Inhaltsverzeichnis
In das Labyrinth der Krypto-Geldwäsche
Bei Kryptowährungen ist der Reiz der Anonymität oft mit der Schattenwelt illegaler Aktivitäten verbunden, darunter Geldwäsche. Das Verständnis der Komplexität von Blockchain-Transaktionen ist für Strafverfolgungsbehörden und Finanzinstitute, die Finanzkriminalität bekämpfen wollen, von entscheidender Bedeutung. Cybertrace analysiert, ob eine Bitcoin-Adresse in Geldwäschesysteme verwickelt ist, mit einem Schwerpunkt auf der berüchtigten Taktik des Skimming. Anhand realer Untersuchungen und praktischer Beispiele beleuchten wir die Techniken, die zum Aufspüren und Aufspüren verdächtiger Transaktionen eingesetzt werden, und beleuchten die entscheidende Rolle der Blockchain-Analyse im Kampf gegen Finanzbetrug.
Jetzt lasst uns direkt einsteigen.
Die Untersuchung
Unsere Untersuchung begann mit einer Due-Diligence-Anfrage für eine Bitcoin (BTC)-Transaktion, die mit einem anderen Unternehmen verbunden ist. Bei der Transaktion wurden etwa 14,000 US-Dollar von einer Adresse an eine andere gesendet. Die Verwendung eines Blockchain-Scanners ergab, dass die Absenderadresse der bekannten Krypto-Börse Binance gehörte. Die Adresse selbst wurde von Börsenkunden verwendet, um Geld von ihren Konten abzuheben (laut mehreren Kommentaren anonymer Benutzer auf der Blockchain-Scanner-Website). Die Empfängeradresse schien nur eine zufällige Adresse ohne bekannte Zugehörigkeit zu sein. Wir haben also eine Binance-Abhebungsadresse, die Geld an eine zufällige Adresse sendet, die ich nennen werde.
Krypto-Waschsalons: Wie man Geldwäsche in Bitcoin aufspürt
Die ursprüngliche Transaktion war also wahrscheinlich eine Abhebung von Geldern, hier ist nichts Interessantes. Die Exchange-Auszahlungsadresse hatte Tausende früherer Transaktionen und schien allen Berichten zufolge harmlos zu sein. Die Abhebungsadresse (im Folgenden als Adresse 1 bezeichnet) war sehr wenig aktiv, führte jedoch einige Tage später eine Geldüberweisung an eine zweite Adresse (Adresse 2) durch, die dann Geld an eine dritte und die vierte, fünfte und … überwies dann Sechster.
Die Durchsuchung aller Adressen in WalletScan ergab, dass Adresse 5 mit Ransomware in Verbindung gebracht wurde.
Nachdem wir den vorläufigen Link zur Ransomware-Adresse entdeckt hatten, untersuchten wir den Transaktionsverlauf der Adressen weiter.
Connecting Dots: Wie man Krypto-Geldwäsche verfolgt
Transaktionsverlauf
Weitere Untersuchungen des Transaktionsverlaufs aller Adressen ergaben, dass Adresse 6 Tausende früherer Transaktionen hatte und alle Transaktionen Eingaben in die Adresse waren. Dies ist ein starker Indikator dafür, dass es sich um eine Austauschadresse handelt.
Weitere Recherchen in den auf verschiedenen Websites veröffentlichten persönlichen Kommentaren ergaben, dass Adresse 6 Binance gehörte.
Die Spur der Gelder endet also damit, dass eine mit Ransomware in Verbindung stehende Adresse die Gelder an die Binance-Börse sendet.
Transaktionsbeträge
Eine genauere Untersuchung der Fondstransaktionen ergab Folgendes:
Adresse 1 erhielt BTC im Wert von (damals) 14,000 $ und schickte dann BTC im Wert von 11,200 $ an Adresse 2
Adresse 2 schickte dann BTC im Wert von 8,400 $ an Adresse 3
Adresse 3 hat 5,600 $ an Adresse 4 weitergeleitet
Adresse 4 hat 2,800 $ an Adresse 5 weitergeleitet
Adresse 5 hat alle 2,800 US-Dollar an Adresse 6 gesendet
Jeder Betrag ist 2,800 US-Dollar niedriger als der vorherige, was bedeutet, dass jede Adresse den gleichen Betrag behielt. Angesichts des Wiederholungsverhaltens ist dies definitiv ein Beweis für einen Zusammenhang. Was haben also die einzelnen Adressen mit dem Geld gemacht?
UTXO?
Lassen Sie uns hier eine kurze Pause einlegen, um einen kurzen Hintergrund zu erhalten. Bitcoin verfügt über ein UTXO-Modell (Unspent Transaction Output), was bedeutet, dass eine Adresse nicht nur einen Teil ihres Geldes ausgeben kann, sondern stattdessen bei jeder Transaktion ihr gesamtes Geld ausgeben muss.
Wie funktioniert das? Nehmen wir an, Sie haben ein Wallet mit 10 BTC und möchten etwas kaufen, das 8 BTC kostet. Wenn Sie sich dafür entscheiden, 8 BTC an den Empfänger zu senden, werden die anderen 2 BTC an eine neue dritte Adresse, „Adresse ändern“, gesendet, die ebenfalls Ihnen gehört. Die Änderungsadresse sendet das Wechselgeld im Allgemeinen an die erste Adresse zurück, die Sie besitzen.
