Fallstudie: vom Diebstahl zur Wiederbeschaffung

Dieser Abschlussfall begleitet einen fiktiven Fall vom ersten Alarm bis zur Rückführung der Gelder und berührt dabei alle Module des Kurses. Fragen Sie sich bei jedem Schritt, aus welcher Lektion die Maßnahme stammt und welche Aufzeichnung sie hinterlässt. Alle Namen, Adressen und Zahlen sind erfunden, und die Zahlen gehen auf, sodass der Fall zugleich als Abstimmungsübung dient (Netzwerkgebühren außer den Swap-Kosten auf Chain B bleiben unberücksichtigt).

Der Fall auf einen Blick

Am 14. März 2026 um 02:10 UTC plünderte ein Angreifer, der einen Signier-Laptop bei Nordhaven Exchange (Land A) kompromittiert hatte, drei Hot Wallets. Die Kurse zu diesem Zeitpunkt betrugen ETH USD 2.500 und BTC USD 80.000.

Weitere Beteiligte: Brightwater OTC, ein registrierter Broker in Land B; Lumen Exchange in Land C; ein Stablecoin-Herausgeber; ein Smart-Contract-Mixer mit festen Pools zu je 100 ETH; sowie eine Lock-and-Mint-Bridge zu Chain B, einem EVM-Rollup.

Erste Stunde: Fallaufnahme, Sicherung und erste Sperre

Die Überwachungssysteme von Nordhaven schlugen um 02:31 Alarm; die Einsatzleitung rief um 02:40 die Cybercrime-Einheit der Polizei an. Der diensthabende Ermittler eröffnete eine Fallakte und dokumentierte die Fallaufnahme (siehe die Lektion Der Ermittlungslebenszyklus): Die Ausgangsinformationen waren drei Diebstahl-Txids, die Adressen des Angreifers auf zwei Chains und die Beträge je Vermögenswert. Die Techniker von Nordhaven wurden angewiesen, den kompromittierten Laptop nicht zu löschen; davon wurde ein Abbild erstellt und dessen Hash vor der Analyse dokumentiert (siehe die Lektion Hashing, Protokollierung und Beweismittelkette).

Um 02:48 tauschte der Angreifer 1.500.000 USDT gegen 600 ETH auf einer dezentralen Börse. Die verbleibenden 2.500.000 USDT lagen auf einer Adresse. Daher übermittelte der Ermittler den dringenden Sperrantrag aus der Lektion Möglichkeiten der Sperrung und Beschlagnahme; der Herausgeber sperrte die Adresse um 03:05. Bis 03:30 waren Indikatoren über polizeiliche Kanäle und ein branchenweites Warnnetzwerk verbreitet worden.

Nordhaven schlug vor, eine On-Chain-Nachricht zu veröffentlichen, in der dem Angreifer eine Belohnung angeboten würde. Der Ermittler bat darum, damit zu warten, bis das Ermittlungsteam den Wortlaut abgestimmt hätte, damit die Nachricht nicht preisgäbe, was den Ermittlern bekannt war (siehe die Lektion Ethik, Datenschutz und Sicherheit von Ermittlern).

Tage 1–12: Nachverfolgung der Aufteilung

Der Angreifer verfügte nun über 3.000 ETH (2.400 gestohlene plus 600 aus dem Swap) und 50 BTC und teilte diese auf. Das Team bewertete jede Verbindung (siehe die Lektion Nachverfolgung nach einem Beweisstandard).

Der Bridgeschritt folgte der Lektion Bridges: Lock-and-Mint, Burn-and-Release und Liquiditäts-Bridges: Beide Txids, die Nachrichten-ID und der übereinstimmende Betrag wurden in die Nachverfolgung aufgenommen. Beim Mixerschritt wurde die Lektion Smart-Contract-Mixer befolgt: Die Verbindung über die Gasfinanzierung wurde als Schlussfolgerung mit ihrer Grundlage und ihren Einschränkungen dokumentiert. Ein zweiter Prüfer führte jede Nachverfolgung anhand von Node-Daten erneut durch; dabei wurden die Tool-Versionen und Label-Snapshots dokumentiert (siehe die Lektionen Tools, Reproduzierbarkeit und Validierung und Sicherung von On-Chain-Beweismitteln).

