Krypto-Bridge-Hacks: AML-Warnsignale, die Compliance-Teams kennen müssen

Cross-Chain-Bridge-Hacks haben sich zu einem der produktivsten Angriffsvektoren der Krypto-Kriminalität entwickelt, und die darauf folgende Geldwäsche ist so ausgefeilt, dass sie die Standard-Transaktionsüberwachung unterlaufen kann, wenn Compliance-Teams nicht speziell darauf vorbereitet sind. Für jedes Unternehmen, das Krypto-Buchhaltungssoftware zur Verfolgung von Digital-Asset-Strömen einsetzt, ist das Verständnis dafür, wie gestohlene Bridge-Gelder durch DEXs und Mixer fließen, keine Option mehr. Es ist eine grundlegende AML-Kompetenz.

Warum Bridges bevorzugte Ziele sind

Cross-Chain-Bridges ermöglichen es Nutzern, Kryptoassets über verschiedene Blockchain-Netzwerke hinweg zu transferieren. Eine Bridge, die Ethereum, Binance Smart Chain und Harmony verbindet, muss beispielsweise zu jedem Zeitpunkt große Mengen gesperrter Token halten, um diese Transfers zu ermöglichen. Genau diese Liquiditätsbündelung macht Bridges für Angreifer attraktiv: Ein einziger erfolgreicher Exploit kann Beute in neunstelliger Höhe einbringen.

Das Ausmaß des Problems

Der Angriff auf die Harmony Horizon Bridge, bei dem rund 100 Millionen US-Dollar in Kryptoassets gestohlen wurden, war keineswegs ein Einzelfall. Bis Mitte 2022 hatten die kumulierten kriminellen Diebstähle allein aus Bridges für dieses Jahr bereits die Milliardengrenze deutlich überschritten, wobei Bridge-Angriffe für zwei der drei größten damals verzeichneten Krypto-Diebstähle verantwortlich waren. Das Muster hat sich seitdem fortgesetzt. Jeder erfolgreiche Hack spült einen frischen Pool illegaler Gelder in die Geldwäsche-Pipeline.

Das Geldwäsche-Playbook: Schritt für Schritt

Sobald Angreifer die Kontrolle über gestohlene Vermögenswerte erlangt haben, besteht ihr Ziel darin, diese über regulierte Plattformen und Finanzinstitute in Fiat-Währung umzuwandeln. Um diesen Ausstiegspunkt zu erreichen, müssen sie zunächst die Herkunft der Gelder verschleiern. Zwei Techniken dominieren das Playbook: schnelle Token-Swaps über dezentrale Börsen und Verschleierung durch Krypto-Mixer.

Schritt eins: schnelle Token-Swaps an DEXs

Geschwindigkeit ist aus zwei Gründen entscheidend. Erstens behalten einige Token-Emittenten, insbesondere Stablecoin-Betreiber, die technische Möglichkeit, Transaktionen einzufrieren oder rückgängig zu machen. Hacker, die ihre gestohlenen Stablecoins nicht schnell genug tauschen, riskieren, dass diese Transaktionen storniert werden, bevor sie den Wert konvertieren können. Der KuCoin-Hack im Jahr 2020 zeigte dies eindrücklich: Weil die Angreifer ihre Token nicht schnell genug tauschten, konnte die Börse den Großteil von über 280 Millionen US-Dollar gestohlener Vermögenswerte durch Transaktionsrückabwicklungen auf Emittentenebene zurückholen. Diese Lektion wurde verinnerlicht. Angreifer priorisieren nun die nahezu sofortige Token-Konvertierung als ersten Schritt.

Zweitens durchbricht der Tausch von Token die direkte On-Chain-Verbindung zwischen der Hack-Adresse und allen nachfolgenden Transfers. Dezentrale Börsen sind hierfür ein natürliches Vehikel, weil sie Swaps über Smart Contracts ausführen, keine KYC-Verifizierung verlangen, keine Verwahrung von Nutzergeldern übernehmen und in der Regel breite Token-Liquidität bieten. Trotz der Empfehlung der Financial Action Task Force, dass Länder AML-Pflichten auf DEX-Dienste anwenden sollten, führen die meisten Plattformen in der Praxis noch keine AML-Überwachung durch. Diese Regulierungslücke ist ein materielles Risiko für Compliance-Teams bei nachgelagerten zentralisierten Börsen und Finanzinstituten.

