Nachverfolgung über Verwahrdienste

Die meisten Spuren enden, zumindest vorerst, bei einem Verwahrdienst: einer Börse, einem Broker, einer Verwahr-Wallet, einem Zahlungsdienstleister oder einer Glücksspielseite. An dieser Grenze wird die Ermittlung oft erfolgversprechend, weil der Dienst Aufzeichnungen besitzt und Gelder einfrieren kann. Zugleich überschreiten schwach belegte Berichte hier häufig die Grenzen des Belegbaren. In dieser Lektion geht es darum, wie sich belegen lässt, dass Gelder in einen Dienst eingegangen sind, was über Vorgänge innerhalb des Dienstes gesagt werden kann und was nicht, wann die Nachverfolgung beendet und die Herausgabe von Aufzeichnungen beantragt werden sollte und wie sich die Nachverfolgung von der Auszahlungsseite aus fortsetzen lässt.

Die Grenze des Dienstes belegen

In der IDFE-BA-Lektion Wertströmen über Börsen und Dienste folgen werden Einzahlungsadressen, Sweeps, Hot Wallets und Sammeladressen erläutert. Die forensische Frage ist enger gefasst: Auf welcher Grundlage sagen Sie, dass eine Adresse eine Einzahlungsadresse eines bestimmten Dienstes ist, und wie belastbar ist diese Grundlage?

Dokumentieren Sie die Attributionsgrundlage als eigenen Eintrag, einschließlich Quelle und Abrufdatum, damit der Hop-Eintrag darauf verweisen kann (siehe die Lektion Attributionsquellen und ihre Zuverlässigkeit). Nach den Einstufungen aus der Lektion Nachverfolgung nach einem Beweismaßstab hat der Geldfluss zur Adresse in der Regel Grad A, während die Behauptung, die Adresse gehöre zu einem Dienst, bis zur Bestätigung durch den Dienst Grad C hat.

Im Inneren der Blackbox

Sobald Gelder in die Sammel-Wallets eines Dienstes weitergeleitet werden, wird das Geld des Kunden zu einem Eintrag in einem privaten Hauptbuch. Innerhalb dieses Hauptbuchs kann der Kunde in andere Vermögenswerte tauschen, ohne On-Chain-Transaktion auf das Konto eines anderen Kunden überweisen, auf ein Bankkonto auszahlen oder Kryptowährungen abheben, die aus der Einzahlung einer anderen Person stammen. Nichts davon ist On-Chain sichtbar. FIFO oder Haircut auf eine Hot Wallet anzuwenden, ergibt zwar Zahlen, aber diese beschreiben die Regel und nicht die Bücher des Dienstes.

Die linke Spalte enthält Aussagen, die in einem forensischen Bericht stehen können. Für die rechte Spalte sind Aufzeichnungen erforderlich.

Wann die Nachverfolgung beendet und Aufzeichnungen angefordert werden sollten

Die Entscheidung, die On-Chain-Arbeit bei einem Dienst zu beenden, sollte in den Fallnotizen festgehalten werden, einschließlich des Zeitpunkts und der Gründe dafür. Beenden Sie die Nachverfolgung und fordern Sie Aufzeichnungen an, wenn:

1. die Gelder auf einer angegebenen Grundlage in einen Verwahrdienst eingegangen sind, idealerweise mit Grad B oder C;
2. weitere On-Chain-Arbeit nur Rückschlüsse auf Vorgänge innerhalb des Dienstes ermöglichen würde;
3. die Gelder sich noch auf dem Konto befinden könnten und eine Verzögerung die Wiedererlangung erschwert;
4. das Anforderungspaket fertig ist: Einzahlungsadressen oder Tags, TxIDs mit Verweisen auf Ausgaben oder Logs, Beträge in Basiseinheiten, UTC-Zeitangaben, der Pfad, die Methode und die Einstufungen.

