Nachverfolgung über Börsen und Verwahrdienste

Früher oder später führt fast jede Nachverfolgung zu einer Börse, einem Broker, einer verwahrten Wallet, einem Zahlungsabwickler oder einer Glücksspielseite. An dieser Grenze kann eine Untersuchung häufig zum Erfolg geführt werden, weil der Dienst seine Kunden kennt, Aufzeichnungen führt und Gelder einfrieren kann. Hier endet aber auch die On-Chain-Nachverfolgung, und hier gehen schwache Berichte mit ihren Aussagen zu weit. Diese Lektion behandelt, wie Dienste on-chain erscheinen, wie Sie belegen, dass Gelder bei einem solchen Dienst eingegangen sind, welche Aussagen über interne Vorgänge möglich sind, wann Sie die Nachverfolgung beenden und Aufzeichnungen anfordern sollten und wie Sie auf der Auszahlungsseite fortfahren.

Wie ein Verwahrdienst on-chain erscheint

Die meisten zentralisierten Börsen folgen einer ähnlichen Architektur:

• Einzahlungsadressen: Jeder Kunde erhält eine oder mehrere Adressen, die der Börse gehören, aber seinem Kundenkonto zugeordnet sind; dorthin gesendete Gelder werden im internen Kontenbuch der Börse gutgeschrieben.
• Sweeps: Die Börse verschiebt Gelder regelmäßig von vielen Einzahlungsadressen in eine zentrale Hot Wallet: auf UTXO-Blockchains durch eine große Transaktion, die viele Eingänge zusammenführt, oder auf Ethereum durch eine Reihe von Transfers an dasselbe Ziel, häufig nachdem die Börse etwas ETH für Gas gesendet hat.
• Cold Storage: Der Großteil der Reserven wird von der Hot Wallet in Offline- oder Multisig-Wallets und bei Bedarf wieder zurück verschoben.
• Auszahlungen: Diese erfolgen aus der Hot Wallet und werden häufig in einer Transaktion mit vielen Outputs gebündelt.

Einige Dienste verwenden stattdessen Omnibus-Einzahlungsadressen: Eine Adresse empfängt Gelder für alle Kunden, und der Kunde wird durch einen in der Transaktion enthaltenen Tag oder ein Memo identifiziert, etwa den Destination Tag auf dem XRP Ledger oder das Memo-Feld auf Stellar. Die Adresse identifiziert dann nur den Dienst; der Tag identifiziert den Kunden, und eine ohne ihn gesendete Einzahlung erfordert üblicherweise eine manuelle Wiederherstellung durch den Dienst.

Eine fiktive Ethereum-Sequenz zeigt das Einzahlungs- und Sweep-Muster:

Block      von           an            Betrag (ETH)  Anmerkung
21004112   0xF00d…11  →  0x7c3E…a2     2.5000        Einzahlung aus untersuchter Wallet
21004140   0x9aB4…07  →  0x7c3E…a2     0.7500        zweiter Absender, gleiche Einzahlungsadresse
21004233   0x7c3E…a2  →  0xE1f9…44     3.2489        Sweep zur Hot Wallet (3,25 abzüglich Gas)
21004990   0xE1f9…44  →  0x51e0…3b     3.1000        Auszahlung durch irgendeinen Kunden

Die ersten drei Zeilen sind starke Belege: 0x7c3E…a2 leitet alles an 0xE1f9…44 weiter, die als Hot Wallet der Börse gekennzeichnet ist. Daher ist 0x7c3E…a2 mit hoher Wahrscheinlichkeit eine Einzahlungsadresse dieser Börse, die einem Konto zugeordnet ist. Dass zwei verschiedene Wallets auf dieselbe Einzahlungsadresse einzahlen, deutet außerdem darauf hin, dass beide mit demselben Kunden verbunden sind (Lektion 4.3). Die vierte Zeile lässt sich überhaupt nicht mit der Einzahlung verknüpfen.

Nicht jeder Dienst beendet die Spur. Ordnen Sie die Dienste daher ein, bevor Sie beginnen:

Die nicht verwahrenden Einträge sind Mechanismen statt Gegenparteien; ihre Nachverfolgung wird in Modul 5 behandelt.

Die Grenze zum Dienst belegen

Die forensische Frage ist eng gefasst: Auf welcher Grundlage sagen Sie, dass eine Adresse eine Einzahlungsadresse eines bestimmten Dienstes ist, und wie belastbar ist diese Grundlage? Unter Verwendung der Grade aus Lektion 3.2:

Erfassen Sie die Zuordnungsgrundlage als eigenen Eintrag mit Quelle und Abrufdatum, damit der Hop-Datensatz darauf verweisen kann (Lektion 4.6). Üblicherweise hat der Geldfluss zur Adresse Grad A, während die Aussage, dass die Adresse zu einem Dienst gehört, bis zur Bestätigung durch den Dienst auf Grad C bleibt.

