Kurzübersicht
Zusammenfassung
Der Artikel untersucht, wie Geldwäsche über Kryptowährungen, insbesondere Bitcoin, abläuft. Er beschreibt eine reale Untersuchung, die eine verdächtige Transaktion mit mehreren Adressen und der Skimming-Methode – dem Abbuchen kleiner Beträge bei jeder Überweisung – nachverfolgt. Blockchain-Analyse-Tools helfen, Verbindungen zwischen Adressen aufzudecken, darunter auch solche, die mit Ransomware in Verbindung stehen. Der Artikel verdeutlicht, wie wichtig die Nachverfolgung von Transaktionshistorien und das Verständnis von Wechselgeldadressen für die Aufdeckung illegaler Finanzaktivitäten sind.
Wichtige Punkte
- Beschreibt einen Fall von Bitcoin-Geldwäsche unter Anwendung der Skimming-Methode.
- Bei jeder Transaktion wurden Gelder abgezweigt und der Rest an die nächste Adresse weitergeleitet.
- Alle verwendeten Adressen ändern sich, was auf die Kontrolle durch eine einzige Organisation hindeutet.
- Eine mit Ransomware verknüpfte Adresse war Teil der Geldwäschekette.
- Alle gewaschenen Gelder wurden schließlich an eine Binance-Börsenadresse zurückgesendet.
- Blockchain-Analyse-Tools wie WalletScan sind für das Aufspüren von Mustern unerlässlich.
FAQ
- Was versteht man unter Skimming bei der Geldwäsche mit Kryptowährungen?
- Beim Skimming werden Gelder über eine Reihe von Adressen transferiert, wobei jede Adresse einen Teil einbehält, was die Rückverfolgung erschwert.
- Warum sind Wechselgeldadressen bei der Nachverfolgung von Bitcoin-Transaktionen wichtig?
- Wechselgeldadressen dienen dazu, Restbeträge aus einer Transaktion zu erhalten, und ihre Wiederverwendung kann auf eine gemeinsame Kontrolle über die Adressen hinweisen.
- Wie wurde die Ransomware-Adresse ermittelt?
- Öffentliche Kommentare und die Transaktionshistorie brachten die Adresse mit früheren Ransomware-Aktivitäten in Verbindung.
Inhaltsverzeichnis
In das Labyrinth der Krypto-Geldwäsche
Bei Kryptowährungen geht die Attraktivität der Anonymität oft mit der Schattenwelt illegaler Aktivitäten, einschließlich Geldwäsche, einher. Für Strafverfolgungsbehörden und Finanzinstitute, die Finanzkriminalität bekämpfen wollen, ist es daher unerlässlich, die Komplexität von Blockchain-Transaktionen zu verstehen. Cybertrace Wir analysieren, ob eine Bitcoin-Adresse in Geldwäschepraktiken verwickelt ist, insbesondere im Hinblick auf die berüchtigte Methode des Skimmings. Anhand realer Fälle und praktischer Beispiele veranschaulichen wir die Techniken zur Verfolgung verdächtiger Transaktionen und beleuchten die entscheidende Rolle der Blockchain-Analyse im Kampf gegen Finanzbetrug.
Jetzt lasst uns direkt einsteigen.
Was ist Geldwäsche mit Kryptowährungen?
Geldwäsche mit Kryptowährungen bezeichnet die Nutzung von Kryptowährungen oder damit verbundenen Dienstleistungen, um Herkunft, Eigentum oder Transfer von Vermögenswerten im Zusammenhang mit kriminellen Aktivitäten zu verschleiern. Ziel ist es in der Regel, illegale Gelder vor ihrer Speicherung, Überweisung oder Umwandlung in andere Vermögenswerte weniger eng mit ihrer ursprünglichen Quelle verknüpft erscheinen zu lassen.