Vom Auszahlungsdienst zum Verdächtigen

Die Zuordnung zu Brightwater stützte sich auf zwei Quellen: die veröffentlichten Einzahlungshinweise des Unternehmens und ein Label in zwei unabhängigen Datensätzen, die geprüft und datiert wurden (siehe die Lektion Quellen der Zuordnung und ihre Zuverlässigkeit). Als registrierter Dienstleister in Land B konnte Brightwater über Polizei- und FIU-Kanäle unverzüglich zur Sicherung der Aufzeichnungen aufgefordert werden. Darauf sollte ein Rechtshilfeersuchen aus Land A folgen (siehe die Lektionen Rechtsgrundlage und internationale Zusammenarbeit und Zusammenarbeit mit Dienstleistern). Land A und Land B richteten ein gemeinsames Ermittlungsteam ein.

Aus den Aufzeichnungen von Brightwater ging hervor, dass alle 4.980.000 USDC und die vier Mixer-Auszahlungen (400 ETH beziehungsweise USD 1.000.000 bei einem Kurs von USD 2.500) einem einzigen Unternehmenskonto gutgeschrieben wurden, dessen Geschäftsführer wir Verdächtigen 1 nennen. Brightwater hatte bereits USD 2.980.000 (1.980.000 für USDC und 1.000.000 für ETH) auf ein Bankkonto in Land B ausgezahlt; 3.000.000 USDC befanden sich noch auf dem Konto. Die Aufzeichnungen bestätigten die Schlussfolgerung zum Mixer unabhängig und hoben ihre Einstufung von D auf B an; der Verlauf der Einstufung wurde festgehalten.

Aus den Aufzeichnungen von Lumen ging hervor, dass die sechs Einzahlungen auf Konten dreier Finanzkuriere gingen. Dadurch wurde die Zuordnung zu Lumen auf B angehoben. Die Gerätekennungen, mit denen man sich bei diesen Konten anmeldete, stimmten mit einem Gerät überein, mit dem man sich auch beim Brightwater-Konto von Verdächtigem 1 angemeldet hatte (siehe die Lektion Verknüpfung von On-Chain- und Off-Chain-Kennungen). Die Zuordnungskette verlief von der Adresse über den Cluster, den Dienstleister und das Konto bis zur Person; für jede Ebene gab es eigene Beweismittel (siehe die Lektion Von der Adresse zur Entität und zur Person).

Am 4. April durchsuchten Beamte aus Land B die Wohnung von Verdächtigem 1 auf Grundlage eines Durchsuchungsbeschlusses. Prüfer fanden auf dem Telefon ein Foto einer Seed-Phrase in einer Sicherungskopie einer Notizen-App (siehe die Lektionen Wallets auf beschlagnahmten Geräten und Sicherung und Analyse von Geräten). Unter rechtmäßiger Befugnis wurde die Seed-Phrase auf einem isolierten Prüfgerät wiederhergestellt; damit ließ sich bc1q…9tm4 ableiten (siehe die Lektion Wiederherstellung von Wallets auf rechtmäßiger Grundlage). Die 18 BTC wurden noch am selben Morgen transferiert; dieser Transfer ist die in der Lektion Sicherung beschlagnahmter Krypto-Vermögenswerte dokumentierte Übertragung.

Sperren und Beschlagnahmen

Das Bankkonto war zwei Wochen vor dem Diebstahl eröffnet worden und hatte keine weiteren Gelder erhalten. Daher war keine Zurechnungsmethode erforderlich; der Bericht hielt dies ausdrücklich fest, statt die Frage offenzulassen (siehe die Lektion Nachverfolgungsmethoden und ihre Folgen). Jede Beschlagnahme wurde zum Zeitpunkt der Übertragung anhand einer angegebenen Kursquelle bewertet (siehe die Lektion Verwaltung und Verwertung beschlagnahmter Vermögenswerte). Nordhaven beantragte die Rückgabe der Bitcoins in natura, sodass kein Zwischenverkauf beantragt wurde.