Innerhalb der Blackbox

Sobald Gelder durch Sweeps in Sammelwallets gelangen, wird das Geld des Kunden zu einem Eintrag in einem privaten Kontenbuch. Darin kann der Kunde in andere Vermögenswerte handeln, ohne On-Chain-Transaktion an einen anderen Kunden übertragen, auf ein Bankkonto auszahlen oder Kryptowährungen auszahlen, die aus der Einzahlung eines anderen Kunden stammen. Eine spätere Auszahlung wird aus den Coins beglichen, die sich gerade in der Hot Wallet befinden. Die Anwendung von FIFO oder Haircut auf eine Hot Wallet liefert zwar Zahlen, diese beschreiben jedoch die Regel und nicht die Bücher des Dienstes. Deshalb behandeln die meisten Prüfer einen gekennzeichneten Dienst als Endpunkt und berichten „eingezahlt bei“, nicht „durchgeleitet durch“.

Die linke Spalte enthält das, was in einem forensischen Bericht steht. Die rechte Spalte erfordert Aufzeichnungen.

Die Grenze ist keine Sackgasse, sondern ein Übergabepunkt. Anhand der Blockchain können Sie weiterhin feststellen, welcher Dienst die Gelder erhalten hat und auf welcher Grundlage diese Feststellung beruht; die Einzahlungsadresse, die bei den meisten Architekturen einem Kundenkonto zugeordnet ist (oder die Omnibus-Adresse samt Tag); die genauen Einzahlungen mit Txid, Blockhöhe, UTC-Zeit, Vermögenswert, Betrag, Pfad, Hop-Anzahl und Zuordnungsmethode; sowie weitere Einzahlungen an dieselbe Adresse, die zusätzliche Aktivitäten der untersuchten Person oder weitere Geschädigte offenlegen können.

Wann Sie aufhören und Aufzeichnungen anfordern sollten

Die On-Chain-Arbeit bei einem Dienst einzustellen, ist eine Entscheidung. Die Fallnotizen sollten festhalten, wann und warum sie getroffen wurde. Beenden Sie die Nachverfolgung und fordern Sie Aufzeichnungen an, wenn:

1. die Gelder auf einer angegebenen Grundlage, idealerweise Grad B oder C, bei einem Verwahrdienst eingegangen sind;
2. weitere On-Chain-Arbeit nur noch Schlussfolgerungen über interne Vorgänge liefern könnte;
3. sich die Gelder möglicherweise noch auf dem Konto befinden, sodass Verzögerungen die Rückgewinnung gefährden;
4. das Anfragepaket bereit ist: Einzahlungsadressen oder Tags, Txids mit Output- oder Log-Verweisen, Beträge in Basiseinheiten, UTC-Zeiten, der Pfad, die Methode und die Grade.

Wer Aufzeichnungen erlangen darf und auf welchem Weg, hängt von der Rechtsordnung ab. Im Allgemeinen kommt die Anfrage von einer zuständigen Behörde (Polizei, Staatsanwaltschaft, Financial Intelligence Unit oder Gericht) oder von einem Geschädigten im Rahmen eines Zivilverfahrens und durchläuft diese Schritte:

Datensicherung und Einfrieren haben Vorrang, weil ein Guthaben in einer Hot Wallet innerhalb weniger Minuten abfließen kann; die Analyse läuft parallel weiter. Nach dem Diebstahl bei Bybit im Jahr 2025 veröffentlichte das FBI beispielsweise Dutzende mit der Geldwäsche verknüpfte Adressen und bat Börsen, Bridges und andere Dienste, daraus abgeleitete Transaktionen zu blockieren. Das Verfassen der Anfrage wird in Lektion 1.4 behandelt. Fordern Sie für die Nachverfolgung das an, was Sie zur Fortsetzung benötigen: das vollständige interne Kontenbuch des Kontos für den betreffenden Zeitraum (Einzahlungen, Handelsgeschäfte und Umwandlungen, interne Transfers, Fiat- und Kryptoauszahlungen) sowie für jede Kryptoauszahlung den Vermögenswert, die Blockchain, den Betrag, die Gebühr, die Zieladresse, die Txid und den Zeitpunkt samt Zeitzone. Fordern Sie außerdem andere dem Konto zugewiesene Einzahlungsadressen, gespeicherte Auszahlungsadressen und über Gerät, IP-Adresse oder Zahlungsmittel verknüpfte Konten in maschinenlesbarer Form an. Halten Sie das Paket kurz und präzise: Das Compliance-Team des Empfängers sucht nach Adresse und Txid, nicht anhand einer Schilderung.