Kriminelle können Kryptowährungen über mehrere Wallets, Börsen, Cross-Chain-Bridges, Token-Swaps, Mixing-Dienste oder von Geldwäschern kontrollierte Konten transferieren. Diese Transaktionen können Ermittlungen erschweren, löschen aber nicht zwangsläufig die zugrundeliegenden Blockchain-Daten. Auf einer öffentlichen Blockchain können Kryptowährungsermittler die Transaktionsspur weiterhin nachvollziehen und Kontaktpunkte mit bekannten Diensten identifizieren.
Woran kann Geldwäsche in einer Blockchain erkennbar sein?
Kein einzelnes Transaktionsmuster beweist, dass Geldwäsche stattgefunden hat. Die Ermittler betrachten die verfügbaren Aktivitäten als Ganzes und suchen nach Indikatoren wie:
- Gelder werden auf zahlreiche Wallets verteilt oder schnell konsolidiert
- Wiederholte Überweisungen über neu erstellte Adressen
- Gefährdung durch Ransomware, Darknet-Märkte, Mixing-Dienste oder andere Hochrisiko-Organisationen
- Schnelle Bewegungen zwischen verschiedenen Blockchains oder Kryptowährungen
- Einzahlungen an eine Börse nach einer komplexen Abfolge von Überweisungen
Ein Muster, das mitunter als „Peel Chain“ bezeichnet wird, besteht darin, den verbleibenden Kontostand wiederholt auf eine neue Adresse zu überweisen, während gleichzeitig ein kleinerer Betrag an eine andere Adresse transferiert wird. Dies kann dazu genutzt werden, den Geldfluss zu verschleiern, obwohl ähnliche Aktivitäten auch aus legitimen technischen Gründen erfolgen können.
Die Blockchain-Analyse kann Zusammenhänge und Ermittlungsansätze aufzeigen, aber sie beweist weder automatisch den Inhaber einer Wallet noch kriminelle Absicht. Transaktionsdaten sollten zusammen mit verlässlichen Informationen zur Herkunft und Beweismitteln außerhalb der Blockchain ausgewertet werden. Erfahren Sie mehr über die Funktionsweise der Kryptowährungsverfolgung.
Die Untersuchung
Unsere Untersuchung begann mit einer Due-Diligence-Anfrage zu einer Bitcoin-Transaktion (BTC), die mit einem anderen Unternehmen in Verbindung stand. Die Transaktion zeigte einen Betrag von ca. 14,000 US-Dollar, der von einer Adresse an eine andere gesendet wurde. Mithilfe eines Blockchain-Scanners stellte sich heraus, dass die Absenderadresse der bekannten Kryptobörse Binance gehörte. Diese Adresse wurde von Börsenkunden für Auszahlungen von ihren Konten verwendet (wie mehrere Kommentare von pseudonymen Nutzern auf der Website des Blockchain-Scanners belegen). Die Empfängeradresse schien eine zufällige Adresse ohne bekannte Verbindungen zu sein. Es handelt sich also um eine Binance-Auszahlungsadresse, die Geld an eine zufällige Adresse sendet, die ich hier nennen werde.
Krypto-Waschsalons: Wie man Geldwäsche in Bitcoin aufspürt
Die ursprüngliche Transaktion war also wahrscheinlich eine Abhebung von Geldern, hier ist nichts Interessantes. Die Exchange-Auszahlungsadresse hatte Tausende früherer Transaktionen und schien allen Berichten zufolge harmlos zu sein. Die Abhebungsadresse (im Folgenden als Adresse 1 bezeichnet) war sehr wenig aktiv, führte jedoch einige Tage später eine Geldüberweisung an eine zweite Adresse (Adresse 2) durch, die dann Geld an eine dritte und die vierte, fünfte und … überwies dann Sechster.
Die Durchsuchung aller Adressen in WalletScan ergab, dass Adresse 5 mit Ransomware in Verbindung gebracht wurde.
Nachdem wir den vorläufigen Link zur Ransomware-Adresse entdeckt hatten, untersuchten wir den Transaktionsverlauf der Adressen weiter.
