Börsen- und Cloud-Konten als Beweismittel

Die meisten Ermittlungen, die on-chain beginnen, enden bei einem Dienst: einer Börse, die weiß, wer die Gelder abgehoben hat, einem Cloud-Konto, in dem das Backup gespeichert ist, oder einem E-Mail-Postfach voller Einzahlungsbestätigungen. Aufzeichnungen dieser Anbieter enthalten oft die Identität und die Absicht, die die Blockchain nicht zeigen kann. Eine Tabellenkalkulation einer Börse beweist sich jedoch nicht selbst: Die untersuchende Person muss wissen, woher sie stammt, ob sie vollständig ist, was jede Spalte bedeutet und ob sie mit der Blockchain übereinstimmt. Diese Lektion behandelt, welche Aufzeichnungen von Anbietern vorliegen, wie man sie authentifiziert, wie man mit dem Live-Zugriff auf Konten umgeht und wie man Anbieterdaten mit On-Chain-Daten abgleicht.

Inhalte von Börsen- und Verwahrungsaufzeichnungen

Wie Aufzeichnungen angefordert werden, wird in der Lektion Zusammenarbeit mit Dienstleistern behandelt; diese Lektion setzt ein, wenn die Antwort eintrifft. Eine typische Bereitstellung einer Börse oder eines Verwahrers enthält:

Aufzeichnungen können auf drei Arten eintreffen, die unterschiedliches Beweisgewicht haben. Bereitstellungen durch Anbieter erfolgen als Reaktion auf ein rechtliches Ersuchen und enthalten Angaben zur Herkunft vom Anbieter. Von Nutzern exportierte Daten, etwa von einer verdächtigen Person heruntergeladene oder von einem Opfer bereitgestellte Kontoauszüge, werden auf Geräten gefunden oder übergeben und müssen mit den Daten des Anbieters abgeglichen werden. Live-Erfassungen sind Aufzeichnungen, die eine ermittelnde Person durch Anmeldung mit entsprechender Befugnis oder Einwilligung sammelt. In einem Befund sollte angegeben werden, auf welche Art von Daten er sich stützt.

Authentifizierung von Anbieteraufzeichnungen

Authentifizierung bedeutet, nachzuweisen, dass eine Aufzeichnung das ist, wofür sie sich ausgibt, und seit ihrer Erstellung nicht verändert wurde.

1. Herkunft. Dokumentieren Sie, wer die Daten angefordert hat, auf welcher Grundlage, über welchen Kanal (ein Strafverfolgungsportal, eine sichere Übertragung, physische Datenträger), wer sie wann erhalten hat.
2. Integrität beim Eingang. Hashen Sie jede gelieferte Datei sofort, speichern Sie das Original unverändert und arbeiten Sie mit Kopien. Wenn der Anbieter eigene Hashwerte bereitstellt, vergleichen Sie diese.
3. Bestätigung. Viele Anbieter können eine Erklärung einer für Aufzeichnungen zuständigen Person vorlegen, in der beschrieben wird, wie die Aufzeichnungen im normalen Geschäftsgang erstellt und aufbewahrt werden. Ob eine solche Erklärung erforderlich ist und welche Form sie haben muss, hängt von der jeweiligen Rechtsordnung ab; sie anzufordern kostet wenig.
4. Bedeutung. Beschaffen Sie ein Datenwörterbuch: welche Zeitzone für Zeitstempel verwendet wird, ob Beträge brutto oder abzüglich Gebühren angegeben werden, was die einzelnen Statuscodes bedeuten und wie interne Übertragungen dargestellt werden.
5. Vollständigkeit. Prüfen Sie, ob der angeforderte Zeitraum, alle Konten und Vermögenswerte sowie alle Aufzeichnungsarten geliefert wurden und ob der Anfangssaldo zuzüglich der Bewegungen dem Endsaldo entspricht.