Aus Compliance-Sicht ist wichtig zu verstehen, dass DEX-Swaps die Beweise nicht auslöschen. Da jeder Swap von einem Smart Contract ausgeführt und auf der Blockchain aufgezeichnet wird, bleibt die vollständige Transaktionshistorie, einschließlich der Ursprungs-Wallet vor dem Swap, öffentlich sichtbar. Blockchain-Analyse-Tools können einen von einer DEX erhaltenen "sauberen" Token über den Swap-Datensatz bis zu seiner ursprünglichen Quelle in einer Bridge-Hack-Wallet zurückverfolgen. Der Angriff auf die Axie Infinity Ronin Bridge veranschaulichte dies deutlich: Angreifer transferierten gestohlene USDC auf ihre eigenen Wallets, leiteten einen Teil über Zwischenadressen, tauschten sie an einer DEX gegen Ethereum und sandten Teile dieses Ethers anschließend an zentralisierte Börsen. Jeder Schritt dieser Reise war on-chain rekonstruierbar.

Schritt zwei: Mixing zur Unterbrechung der Spur

Nach dem DEX-Swap, oder manchmal als Alternative dazu, leiten Bridge-Hacker Gelder durch Krypto-Mixer. Ein Mixer bündelt Kryptoassets von mehreren Nutzern und verteilt andere Coins mit äquivalentem Wert, sodass der Output nicht ohne Weiteres mit dem Input verknüpft werden kann. Sobald Gelder einen Mixer passiert haben, sieht ein Compliance-Team, das diese Gelder bei einem nachgelagerten VASP oder Finanzinstitut erhält, in der Regel nur, dass sie von einem Mixing-Dienst stammen, nicht dass sie aus einem bestimmten Hack kommen.

Innerhalb weniger Tage nach dem Harmony-Horizon-Angriff begannen die Täter beispielsweise, gestohlene Vermögenswerte durch einen prominenten Ethereum-Mixer zu leiten. Dies ist zu einem Standardverhalten geworden: Bridge-Hacker nutzen Mixer speziell deshalb, weil die Verschleierung zuverlässig ist und die meisten standardmäßigen Transaktionsprüfungen mixer-stämmige Gelder nicht mit ausreichender Sensitivität kennzeichnen.

Die Blockchain-Analyse bietet hier dennoch eine teilweise Verteidigung. Während Mixing die Rückverfolgung von Geldern zu einem bestimmten Diebstahlereignis unterbricht, macht es die Mixer-Herkunft selbst nicht unsichtbar. Ein Compliance-Team kann feststellen, dass ein Kunde Gelder von einem Mixing-Dienst erhalten hat, und wenn dieser Eingang kurz nach einem großen Bridge-Hack erfolgt, dies als erhebliches Warnsignal behandeln, das eine verstärkte Sorgfaltspflicht und gegebenenfalls eine Verdachtsmeldung rechtfertigt.

AML-Warnsignale: Was Compliance-Teams prüfen sollten

Die oben beschriebenen Geldwäschemuster lassen sich in konkrete Screening-Parameter übersetzen. Compliance-Teams bei Virtual Asset Service Providers und Finanzinstituten sollten ihre Transaktionsüberwachungskonfigurationen gegen die folgenden Risikoindikatoren testen.

DEX-stämmige Mittelzuflüsse nahe einem bekannten Hack-Ereignis

Eine Kundeneinzahlung, die über einen oder mehrere DEX-Swaps auf eine im Zusammenhang mit einem Bridge-Exploit gekennzeichnete Wallet zurückverfolgt werden kann, ist ein vorrangiger Alarm. Entscheidend ist, dass die Blockchain-Analyse so konfiguriert sein muss, dass sie über den unmittelbar vorherigen Hop hinausblickt: Eine Einzahlung, die von einer DEX-Adresse zu kommen scheint, ist nicht zwangsläufig sauber. Die DEX kann einfach eine Ebene in einer mehrstufigen Geldwäschekette sein, die von einer kompromittierten Bridge-Wallet ausgeht.

Mixer-stämmige Einzahlungen ohne plausible Erklärung

Unerklärte, hochwertige oder häufige eingehende Transfers von bekannten Mixing-Diensten stellen in jedem Kontext ein Warnsignal dar. Das Risiko ist erhöht, wenn der Zeitpunkt mit einem kürzlich öffentlich gemachten Bridge-Hack korreliert. Compliance-Richtlinien sollten eine Prüfschwelle und einen Zeitrahmen festlegen. Ein Kunde, der innerhalb von Tagen oder Wochen nach einem bedeutenden Hack-Ereignis einen großen mixer-stämmigen Transfer erhält, rechtfertigt eine Untersuchung, unabhängig davon, ob eine direkte On-Chain-Verbindung zum Hack hergestellt werden kann.

Schnelle aufeinanderfolgende Swaps über mehrere Token

Legitime Nutzer müssen selten dieselben Gelder in schneller Folge über drei oder vier verschiedene Token an mehreren DEXs tauschen. Ein Muster schneller Multi-Hop-Swaps ist für sich genommen ein Geldwäscheindikator, insbesondere wenn der Endtoken einer mit breiter Fiat-Auszahlungsliquidität ist, wie Ethereum oder USDC.