Analyse auf der Auszahlungsseite

Wenn die Aufzeichnungen eintreffen, wird die Nachverfolgung bei den Auszahlungen fortgesetzt. In Fortführung des Falls aus Lektion 3.2 meldet Börse K, dass die Einzahlung von 1,2 BTC gutgeschrieben wurde, dass das Konto auch andere Gelder hielt und dass es folgende Auszahlungen vorgenommen hat:

Jede gemeldete Auszahlung wird anhand der Blockchain überprüft, bevor weitere Schlussfolgerungen darauf aufgebaut werden:

-- Gemeldete Bitcoin-Auszahlungen mit On-Chain-Outputs abgleichen
SELECT r.record_id, r.txid, r.dest_address,
       r.amount_sat                AS reported_sat,
       o.value                     AS onchain_sat,
       r.amount_sat - o.value      AS difference_sat,
       o.block_number, o.block_timestamp
FROM provider_withdrawals r
LEFT JOIN outputs o ON o.transaction_hash = r.txid
                   AND o.address = r.dest_address
WHERE r.chain = 'bitcoin'
ORDER BY r.requested_at;

provider_withdrawals ist der als Falltabelle geladene Export des Dienstes; outputs folgt dem generischen Schema aus den Lektionen 2.7 und 2.9. Der Left Join behält jeden Datensatz bei, auch wenn kein passender Output existiert. Angenommen, W-1 liefert einen On-Chain-Wert von 49.990.000 Satoshis: Die Differenz von 10.000 Satoshis entspricht der veröffentlichten Auszahlungsgebühr der Börse, sodass der Datensatz den Betrag vor Abzug der Gebühr angibt. Angenommen, W-3 liefert keinen Output: Die Txid existiert, zahlt aber an eine andere Adresse. Das ist eine Unstimmigkeit, die Sie an den Dienst zurückmelden müssen, statt sie stillschweigend zu korrigieren. W-2 wird auf die gleiche Weise anhand der Tron-Token-Transfers überprüft. Eine umfassendere Authentifizierung von Anbieteraufzeichnungen wird in Lektion 7.5 behandelt.

Daraus folgen drei Punkte. Erstens ist eine sowohl durch Aufzeichnungen als auch durch die Blockchain bestätigte Auszahlung eine Verknüpfung des Grades B zwischen dem Konto und dem Ziel. Zweitens ist die Umwandlung in USDT auf Tron nur in den Aufzeichnungen sichtbar: Die Nachverfolgung wechselte innerhalb der Blackbox den Vermögenswert und die Blockchain. Drittens ist das interne Kontenbuch selbst ein gemischtes Konto. Die 1,2 BTC wurden einem Konto gutgeschrieben, das andere Gelder hielt. Welcher Anteil jeder Auszahlung auf Werte der Geschädigten entfällt, ist daher erneut eine Zuordnungsfrage, die anhand der Kontenbucheinträge mit einer offengelegten Methode berechnet wird (Lektion 3.3).

Zeit- und Betragskorrelation

Ohne Aufzeichnungen oder während sie auf diese warten, suchen Prüfer häufig nach einer Auszahlung, die der Einzahlung ähnelt. Dies ist eine Schlussfolgerung des Grades D, deren Wert davon abhängt, wie viele Alternativen existieren. In diesem Fall nahm die Hot Wallet in der Stunde nach der Einzahlung 212 Auszahlungen vor, davon neun zwischen 1,15 und 1,20 BTC. Eine Kandidatenmenge von neun ist ein Hinweis zur Priorisierung, keine Verknüpfung.

Korrelation versagt zudem genau dann, wenn es darauf ankommt. Die Aufzeichnungen zeigen Auszahlungen von 0,5 und 0,3 BTC sowie eine Umwandlung in einen Stablecoin, der auf einer anderen Blockchain ausgezahlt wurde; eine Betrags- und Zeitsuche nach etwa 1,2 BTC hätte mit scheinbarer Sicherheit auf einen unbeteiligten Kunden verwiesen. Nutzen Sie Korrelation, um Fragen an den Dienst zu formulieren („Bitte bestätigen Sie das Konto hinter der Einzahlung an bc1q…dx7e und dessen Auszahlungen zwischen 14:00 und 16:00 UTC“), und geben Sie, wenn Sie überhaupt darüber berichten, die Größe der Kandidatenmenge und das verwendete Zeitfenster an.