Connecting Dots: Wie man Krypto-Geldwäsche verfolgt
Transaktionsverlauf
Weitere Untersuchungen des Transaktionsverlaufs aller Adressen ergaben, dass Adresse 6 Tausende früherer Transaktionen hatte und alle Transaktionen Eingaben in die Adresse waren. Dies ist ein starker Indikator dafür, dass es sich um eine Austauschadresse handelt.
Weitere Recherchen in den auf verschiedenen Websites veröffentlichten persönlichen Kommentaren ergaben, dass Adresse 6 Binance gehörte.
Die Spur der Gelder endet also damit, dass eine mit Ransomware in Verbindung stehende Adresse die Gelder an die Binance-Börse sendet.
Transaktionsbeträge
Eine genauere Untersuchung der Fondstransaktionen ergab Folgendes:
Adresse 1 erhielt BTC im Wert von (damals) 14,000 $ und schickte dann BTC im Wert von 11,200 $ an Adresse 2
Adresse 2 schickte dann BTC im Wert von 8,400 $ an Adresse 3
Adresse 3 hat 5,600 $ an Adresse 4 weitergeleitet
Adresse 4 hat 2,800 $ an Adresse 5 weitergeleitet
Adresse 5 hat alle 2,800 US-Dollar an Adresse 6 gesendet
Jeder Betrag ist um 2,800 US-Dollar niedriger als der vorherige, was bedeutet, dass an jeder Adresse der gleiche Betrag verblieb. Dies ist ein starkes Indiz, das angesichts des wiederholten Verhaltens zusammen mit anderen Hinweisen auf eine Verbindung geprüft werden sollte. Was also haben die einzelnen Adressen mit dem Geld gemacht?
UTXO?
An dieser Stelle ein kurzer Hintergrundhinweis: Bitcoin verwendet ein UTXO-Modell (Unspent Transaction Output). Bei Bitcoin-Transaktionen werden ausgewählte UTXOs vollständig ausgegeben. Übersteigen die Ausgaben die Zahlungs- und Transaktionsgebühren, wird der Restbetrag üblicherweise an eine vom Absender kontrollierte Wechselgeldadresse gesendet.
Wie funktioniert das? Nehmen wir an, Sie haben ein Wallet mit 10 BTC und möchten etwas kaufen, das 8 BTC kostet. Wenn Sie sich dafür entscheiden, 8 BTC an den Empfänger zu senden, werden die anderen 2 BTC an eine neue dritte Adresse, „Adresse ändern“, gesendet, die ebenfalls Ihnen gehört. Die Änderungsadresse sendet das Wechselgeld im Allgemeinen an die erste Adresse zurück, die Sie besitzen.
Auf vielen Blockscanner-Websites wird der Teil der Transaktion zur Änderung der Adresse nicht angezeigt. Beachten Sie daher, dass dies bei jeder BTC-Transaktion geschieht.
Untersuchen von Änderungsadressen
Blockscanner zeigten, dass jede Adresse 1–5 nur zwei Transaktionen durchgeführt hatte, nämlich den Empfang und den Versand der Gelder. Dann begannen wir, uns mit den Transaktionen zu befassen, um nach Änderungsadressen zu suchen.
Und hier stellten wir fest, dass Adresse 1 beim Senden von 11,200 $ an Adresse 2 gleichzeitig 2,800 $ an eine dritte Adresse überwies, die sich als Adresse 6 herausstellte! Ebenso überwies Adresse 2 2,800 $ an Adresse 6 und im selben Vorgang den Restbetrag an Adresse 3. Dasselbe gilt für die anderen Adressen, die jeweils 2,800 $ an Adresse 6 und den Restbetrag weiterleiteten.
Verwirrend?
Lassen Sie uns visualisieren. Ursprünglich betrachteten wir die Geldspur als eine gerade Linie:
Aber wir haben herausgefunden, dass die Gelder über mehrere Leitungen verteilt waren, die letztendlich alle an Adresse 6 gingen.
Sobald wir dieses Muster erkennen, wissen wir, dass das Geld gewaschen wird. Der Geldfluss hier ist ein klassisches Beispiel für „Skimming“ oder das „Peel-Chain-Muster“, eine der am häufigsten angewandten Methoden der Geldwäsche.