Anträge auf Sicherung und Einfrieren haben Vorrang, da ein Guthaben in einer Hot Wallet binnen Minuten verschwinden kann; die Analyse läuft parallel weiter. Die Erstellung des Antrags wird in der Lektion Zusammenarbeit mit Dienstleistern behandelt. Bitten Sie aus Sicht der Nachverfolgung um alles, was Sie benötigen, um die Nachverfolgung fortzusetzen: das vollständige interne Hauptbuch des Kontos für den fraglichen Zeitraum (Einzahlungen, Trades und Umrechnungen, interne Überweisungen auf andere Konten, Fiat- und Krypto-Auszahlungen) sowie für jede Krypto-Auszahlung den Vermögenswert, die Blockchain, den Betrag, die Gebühr, die Zieladresse, die TxID und die Uhrzeit mit Zeitzone. Fragen Sie außerdem nach weiteren dem Konto zugewiesenen Einzahlungsadressen, gespeicherten Auszahlungsadressen und Konten, die über Gerät, IP-Adresse oder Zahlungsinstrument verknüpft sind. Fordern Sie maschinenlesbare Exporte an.

Analyse der Auszahlungsseite

Wenn die Aufzeichnungen eintreffen, wird die Nachverfolgung anhand der Auszahlungen fortgesetzt. Fortsetzung des Falls: Börse K meldet, dass die Einzahlung von 1,2 BTC gutgeschrieben wurde, dass sich weitere Gelder auf dem Konto befanden und dass folgende Auszahlungen vorgenommen wurden:

Jede gemeldete Auszahlung wird zunächst mit der Blockchain abgeglichen, bevor weitere Schlüsse daraus gezogen werden:

-- Gemeldete Bitcoin-Auszahlungen mit On-Chain-Ausgaben abgleichen
SELECT r.record_id, r.txid, r.dest_address,
       r.amount_sat                AS reported_sat,
       o.value_sat                 AS onchain_sat,
       r.amount_sat - o.value_sat  AS difference_sat,
       b.block_time
FROM provider_withdrawals r
LEFT JOIN outputs o ON o.txid = r.txid AND o.address = r.dest_address
LEFT JOIN blocks  b ON b.block_hash = o.block_hash
WHERE r.chain = 'bitcoin'
ORDER BY r.requested_at;

Die Left Joins behalten jeden Datensatz bei, auch wenn keine passende Ausgabe vorhanden ist. Angenommen, W-1 ergibt einen On-Chain-Wert von 49.990.000 Satoshi, eine Differenz von 10.000, die der veröffentlichten Auszahlungsgebühr der Börse entspricht: Der Datensatz gibt den Betrag vor Abzug der Gebühr an. Angenommen, W-3 ergibt keine Ausgabe: Die TxID existiert, zahlt aber an eine andere Adresse aus. Das ist eine Abweichung, die dem Dienst zurückgemeldet werden sollte, nicht etwas, das stillschweigend zu korrigieren ist. W-2 wird auf dieselbe Weise mit den Token-Transfers auf Tron abgeglichen. Die umfassendere Authentifizierung von Aufzeichnungen eines Anbieters wird in der Lektion Börsen- und Cloud-Konten als Beweismittel behandelt.

Daraus folgen drei Punkte. Erstens ist eine Auszahlung, die sowohl durch Aufzeichnungen als auch durch die Blockchain bestätigt wird, eine Verbindung mit Grad B zwischen dem Konto und dem Ziel. Zweitens ist die Umwandlung in USDT auf Tron nur in den Aufzeichnungen sichtbar; innerhalb der Blackbox hat die Nachverfolgung den Vermögenswert und die Blockchain gewechselt. Drittens ist auch das interne Hauptbuch ein gemischtes Konto: Die 1,2 BTC wurden einem Konto gutgeschrieben, auf dem sich weitere Gelder befanden. Daher ist auch hier die Frage, welcher Anteil jeder Auszahlung auf den Geschädigten zurückgeht, eine Zuordnungsfrage, die anhand der Hauptbucheinträge und mit einer offengelegten Methode berechnet wird (siehe die Lektion Nachverfolgungsmethoden und ihre Folgen).

