Ein österreichisches Ermittlungsteam hat nach einem Kryptodiebstahl Vermögenswerte im Umfang von rund 820.000 US-Dollar gesichert. Als AQ Forensics etwa zwei Wochen nach dem Diebstahl eingeschaltet wurde, hatten die Täter die Kryptowerte bereits aufgeteilt, mehrfach in andere digitale Assets getauscht und über verschiedene Blockchains und Dienste weitergeleitet.

Nach Angaben des auf Blockchain-Forensik spezialisierten Unternehmens rekonstruierte das Team mehr als 20 aufeinanderfolgende Verschleierungsstufen. Die Spur führte über internationale Blockchain-Transaktionen, mehrere Plattformen und schließlich bis nach Lateinamerika.

Mehr als nur Blockchain-Transaktionen
Entscheidend sei gewesen, sich nicht ausschließlich auf die unmittelbar sichtbaren Geldflüsse zu konzentrieren. "Wenn die offensichtliche Spur bei der Nachverfolgung endet, gehen wir nicht automatisch davon aus, dass damit auch die tatsächliche Spur zu Ende ist", erklärt AQ Forensics. "Manchmal ergibt sich der entscheidende Hinweis aus den Aktivitäten rund um eine Wallet und nicht aus der Wallet selbst."

Neben den Blockchain-Transaktionen wertete das Team unter anderem E-Mails, IP-Adressen, Verbindungs- und Sitzungsdaten sowie Geräteinformationen aus. Auch gefälschte Domains, Wegwerf-E-Mail-Adressen und versteckte Nachrichten in Transaktionen flossen in die Untersuchung ein.

Zu den auffälligen Spuren gehörte der Code "0x1337". Die Ziffernfolge 1337 steht in der sogenannten Leetspeak für "leet", abgeleitet von "Elite", und wird in der Hacker- und IT-Szene verwendet. Ein solcher Code ist für sich genommen kein Identitätsnachweis. In Verbindung mit weiteren technischen Spuren und den bei Plattformen hinterlegten Informationen trug er nach Angaben von AQ Forensics jedoch dazu bei, beteiligte Personen zu identifizieren.

KYC-Daten ermöglichen weitere Ermittlungen
Durch die Verknüpfung der technischen Informationen mit Daten beteiligter Plattformen konnten Zusammenhänge hergestellt werden, die aus den Blockchain-Daten allein nicht ersichtlich waren. Dazu gehörten unter anderem kleine Transfers und Zahlungen von Netzwerkgebühren. Insbesondere die vorhandenen KYC-Daten, also die von den Plattformen zur Identitätsprüfung ihrer Kunden erhobenen Angaben, hätten weitere internationale Ermittlungsmaßnahmen über Interpol ermöglicht.

Ein Teil der gestohlenen Kryptowerte gelangte zum Krypto-Dienstleister "Change Now". Dort wurden fünf Tauschversuche gestoppt. Nach Prüfung eines Ersuchens der venezolanischen Kriminalpolizei CICPC und der betreffenden Zieladressen wurden rund 772.440 USDT und 182 SOL übertragen.

Über insgesamt drei beteiligte Plattformen wurden laut AQ Forensics bisher Kryptowerte im Gesamtwert von rund 820.000 US-Dollar gesichert oder zurückgeführt. Die Vermögenswerte gingen nach Prüfung durch die jeweiligen Plattformen entweder an die rechtmäßigen Eigentümer oder wurden in behördliche Verwahrung übergeben.

Schnelles Handeln erhöht die Chancen
Der Fall verdeutlicht nach Einschätzung der Ermittler, wie wichtig die ersten Stunden und Tage nach einem Kryptodiebstahl sind. "Der größte Fehler ist, nach einem Vorfall zu viel Zeit verstreichen zu lassen. Je schneller die betreffenden Wallets gemeldet werden, desto größer ist die Wahrscheinlichkeit, die Vermögenswerte sicherzustellen und an das Opfer zurückzuführen", so Albert Quehenberger, Gründer von AQ Forensics.

Trotz des Vorsprungs der Täter von rund zwei Wochen konnten in diesem Fall erhebliche Vermögenswerte gesichert werden. Ausschlaggebend waren laut der Falldarstellung die Kombination aus Blockchain-Forensik und weiteren digitalen Spuren sowie die Zusammenarbeit mit Kryptodienstleistern und internationalen Ermittlungsbehörden.

Die Ermittlungen sind noch nicht abgeschlossen. Weitere Einzelheiten werden nach Angaben von AQ Forensics aus ermittlungstaktischen Gründen derzeit nicht veröffentlicht. Grundlage der Angaben sind die Falldarstellung des Unternehmens und ein am 23. September veröffentlichter Fallbericht von "Change Now". (mb)