine weiteren Aktivitäten auf. Dieses Muster deutet auf eine Durchlaufadresse hin, nicht auf einen unbeteiligten Dritten.
3. Kunden befragen. In einer Informationsanfrage wird gefragt, wer die Gelder gesendet hat und warum. Der Kunde erklärt, ein Freund habe ein Darlehen zurückgezahlt, kann aber die Nutzung der bezeichneten Börse durch den Freund nicht erklären.
4. Entscheiden. Der Sanktionsbeauftragte kommt zu dem Schluss, dass die Gelder wahrscheinlich aus Vermögenswerten einer bezeichneten Partei stammen. Die Einzahlung bleibt eingefroren, das Konto wird eingeschränkt, das Einfrieren wird der zuständigen Behörde gemeldet und ein Verdachtsbericht wird eingereicht.

Wäre die Zwischen-Wallet eine etablierte Wallet mit jahrelanger, vielfältiger Aktivität gewesen und der Anteil der bezeichneten Gelder gering, hätte dieselbe Regel möglicherweise zu einer Freigabe mit verstärkter Überwachung geführt. Aus den Aufzeichnungen sollte hervorgehen, welche Fakten für die Entscheidung ausschlaggebend waren.

Smart Contracts als sanktionierte Objekte

Im August 2022 bezeichneten die Vereinigten Staaten den Mixer Tornado Cash im Rahmen ihres Sanktionsprogramms und listeten dessen Smart-Contract-Adressen statt einer Person oder eines Unternehmens. Dies warf neue Fragen auf: ob Code „Eigentum“ sein kann, ob die Interaktion mit einem unveränderlichen Contract als „Geschäft“ gilt und wie Nutzer zu behandeln sind, die Gelder im Pool hatten. Im November 2024 entschied ein US-Berufungsgericht, dass die unveränderlichen Contracts kein blockierbares Eigentum waren; die Bezeichnung wurde am 21. März 2025 aufgehoben.

Aus diesem Fall lassen sich drei praktische Lehren ziehen. Die Prüfung muss Vertragsadressen umfassen, einschließlich Router- und Pool-Contracts, und darf sich nicht auf extern verwaltete Adressen beschränken. Auszahlungen aus einem bezeichneten Pool stellen direkte Risiken dar, solange die Bezeichnung gilt, selbst wenn der Kunde ursprünglich selbst eingezahlt hat. Und die Aufhebung der Bezeichnung beseitigt zwar das Sanktionsverbot, nicht aber das Geldwäscherisiko: Risiken im Zusammenhang mit Mixern bleiben bei der Überwachung und der Bewertung des Kundenrisikos ein wichtiger Risikoindikator.

Prüfungsschwerpunkt: Listenadressen im Vergleich zu durch Analysen zugeordneten Risiken und warum beide erforderlich sind; direkte und indirekte Risiken, Hops und Wertanteile; Gestaltung und Dokumentation von Hop- und Schwellenwertregeln; Prüfung von Auszahlungen vor der Transaktion (bei Einreichung und vor der Übertragung ins Netzwerk) im Vergleich zur Prüfung von Einzahlungen vor der Gutschrift; warum Gelder von einer bezeichneten Adresse eingefroren und gemeldet, aber niemals zurückgesendet werden; Dusting; Tornado Cash als Kontext für Smart Contracts als sanktionierte Objekte und für den Unterschied zwischen der Aufhebung einer Bezeichnung und verbleibenden Risiken.