Tabellenkalkulationsprogramme verursachen vermeidbare Fehler. Lange numerische Kennungen können in wissenschaftliche Schreibweise umgewandelt, führende Nullen entfernt, Beträge gerundet und Datumsangaben in lokale Formate umgedeutet werden. Importieren Sie Anbieterdateien als Text in ein Analysewerkzeug oder eine Datenbank, nehmen Sie Umwandlungen bewusst vor und dokumentieren Sie die Umwandlungsschritte.

Live-Zugriff auf Konten und API-Aufzeichnungen

Manchmal greifen Ermittelnde direkt auf ein Konto zu: mit Einwilligung eines Opfers, mit Zugangsdaten, die bei einer rechtmäßigen Durchsuchung gefunden wurden, oder über die API einer Börse. Auf diese Weise abgerufene Daten können im Ausland gespeichert sein. Artikel 32 des Budapester Übereinkommens erlaubt einer Vertragspartei den Zugriff auf gespeicherte Daten, die sich in einer anderen Vertragspartei befinden, sofern die Person, die rechtmäßig befugt ist, diese offenzulegen, rechtmäßig und freiwillig einwilligt, sowie den Zugriff auf öffentlich zugängliche Daten; darüber hinaus gelten die in der Lektion Rechtliche Befugnisse und internationale Zusammenarbeit beschriebenen Wege. Wenn eine Anordnung zur Herausgabe verfügbar ist, bietet sie in der Regel eine bessere Beweiskette als eine Anmeldung.

Wird Live-Zugriff genutzt, dokumentieren Sie ihn als Live-Maßnahme: mit einer Bildschirmaufzeichnung der Sitzung, der Zeit, dem Konto und jedem heruntergeladenen Export einschließlich seines Hashwerts; bei API-Aufrufen sind außerdem der Endpunkt, die Parameter und die unverändert gespeicherte Rohantwort festzuhalten. Achten Sie darauf, das Konto nicht zu verändern: keine Handelsgeschäfte, keine Einstellungsänderungen, keine Passwortzurücksetzung, die die kontoinhabende Person alarmiert, und keine Maßnahmen, die gegen Vertraulichkeitsvereinbarungen des Anbieters verstoßen würden.

Abgleich von Anbieteraufzeichnungen mit On-Chain-Daten

Eine Anbieteraufzeichnung und die Blockchain sind zwei unabhängige Quellen zu denselben Ereignissen. Der Abgleich prüft beide, und eine abgeglichene Aufzeichnung lässt sich wesentlich schwerer anfechten als jede Quelle für sich allein. Bei Auszahlungen besteht die zentrale Prüfung darin, die Zeilen des Anbieters mit den eigenen Blockchain-Daten der Einheit zu verknüpfen:

-- Anbieter-Auszahlungen mit On-Chain-Ausgaben abgleichen (UTXO-Tabellen)
SELECT w.withdrawal_id, w.txid, w.to_address, w.net_amount_btc,
       o.value_btc, b.block_time_utc,
       CASE
         WHEN w.txid IS NULL THEN 'NO_TXID'
         WHEN t.txid IS NULL THEN 'TXID_NOT_ON_CHAIN'
         WHEN o.txid IS NULL THEN 'ADDRESS_NOT_IN_TX'
         WHEN o.value_btc <> w.net_amount_btc THEN 'AMOUNT_DIFFERS'
         ELSE 'MATCHED'
       END AS status
FROM provider_withdrawals w
LEFT JOIN transactions t ON t.txid = w.txid
LEFT JOIN outputs o ON o.txid = t.txid AND o.address = w.to_address
LEFT JOIN blocks b ON b.block_height = t.block_height
ORDER BY w.requested_utc;

Jede Auszahlungszeile wird zuerst anhand der txid mit der Transaktion abgeglichen, dann mit der Ausgabe, die an die angegebene Adresse zahlt, und schließlich mit dem zugehörigen Block, um den Bestätigungszeitpunkt zu ermitteln. Left Joins erhalten Anbieterzeilen, für die es keine Übereinstimmung gibt; der CASE-Ausdruck ordnet sie verständlichen Kategorien zu, statt sie zu verwerfen. Die Beträge werden abzüglich der Auszahlungsgebühr des Anbieters verglichen, weshalb das Datenwörterbuch wichtig ist. Bei Chains mit kontobasiertem Modell wird die Verknüpfung mit Ausgaben durch eine Verknüpfung mit Übertragungen oder Token-Transfer-Protokollen ersetzt, wobei ein Log-Index an die Stelle der Ausgabe tritt.