Wrapped-Token-Komplexität als bewusstes Verschleierungsinstrument

Bridge-Hacks betreffen häufig Wrapped Tokens, also Repräsentationen nativer Assets auf einer anderen Chain. Compliance-Teams sollten sicherstellen, dass ihre Screening-Tools Wrapped-Token-Ströme verfolgen können und einen Token-Wrap nicht als Transaktionsendpunkt behandeln. Ein wrapped Asset hat noch immer denselben zugrunde liegenden Wert, und seine Herkunft muss entsprechend bewertet werden.

Praktische Auswirkungen für Buchhaltungs- und Prüfungsteams

Die Compliance-Dimension geht über die reine Transaktionsüberwachung hinaus. Buchhaltungsteams in Unternehmen, die mit digitalen Vermögenswerten umgehen, müssen berücksichtigen, wie bridge-hack-bezogene Ströme ihre eigenen Aufzeichnungen und Prüfungspflichten beeinflussen.

Für B2B-Unternehmen: Buchhaltungs- und Prüfungsrisiko

Jedes Unternehmen, dessen Verwahrung oder Handel mit digitalen Vermögenswerten mit Geldern in Berührung kommt, die sich später als Erlös aus einem Bridge-Hack erweisen, ist einem potenziellen Risiko der Vermögenssperrung oder -beschlagnahme ausgesetzt. Aus buchhalterischer Sicht ist die entscheidende Frage, ob Ihre Krypto-Buchhaltungssoftware die Herkunft eingehender Vermögenswerte bereits bei Erhalt kennzeichnen kann. Wenn ein Kunde einen Zugang digitaler Vermögenswerte verbucht und sich später herausstellt, dass dieser mit einem Exploit verbunden ist, muss das Unternehmen möglicherweise die Buchung stornieren, die Transaktion melden oder mit einer Einfrierungsanordnung der Strafverfolgungsbehörden zusammenarbeiten. Audit-Trails müssen detailliert genug sein, um die vollständige Transaktionshistorie auf Abruf zu rekonstruieren.

CFOs in Treasury-Funktionen, die digitale Vermögenswerte halten, sollten auch ihre Richtlinien zur Annahme von Wrapped Tokens und DEX-stämmigen Geldern überprüfen. Eine Richtlinie, die jeden DEX-stämmigen Transfer ohne Herkunftsprüfung automatisch als akzeptabel einstuft, ist im Rahmen eines risikobasierten AML-Frameworks schwer zu verteidigen. Unternehmen, die unter MiCA in der EU oder unter gleichwertigen VASP-Regelungen weltweit tätig sind, sollten überprüfen, ob ihre Transaktionsscreening-Tools so kalibriert sind, dass sie die oben beschriebenen Multi-Hop-Muster erfassen.

Für individuelle Steuerpflichtige: Was Sie wissen sollten, wenn Sie Bridges nutzen

Wenn Sie Cross-Chain-Bridges legitimerweise nutzen, um Ihre eigenen Vermögenswerte zu transferieren, besteht das praktische Risiko für einen individuellen Steuerpflichtigen nicht darin, dass Sie der Geldwäsche verdächtigt werden. Das Risiko besteht darin, dass Sie versehentlich eine Wallet erhalten oder über sie tauschen, die irgendwo weiter oben im Pool durch hack-bezogene Gelder kontaminiert wurde. Wenn eine zentralisierte Börse, die Sie später nutzen, Ihre Einzahlung als mixer- oder DEX-verbunden kennzeichnet, drohen Ihnen möglicherweise Kontosperrung oder eine Aufforderung zur erweiterten Verifizierung. Detaillierte Aufzeichnungen über jede Bridge-Transaktion, einschließlich Ursprungschain, Zielchain, Token-Typen und Zeitstempel, sind der beste Schutz. Gute Buchhaltungssoftware für digitale Vermögenswerte, die diese Ereignisse zum Zeitpunkt der Transaktion erfasst, ist weitaus zuverlässiger als die Rekonstruktion der Spur Monate später für eine Steuererklärung oder eine Compliance-Anfrage.

Was Unternehmen jetzt tun sollten

Die praktischen Schritte sind einfach zu benennen, erfordern aber eine bewusste Umsetzung.

Überprüfen Sie Ihre Transaktionsscreening-Konfiguration

Standardregelsätze blicken oft nicht mehr als ein oder zwei Hops in einer Transaktionskette zurück. Geldwäsche aus Bridge-Hacks umfasst typischerweise drei bis fünf Hops über DEXs, Zwischen-Wallets und Mixer. Arbeiten Sie mit Ihrem Blockchain-Analyseanbieter zusammen, um sicherzustellen, dass Ihre Risikobewertungs-Engine weit genug zurückblickt und dass mixer-stämmige Gelder bei angemessenen Schwellenwerten Alarme auslösen.