Der Bericht und die Aussage

Der Bericht der leitenden prüfenden Person folgte der in der Lektion Erstellung des forensischen Berichts beschriebenen Struktur: Auftrag, Materialien (mit Hash-Werten für jede Rückgabe eines Dienstleisters und jedes Abbild), Methoden, Feststellungen zu jeder Verbindung samt Vertrauenseinstufungen, Einschränkungen und Anhänge mit Txid-Tabellen. Ein Flussdiagramm stellte nachverfolgte, abgeleitete und nicht nachverfolgte Werte mit verschiedenen Linienstilen dar (siehe die Lektion Visuelle Beweismittel für Gerichte). Vor dem Prozess wurden nicht verwendete Materialien offengelegt, darunter die Quellen der Labels und veröffentlichte Forschung zu den Fehlerraten der Mixer-Heuristik (siehe die Lektion Offenlegung und Prüfung durch die Verteidigung).

Im Kreuzverhör hielt der Verteidiger der prüfenden Person vor, Mixer-Heuristiken seien unzuverlässig. Die prüfende Person räumte ein, dass das Muster der Gasfinanzierung allein nur eine Schlussfolgerung sei (Einstufung D), verwies auf die unabhängige Bestätigung in den Aufzeichnungen von Brightwater, die die Einstufung auf B angehoben hatte, und merkte an, dass die Verbindung USD 1.000.000 von den USD 14.000.000 betraf und keine andere Verbindung von ihr abhing (siehe die Lektion Aussage und Kreuzverhör). Die Einschränkung einzugestehen machte die übrigen Beweismittel glaubwürdiger.

Rückführung der Gelder und Abstimmung

Nordhaven hatte seine Kunden aus Rücklagen entschädigt und trat deshalb als Anspruchsteller auf. Land B und Land C führten die von ihnen verwahrten Vermögenswerte gemäß Vereinbarungen zur Rückgabe von Vermögenswerten an Land A zurück, wie sie die Empfehlung 38 vorsieht. Vor der Übertragung wurde jede Auszahlungsadresse mit einer signierten Nachricht verifiziert (siehe die Lektion Wiederbeschaffung für Opfer und zivilrechtliche Wege). Gleichzeitig wurden Nordhaven-Kunden von gefälschten „Wiederbeschaffungsagenten“ kontaktiert; die Polizei veröffentlichte eine Warnung, dass sie niemals Gebühren erheben würde.

Die Wiederbeschaffungsquote betrug 72,9 % des Verlusts, bewertet zu den Kursen zum Zeitpunkt des Diebstahls; die in natura zurückgegebenen Bitcoins wurden vollständig wiederhergestellt. Die Verluste bei ETH und USDT (USD 10.000.000) wurden zu 62 % durch die Stablecoins und Fiat-Gelder gedeckt.

Prüfungsschwerpunkt: Prioritäten in der ersten Stunde (Ausgangsinformationen, Sicherung, zuerst sperrbare Vermögenswerte, verifizierte Anträge, Verbreitung von Indikatoren); Einstufung jeder Verbindung auf der Skala A–D und Dokumentation des Einstufungsverlaufs, wenn Aufzeichnungen eine Schlussfolgerung bestätigen; Abgleich von Bridge-Einzahlungen mit Freigaben; schichtweise Zuordnung vom Cluster bis zur Person; Auswahl der geeigneten Maßnahme für jeden Vermögenswert (Herausgeber, Dienstleister, Bank, Schlüssel); Bewertung von Beschlagnahmen und Entscheidung für eine Rückgabe in natura; Eingestehen von Einschränkungen im Kreuzverhör; Abstimmung der wiederbeschafften und verlorenen Beträge mit dem Gesamtverlust.