Auf vielen Blockscanner-Websites wird der Teil der Transaktion zur Änderung der Adresse nicht angezeigt. Beachten Sie daher, dass dies bei jeder BTC-Transaktion geschieht.
Untersuchen von Änderungsadressen
Blockscanner zeigten, dass jede Adresse 1–5 nur zwei Transaktionen durchgeführt hatte, nämlich den Empfang und den Versand der Gelder. Dann begannen wir, uns mit den Transaktionen zu befassen, um nach Änderungsadressen zu suchen.
Und hier haben wir herausgefunden, dass Adresse 1, als sie 11,200 US-Dollar an Adresse 2 schickte, auch 2,800 US-Dollar an eine dritte Adresse schickte, die sich als Adresse 6 herausstellte! In ähnlicher Weise schickte Adresse 2 2,800 $ an Adresse 6 und in derselben Transaktion den Rest an Adresse 3. T Ebenso schickten die anderen Adressen jeweils 2,800 $ an Adresse 6 und den Rest später.
Verwirrend?
Lassen Sie uns visualisieren. Ursprünglich betrachteten wir die Geldspur als eine gerade Linie:
Aber wir haben herausgefunden, dass die Gelder über mehrere Leitungen verteilt waren, die letztendlich alle an Adresse 6 gingen.
Sobald wir dieses Muster erkennen, wissen wir, dass das Geld gewaschen wird. Der Geldfluss ist hier ein klassisches Beispiel für „Skimming“, eine der am häufigsten eingesetzten Methoden der Geldwäsche.
Skimming bedeutet, dass die Gelder von einem Konto auf ein anderes Konto gesendet werden, das derselben Person gehört. Jede Adresse „überfliegt“ dabei ein wenig von oben und sendet kleine Teile der Gelder an denselben Endempfänger. Aus der Sicht des Empfängers erhält er mehrere Geldtransfers von verschiedenen Adressen. Der Empfänger sieht nicht, dass alle diese Adressen miteinander verknüpft sind.
Woher wissen wir, dass die Adressen (mit Ausnahme der Binance-Adresse) derselben Person gehören? Denn jede Adresse ist die Änderungsadresse für die vorherige Transaktion.
Wenn Adresse 1 Geld an Adresse 6 (den beabsichtigten Empfänger) gesendet hat und in derselben Transaktion den Rest an Adresse 2 gesendet hat, bedeutet dies, dass 2 tatsächlich die geänderte Adresse war. Adresse 2 sendet Geld an 6, der Rest geht an 3, und das Muster setzt sich für 4 und 5 fort. Da es sich bei allen um geänderte Adressen handelte, bedeutete das, dass sie alle derselben Person gehörten. Der Besitzer der Adresse 1 ist also auch der Besitzer der mit Ransomeware verbundenen Adresse 5.
Auch wenn wir die Identität der Person nicht kennen, sehen wir daher, dass sie Geld von Binance abgehoben hat, es gewaschen hat (wobei sie eine Ransomware-Adresse verwendet hat) und dann das gesamte Geld an Binance zurückgeschickt hat.
Zusammenfassend haben wir gezeigt, wie man Gelder verfolgt, Geldwäscheaktivitäten identifiziert, Adressen ändert und das Skimming-Modell verwendet. Dieses Beispiel ist kein Einzelfall und die Ermittler werden bei ihren eigenen Untersuchungen höchstwahrscheinlich die gleichen Merkmale feststellen.
Mit diesem Wissen müssen wir bedenken, dass sich mit der Weiterentwicklung der digitalen Landschaft auch die Methoden der Finanzkriminellen weiterentwickeln. Aus diesem Grund ist es so nützlich, Fortschritte in der Blockchain-Analyse und neue Tools wie zu verstehen und zu schätzen Cybertraces WalletScan.
Durch das Verständnis der Feinheiten von Skimming-Taktiken und die Nutzung der Macht von Blockchain-Forensik, werden sich auch die Ermittler weiterentwickeln und ihren Vorsprung gegenüber der Konkurrenz bewahren.
Gastautor
Über den Autor:
Tom Caliendo ist der Autor von The Open Source Intelligence Guide, einem Buch, das sich darauf konzentriert, wie Ermittler mit oder ohne Computerkenntnisse OSINT nutzen können.
Tom ist ein Cybersicherheitsjournalist, der über die aufkommenden Bedrohungen und die verborgenen Schichten des Internets berichtet. Er ist Mitbegründer des Forschungs- und Literaturunternehmens Brockett Consulting – brockettconsulting.com.
Tom ist ein lebenslanger Forscher mit einer Leidenschaft dafür, andere über das Potenzial von OSINT aufzuklären. Er verfügt über Lizenzen und Erfahrung in unterschiedlichen Ermittlungsbereichen, darunter private Ermittlungen, Ermittlungen zu Kryptowährungen, Archivrecherchen, ethisches Hacking und Genealogie.
Er lebt in Virginia, wo er Gärtner, Bienenliebhaber und Experte darin ist, seinen Fünfjährigen zu jagen.
Sein Buch ist bei Amazon erhältlich –https://www.amazon.com/Open-Source-Intelligence-Guide-Anything/dp/B0C9SH1NWL
Folgen Sie Tom auf seiner Website – TheOsintGuide.com
Twitter - https://twitter.com/DeepWebOsint
Instagram - https://www.instagram.com/theosintguide_book/
Unterstapel - https://substack.com/@theosintguide
