Kurz erklärt: Beim Angriff auf die Handelsplattform Bitfinex im Jahr 2016 wurden rund 120.000 Bitcoin entwendet. Die Bestände blieben über Jahre grösstenteils unbewegt und wurden anschliessend in vielen kleinen Schritten weitergeleitet. 2022 wurden zwei Personen in den Vereinigten Staaten festgenommen; ein erheblicher Teil der Bestände wurde sichergestellt. Der Fall ist das eindrücklichste Beispiel für die Dauerhaftigkeit von Blockchain-Spuren.
Der Ablauf
Nach dem Angriff lagen die Bestände zunächst weitgehend still. Erst Jahre später begannen Bewegungen: Aufsplittung in viele kleine Beträge, Durchläufe durch Mixer, Umtausch über Plattformen ohne Identifizierung, Nutzung von Konten auf fremde Namen und teilweise der Umtausch in Werte mit stärkerer Verschleierung.
Die Aufklärung gelang durch die Verbindung der Blockchain-Spur mit Daten ausserhalb der Kette — Zugangsdaten aus einem Cloud-Speicher, Kontobewegungen, Bestellungen und Kommunikationsspuren.
Bemerkenswert ist die zeitliche Dimension: Zwischen Tat und Festnahme lagen mehr als fünf Jahre. Die Spur war während der gesamten Zeit unverändert vorhanden und wartete auf den Anknüpfungspunkt.
Die Lehre für Betroffene
Der Fall widerlegt eine verbreitete Annahme, die viele Geschädigte von einer Anzeige abhält: dass nach einigen Wochen ohnehin nichts mehr zu machen sei.
Für den Zugriff auf Vermögenswerte trifft das zu — dort zählen Stunden. Für die Aufklärung trifft es nicht zu. Die Kette bleibt vollständig lesbar, und Zuordnungsdaten wachsen mit jedem abgeschalteten Dienst und jedem beschlagnahmten Datenbestand.
Daraus folgt eine praktische Empfehlung, die keinen Aufwand erfordert: Auch bei einem älteren Sachverhalt lohnt die vollständige Dokumentation und die Anzeige. Wer nicht aktenkundig ist, wird bei einer späteren Verteilung nicht berücksichtigt.
Warum das Stillhalten nicht half
Der Versuch, die Bestände jahrelang unbewegt zu lassen, war nachvollziehbar und blieb wirkungslos.
Der Grund liegt in der Beschaffenheit des Systems: Ein Bestand, der nie bewegt wird, ist ein Bestand, den man nicht nutzen kann. Sobald er genutzt werden soll, entsteht eine Spur — und diese Spur beginnt an einem Punkt, der bereits markiert ist. Die Markierung verfällt nicht.
Für die Bewertung von Verschleierungsaufwand ist das aufschlussreich. Aufwendige Techniken erschweren die Auswertung, lösen aber das Grundproblem nicht: Am Ende steht der Übergang in verwendbares Geld, und dieser erfordert einen Intermediär mit Aufzeichnungen.
Häufige Fragen
Ist ein alter Fall aussichtslos?
Für den Zugriff auf Vermögenswerte zählen Stunden. Für die Aufklärung nicht: Die Blockchain bleibt vollständig lesbar, und Zuordnungsdaten wachsen mit jedem abgeschalteten Dienst. Anzeige und Dokumentation lohnen sich auch später.
Warum half es den Tätern nicht, jahrelang stillzuhalten?
Weil ein nie bewegter Bestand nicht nutzbar ist. Sobald er genutzt wird, entsteht eine Spur, die an einem bereits markierten Punkt beginnt — und diese Markierung verfällt nicht.
Wie gelang die Aufklärung?
Durch die Verbindung der Blockchain-Spur mit Daten ausserhalb der Kette: Zugangsdaten aus einem Cloud-Speicher, Kontobewegungen, Bestellungen und Kommunikationsspuren. Die Kette allein hätte nicht genügt.
Zusammenfassung
Beim Bitfinex-Angriff 2016 wurden rund 120.000 Bitcoin entwendet; die Aufklärung gelang mehr als fünf Jahre später durch Verbindung der Blockchain-Spur mit Daten ausserhalb der Kette. Der Fall zeigt, dass Spuren nicht verfallen und Stillhalten nichts nützt, weil jede spätere Nutzung an einem markierten Punkt beginnt. Für den Zugriff zählen Stunden, für die Aufklärung nicht.
Weiterführende Quellen
- US-Justizministerium — Festnahmen im Bitfinex-Fall: www.justice.gov
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu
- US-Finanzministerium — Sanktionierung von Tornado Cash: home.treasury.gov