Verschachtelte Dienste und Zahlungsabwickler

Nicht jeder Verwahrdienst ist eine Börse, und manche erfordern mehr als eine Anfrage.

• Verschachtelte Dienste: Ein Broker, eine Tauschstelle oder eine kleinere Börse, die ein Konto bei einer großen Börse unterhält. Gelder von der Einzahlungsadresse des verschachtelten Dienstes gehören dessen Kunden. Daher nennen die Aufzeichnungen der großen Börse den Vermittler, und eine zweite Anfrage ist erforderlich, häufig in einer anderen Rechtsordnung.
• Zahlungsabwickler: Viele erzeugen für jede Rechnung eine neue Adresse und führen Sweeps in ihre eigenen Wallets durch. Ihre Aufzeichnungen identifizieren den Händler und die Bestellung; die Käuferdaten können beim Händler liegen, was eine zweite Anfrage bedeutet.
• Verwahrte Wallets, Glücksspielseiten und OTC-Handelsstellen: Sie bündeln Gelder wie Börsen, mit Aufzeichnungen, die von detailliert bis spärlich reichen. Auch ein Dienst ohne Identitätsprüfungen kann IP-Adressen, Gerätedaten, E-Mail-Adressen und Auszahlungsziele vorhalten.

Der Hack der Börse Bitfinex im Jahr 2016 zeigt die Übergabe in großem Maßstab. Nach Angaben des US Department of Justice sandte der Angreifer in mehr als 2.000 unbefugten Transaktionen 119.754 BTC an eine einzige Wallet. Über etwa fünf Jahre flossen daraus rund 25.000 BTC über unter falschen Identitäten eröffnete Konten bei Börsen und Darknet-Märkten ab (Konten beim Markt AlphaBay dienten als Durchlaufstation: Einzahlung hinein und entsprechende Beträge hinaus), über Umwandlungen unter anderem in Privacy Coins sowie über Mixing-Dienste. Jeder Verwahrdienst unterbrach die On-Chain-Spur und war zugleich eine Quelle für Aufzeichnungen: Gelder, die bis zu einem Dienst verfolgt wurden, der Geschenkkarten gegen Kryptowährungen verkaufte, führten über Aufzeichnungen zum Einlöseort einer Karte zu den Angeklagten. Ein Durchsuchungsbeschluss brachte anschließend den Inhalt eines Cloud-Speicherkontos zutage, das eine verschlüsselte Datei mit den privaten Schlüsseln der Wallet enthielt (Lektion 7.5). Ermittler entschlüsselten die Datei am 31. Januar 2022 und nutzten die Schlüssel zwischen dem 31. Januar und dem 1. Februar 2022, um das verbleibende Guthaben der Wallet von ungefähr 94.636 BTC zu beschlagnahmen. Die On-Chain-Nachverfolgung fand die Endpunkte bei den Diensten; Off-Chain-Aufzeichnungen schlossen die Lücken.

Dokumentieren Sie die Grenze bei jedem Dienst auf dieselbe Weise: die Grundlage für die Zuordnung zum Dienst, die genauen Einzahlungen, die versandten zeitkritischen Anfragen und das, was die Aufzeichnungen später ergänzten. Die Spur ist on-chain unterbrochen, nicht aber in der Fallakte.

Prüfungsschwerpunkt: die On-Chain-Architektur einer verwahrenden Börse (Einzahlungsadressen, Sweeps, Hot und Cold Wallets, gebündelte Auszahlungen) sowie Omnibus-Adressen mit Tags oder Memos; welche Diensttypen die On-Chain-Nachverfolgung beenden; die Einstufung der Aussage, dass eine Adresse eine Einzahlungsadresse eines Dienstes ist; welche Aussagen über Gelder innerhalb eines Dienstes durch On-Chain-Daten gestützt werden und welche nicht; Kriterien für das Beenden der Nachverfolgung und das Anfordern von Aufzeichnungen, wobei Datensicherung und Einfrieren Vorrang haben; die zur Fortsetzung einer Nachverfolgung benötigten Kontenbuch- und Auszahlungsfelder; die Überprüfung gemeldeter Auszahlungen anhand der Blockchain einschließlich Gebührenunterschieden und Unstimmigkeiten; das interne Kontenbuch als gemischtes Konto; Betrags- und Zeitkorrelation als Hinweis des Grades D mit angegebener Kandidatenmenge; verschachtelte Dienste und Zahlungsabwickler, die eine zweite Anfrage erfordern.