Aktualisieren Sie Ihre SAR-Meldekriterien

Mixer-stämmige Einzahlungen nahe dem Datum eines bekannten Bridge-Hacks sollten als SAR-Erwägung behandelt werden, auch wenn kein direkter Kausalzusammenhang hergestellt werden kann. Dokumentieren Sie Ihre Begründung in jedem Fall. Regulierungsbehörden erwarten eine risikobasierte Entscheidung, nicht einfach das Fehlen eines Treffers.

Gleichen Sie mit öffentlichen Hack-Datenbanken ab

Mehrere Blockchain-Analyseanbieter und Open-Source-Repositories führen Listen von Wallet-Adressen, die mit bekannten Bridge-Hacks in Verbindung stehen. Die Integration dieser Adresslisten in Ihren Screening-Workflow stellt sicher, dass direkte Kontakte mit bekannten Hack-Wallets sofort erfasst werden, bevor die Geldwäsche-Pipeline die Herkunft weiter verschleiern kann.

Schulen Sie Ihr Compliance-Team in DeFi-spezifischen Typologien

DEX-Swaps und Wrapped-Token-Ströme werden von traditionellen AML-Schulungsmodulen, die auf Banküberweisungen und Bargeldtransaktionen ausgerichtet sind, nicht abgedeckt. Compliance-Mitarbeiter müssen in der Lage sein, einen einfachen Transaktionsgraphen zu lesen und zu verstehen, wie eine Multi-Hop-DEX-Geldwäschekette aussieht. Diese Kompetenz ist heute eine funktionale Anforderung, kein Spezialistenzusatz.

Quelle: Elliptic

Häufig gestellte Fragen

Was macht Cross-Chain-Bridges besonders anfällig für Hacks?

Bridges müssen große Mengen gesperrter Kryptoassets halten, um zu funktionieren. Diese Konzentration von Wert in einem einzigen Smart Contract oder einer Gruppe von Contracts macht sie zu lohnenden Zielen. Ein einziger Exploit kann weit mehr einbringen als der Angriff auf mehrere einzelne Wallets, weshalb kriminelle Gruppen Bridges systematisch ins Visier genommen haben.

Warum nutzen Hacker DEXs unmittelbar nach einem Bridge-Angriff?

Aus zwei Gründen: um Einfrierungen durch Stablecoin-Emittenten zu vermeiden, die Transaktionen rückgängig machen können, wenn der Angreifer den ursprünglichen Token noch hält, und um die On-Chain-Verbindung zwischen der Hack-Wallet und nachfolgenden Transfers zu durchbrechen. DEXs verlangen kein KYC, halten reichlich Liquidität über viele Token-Paare und führen Swaps automatisch aus. Sie sind ein praktisches Werkzeug zur Verschleierung im ersten Schritt.

Kann Blockchain-Analyse Gelder durch einen DEX-Swap wirklich zurückverfolgen?

Ja. DEX-Swaps werden von Smart Contracts ausgeführt, die den vollständigen Transaktionsdatensatz in die Blockchain schreiben. Das bedeutet, dass sowohl die Ursprungsadresse vor dem Swap als auch das Ziel nach dem Swap sichtbar sind. Blockchain-Analyse-Tools können die Verbindung zwischen einem von einer DEX erhaltenen "sauberen" Token und seinem Ursprung vor dem Swap in einer Hack-Wallet rekonstruieren.

Was sollte ein Compliance-Team tun, wenn ein Kunde mixer-stämmige Gelder nahe dem Zeitpunkt eines großen Bridge-Hacks erhält?

Behandeln Sie es als Warnsignal, das eine Untersuchung erfordert. Während Mixing eine direkte Zuordnung zu einem bestimmten Hack verhindert, ist die Mixer-Herkunft selbst erkennbar. Das Compliance-Team sollte die umfassendere Aktivität des Kunden bewerten, bei Bedarf zusätzliche Informationen anfordern und prüfen, ob eine Verdachtsmeldung gerechtfertigt ist. Die Entscheidung und ihre Begründung sollten unabhängig vom Ergebnis dokumentiert werden.

Wie wirkt sich dies auf Unternehmen aus, die Krypto-Buchhaltungssoftware auswählen?

Unternehmen, die Krypto-Buchhaltungssoftware bewerten, sollten bestätigen, dass diese die vollständigen Herkunftsmetadaten eingehender digitaler Vermögenswerte aufzeichnen kann, nicht nur Betrag und Zeitstempel. Wenn sich ein Zugang später als hack-verbunden herausstellt, benötigt das Unternehmen einen vollständigen Audit-Trail. Software, die nur den übergeordneten Transfer erfasst, ohne Ursprungschain, Zwischen-Hops oder DEX-Beteiligung aufzuzeichnen, hinterlässt Lücken, die retrospektiv schwer und kostspielig zu füllen sind.