Skimming bedeutet, dass die Gelder von einem Konto auf ein anderes Konto gesendet werden, das derselben Person gehört. Jede Adresse „überfliegt“ dabei ein wenig von oben und sendet kleine Teile der Gelder an denselben Endempfänger. Aus der Sicht des Empfängers erhält er mehrere Geldtransfers von verschiedenen Adressen. Der Empfänger sieht nicht, dass alle diese Adressen miteinander verknüpft sind.
Woher wissen wir, dass die Adressen (mit Ausnahme der Binance-Adresse) derselben Person gehören? Denn jede Adresse ist die Änderungsadresse für die vorherige Transaktion.
Wenn Adresse 1 Geld an Adresse 6 (den beabsichtigten Empfänger) gesendet hat und in derselben Transaktion den Rest an Adresse 2 gesendet hat, bedeutet dies, dass 2 tatsächlich die geänderte Adresse war. Adresse 2 sendet Geld an 6, der Rest geht an 3, und das Muster setzt sich für 4 und 5 fort. Da es sich bei allen um geänderte Adressen handelte, bedeutete das, dass sie alle derselben Person gehörten. Der Besitzer der Adresse 1 ist also auch der Besitzer der mit Ransomeware verbundenen Adresse 5.
Auch wenn wir die Identität der Person nicht kennen, sehen wir daher, dass sie Geld von Binance abgehoben hat, es gewaschen hat (wobei sie eine Ransomware-Adresse verwendet hat) und dann das gesamte Geld an Binance zurückgeschickt hat.
Zusammenfassend haben wir gezeigt, wie man Gelder verfolgt, Geldwäscheaktivitäten identifiziert, Adressen ändert und das Skimming-Modell verwendet. Dieses Beispiel ist kein Einzelfall und die Ermittler werden bei ihren eigenen Untersuchungen höchstwahrscheinlich die gleichen Merkmale feststellen.
Mit diesem Wissen müssen wir bedenken, dass sich mit der Weiterentwicklung der digitalen Landschaft auch die Methoden der Finanzkriminellen weiterentwickeln. Aus diesem Grund ist es so nützlich, Fortschritte in der Blockchain-Analyse und neue Tools wie zu verstehen und zu schätzen Cybertraces WalletScan.
Durch das Verständnis der Feinheiten von Skimming-Taktiken und die Nutzung der Möglichkeiten der Blockchain-Forensik werden sich die Ermittler weiterentwickeln und einen Wettbewerbsvorteil sichern.
Gastautor
Über den Autor:
Tom Caliendo ist der Autor von The Open Source Intelligence Guide, einem Buch, das sich darauf konzentriert, wie Ermittler mit oder ohne Computerkenntnisse OSINT nutzen können.
Tom ist Journalist für Cybersicherheit und beschäftigt sich mit den aufkommenden Bedrohungen und den verborgenen Schichten des Internets; er ist Mitbegründer des Forschungs- und Literaturunternehmens Brockett Consulting – brockettconsulting.com.
Tom ist ein lebenslanger Forscher mit einer Leidenschaft dafür, andere über das Potenzial von OSINT aufzuklären. Er verfügt über Lizenzen und Erfahrung in unterschiedlichen Ermittlungsbereichen, darunter private Ermittlungen, Ermittlungen zu Kryptowährungen, Archivrecherchen, ethisches Hacking und Genealogie.
Er lebt in Virginia, wo er Gärtner, Bienenliebhaber und Experte darin ist, seinen Fünfjährigen zu jagen.
Sein Buch ist auf Amazon erhältlich – https://www.amazon.com/Open-Source-Intelligence-Guide-Anything/dp/B0C9SH1NWL
Folgen Sie Tom auf seiner Website – TheOsintGuide.com
Twitter – https://twitter.com/DeepWebOsint
Instagram – https://www.instagram.com/theosintguide_book/
Substack – https://substack.com/@theosintguide