Ein durchgeführter Abgleich von fünf Auszahlungen eines Kontos:

Jede Zeile endet entweder mit einer Übereinstimmung oder einer Erklärung. W-103 ist typisch: Interne Übertragungen zwischen Kunden desselben Dienstes werden als Einträge im Ledger des Anbieters erfasst; daher sind die Aufzeichnungen des Anbieters der einzige Beleg dafür (siehe die Lektion Nachverfolgung über Verwahrungsdienste). W-104 zeigt, warum eine Sammeltransaktion nicht vollständig einer einzelnen Person als Kunde zugerechnet werden darf. Einzahlungen werden auf dieselbe Weise abgeglichen. Dabei ist zu beachten, dass Anbieter Einzahlungen später an Hot Wallets weiterleiten. Zeitunterschiede sollten mit der Zeitzone des Anbieters und der Zeitspanne zwischen Anfrage, Übertragung und Bestätigung erklärt werden.

Cloud-Konten als Beweismittel

Cloud-Dienste speichern, was Nutzer sicher aufbewahren oder synchronisieren möchten: Fotos von Seed-Phrasen, Wallet-Backups, Tabellen mit Adressen, Passwortmanager-Tresore, Notizen und E-Mails mit Benachrichtigungen der Börse zu Einzahlungen, Auszahlungen, Anmeldungen und KYC-Schritten. Diese Aufzeichnungen werden wie Börsenaufzeichnungen beschafft und authentifiziert: frühzeitig gesichert, auf rechtlicher Grundlage bereitgestellt, beim Eingang gehasht und auf Vollständigkeit geprüft.

Der Hack von Bitfinex im Jahr 2016 zeigt den Wert ihrer Kombination mit Blockchain-Daten. Im Rahmen eines Durchsuchungsbeschlusses beschafften die Ermittelnden eine Datei aus einem Cloud-Speicherkonto und entschlüsselten sie. Sie enthielt etwa 2.000 Adressen für virtuelle Währungen samt privaten Schlüsseln. Die Blockchain-Analyse verknüpfte fast alle diese Adressen mit dem Diebstahl. Am 31. Januar und 1. Februar 2022 beschlagnahmten die Behörden von diesen Adressen etwa 94.636 BTC. Die Cloud-Datei lieferte einen Nachweis der Kontrolle und eine Verbindung zu ihrer Inhaberin oder ihrem Inhaber; die Blockchain bestätigte, dass es sich bei den Adressen um die gestohlenen Gelder handelte. Keine der beiden Quellen hätte allein dasselbe Beweisgewicht gehabt.

Prüfungsschwerpunkt: Inhalte von Börsenaufzeichnungen (KYC, Ledger, Einzahlungen, Auszahlungen, Handel, Zugriffsprotokolle, Fiat-Zahlungswege) und der jeweilige forensische Nutzen; Bereitstellungen durch Anbieter gegenüber von Nutzern exportierten Daten und Live-Erfassungen; die fünf Authentifizierungsschritte (Herkunft, Integrität beim Eingang, Bestätigung, Bedeutung, Vollständigkeit) und Fallstricke bei Tabellenkalkulationen; Dokumentation von Live- und API-Zugriffen sowie der Einwilligungsweg nach Artikel 32 des Budapester Übereinkommens; Abgleich von Auszahlungen anhand von txid, Adresse, Nettobetrag und Zeitpunkt; Erklärung interner Übertragungen, Gebühren, Sammeltransaktionen und abgebrochener Anfragen; Cloud-Konten als Quellen für Schlüssel, Backups und Benachrichtigungen; der Fall Bitfinex als Beispiel für die Kombination von Cloud- und Blockchain-Beweisen.