Korrelation von Zeitpunkt und Betrag

Ohne Aufzeichnungen oder während man darauf wartet, suchen Ermittler oft nach einer Auszahlung, die der Einzahlung ähnelt. Das ist ein Rückschluss mit Grad D; sein Wert hängt davon ab, wie viele Alternativen es gibt. Im obigen Fall tätigte die Hot Wallet des Dienstes in der Stunde nach der Einzahlung 212 Auszahlungen, davon neun zwischen 1,15 und 1,20 BTC. Eine Kandidatenmenge von neun ist ein Hinweis, dem Priorität eingeräumt werden kann, aber keine Verbindung.

Korrelation versagt auch genau in den Fällen, auf die es ankommt. Die Aufzeichnungen zeigen Auszahlungen von 0,5 und 0,3 BTC sowie eine Umwandlung in einen Stablecoin, der auf einer anderen Blockchain ausgezahlt wurde; eine Suche nach einem Betrag von etwa 1,2 BTC innerhalb eines bestimmten Zeitfensters hätte mit großer Sicherheit auf einen unbeteiligten Kunden hingewiesen. Nutzen Sie Korrelation, um Fragen an den Dienst zu formulieren („Bitte bestätigen Sie das Konto hinter der Einzahlung bc1q…dx7e und dessen Auszahlungen zwischen 14:00 und 16:00 UTC“). Falls Sie sie überhaupt im Bericht erwähnen, geben Sie die Größe der Kandidatenmenge und das verwendete Zeitfenster an. Die IDFE-BA-Lektion Sicherheit, Unsicherheit und Formulierungen zeigt, wie Kandidaten gezählt werden.

Sammeldienste und Zahlungsdienstleister

Nicht jeder Verwahrdienst ist eine Börse, und bei manchen ist mehr als eine Anfrage erforderlich.

• Eingebettete Dienste: ein Broker, Swap-Dienst oder eine kleinere Börse, die ein Konto bei einer großen Börse unterhält. Die Aufzeichnungen der großen Börse verweisen auf den eingebetteten Dienst; eine zweite Anfrage an diesen ist erforderlich, häufig in einem anderen Rechtsraum (siehe die Lektion Rechtsgrundlage und internationale Zusammenarbeit).
• Zahlungsdienstleister: Viele erstellen für jede Rechnung eine neue Adresse und leiten die Gelder an ihre eigenen Wallets weiter. Ihre Aufzeichnungen identifizieren den Händler und die Bestellung; der Händler verfügt möglicherweise anschließend über die Angaben des Käufers, was eine zweite Anfrage erforderlich macht.
• Verwahr-Wallets, Glücksspielseiten und OTC-Desks: Sie bündeln Gelder wie Börsen, wobei die Aufzeichnungen von detailliert bis dürftig reichen. Auch ein Dienst ohne Identitätsprüfungen kann IP-Adressen, Gerätedaten, E-Mail-Adressen und Auszahlungsziele speichern.

Dokumentieren Sie bei jedem dieser Dienste die Grenze auf dieselbe Weise: die Grundlage für die Attribution des Dienstes, die genauen Einzahlungen, die versandten zeitkritischen Anfragen und die später durch die Aufzeichnungen gewonnenen Erkenntnisse. Die Spur ist auf der Blockchain unterbrochen, aber nicht in der Fallakte.

Prüfungsschwerpunkt: Einstufung der Behauptung, eine Adresse sei die Einzahlungsadresse eines Dienstes (Aufzeichnungen, selbst veröffentlichte Listen, Weiterleitung an eine gut attribuierte Hot Wallet, Kennzeichnungen mit und ohne Herkunftsnachweis); welche Aussagen über Gelder innerhalb eines Dienstes durch On-Chain-Daten belegt sind und welche nicht; Kriterien für das Beenden der On-Chain-Arbeit und das Anfordern von Aufzeichnungen, wobei Sicherung und Einfrieren Vorrang haben; die Hauptbuch- und Auszahlungsfelder, die für die Fortsetzung einer Nachverfolgung benötigt werden; Abgleich gemeldeter Auszahlungen mit der Blockchain und Umgang mit Gebührenunterschieden und Abweichungen; Behandlung des internen Hauptbuchs als gemischtes Konto; Korrelation von Betrag und Zeitpunkt als Hinweis mit Grad D unter Angabe der Kandidatenmenge; eingebettete Dienste und Zahlungsdienstleister, bei denen eine zweite Anfrage erforderlich ist.