Der Diebstahl von Kryptowährung kann durch eine Phishing-Website, die Kompromittierung einer Seed-Phrase, Schadsoftware, die Signatur eines gefährlichen Smart Contracts oder die Übernahme eines Börsenkontos erfolgen. Anders als eine Bankzahlung lässt sich eine Blockchain-Transaktion in der Regel nicht einfach stornieren oder zurückrufen.
Das bedeutet jedoch nicht, dass gestohlene Vermögenswerte nicht nachverfolgt werden können. Die meisten öffentlichen Blockchains speichern die Transaktionshistorie, sodass sich Geldflüsse auch dann analysieren lassen, wenn sie über Dutzende Adressen, Tauschvorgänge oder Cross-Chain-Bridges gelaufen sind. Entscheidend ist, schnell zu handeln, Beweise korrekt zu sichern und den Dienst zu identifizieren, bei dem die Vermögenswerte gelandet sind.
Kann gestohlene Kryptowährung tatsächlich zurückgeholt werden?
Ob eine Rückführung möglich ist, hängt nicht nur vom Diebstahl selbst ab, sondern auch vom weiteren Weg der Vermögenswerte. Ein eigenständiger Zugriff auf die Wallet des Täters ist nicht möglich, doch Gelder können unter Umständen gesperrt werden, wenn sie unter die Kontrolle einer zentralisierten Börse, eines Zahlungsdienstes, eines Custody-Anbieters oder eines anderen VASP gelangen.
1 Gelder auf einer zentralisierten Börse. Wenn gestohlene Kryptowährung auf einer CEX-Einzahlungsadresse eingeht, kann die Börse möglicherweise das zugehörige Konto identifizieren, technische Protokolle sichern und weitere Auszahlungen einschränken. Für eine längerfristige Sperrung oder die Offenlegung personenbezogener Daten ist in der Regel ein ordnungsgemäßes Ersuchen einer Strafverfolgungsbehörde oder ein anderes Rechtsdokument entsprechend der Jurisdiktion des Dienstes erforderlich.
2 Gelder in Stablecoins. Bestimmte zentral emittierte Token können über eine technische Funktion zum Sperren von Adressen verfügen. Der Emittent friert Vermögenswerte jedoch nicht automatisch allein aufgrund einer privaten Meldung ein. Die Entscheidung hängt von der Unternehmensrichtlinie, den vorgelegten Belegen, einem Sanktions- oder AML-Risiko sowie einem Ersuchen der zuständigen Behörde ab.
3 Die Vermögenswerte verbleiben in einer privaten Wallet. In dieser Situation ist es technisch nicht möglich, die Wallet zu sperren. Die Hauptaufgabe besteht darin, die Adresse fortlaufend zu überwachen und den Zeitpunkt zu dokumentieren, an dem die Gelder zu einem Dienst weitergeleitet werden, der den Kontoinhaber identifizieren oder Transaktionen einschränken kann.
Wichtig: Eine Blockchain-Ermittlung garantiert keine Rückführung der Gelder. Sie ermittelt den Weg der Vermögenswerte, verbundene Adressen, genutzte Dienste und potenzielle Sperrpunkte. Die tatsächliche Beschlagnahme oder Rückgabe der Vermögenswerte erfordert die Zusammenarbeit mit VASP, Token-Emittenten und Strafverfolgungsbehörden.
Was unmittelbar nach dem Diebstahl von Kryptowährung zu tun ist
Die ersten Stunden nach einem Vorfall können entscheidend sein. Täter versuchen häufig, Vermögenswerte schnell auf verschiedene Adressen zu verteilen, über DEX zu tauschen, in eine andere Blockchain zu verschieben oder über einen zentralisierten Dienst auszuzahlen.
1 Sichern Sie die verbliebenen Vermögenswerte. Wenn eine Wallet kompromittiert wurde, erstellen Sie auf einem sauberen Gerät eine neue Wallet und übertragen Sie den verbleibenden Bestand dorthin. Verwenden Sie die alte Seed-Phrase nicht weiter. Wenn der Vorfall mit der Signatur einer schädlichen Berechtigung zusammenhängt, müssen aktive Token Approvals geprüft und widerrufen werden.
Löschen Sie die Wallet-App, Korrespondenz, den Browserverlauf oder Dateien nicht, bevor die Beweise gesichert wurden. Besteht der Verdacht auf Malware, arbeiten Sie nicht weiter mit dem betroffenen Gerät und führen Sie darüber keine neuen Transaktionen aus.
2 Dokumentieren Sie sämtliche Informationen zum Vorfall. Speichern Sie die TxID der gestohlenen Transaktionen, Absender- und Empfängeradressen, den Namen der Blockchain, Art und Menge der Vermögenswerte sowie Datum und genaue Uhrzeit des Ereignisses. Sichern Sie zusätzlich Screenshots, die URL der Phishing-Website, E-Mails, Telegram-Korrespondenz, Gesprächsaufzeichnungen, Belege und Kontoidentifikatoren.
- TxID jeder verbundenen Transaktion;
- Adresse der kompromittierten Wallet;
- Adressen, an die die Vermögenswerte übertragen wurden;
- Schadenssumme in Kryptowährung und ihr Gegenwert zum Zeitpunkt des Vorfalls;
- Phishing-Domain, App oder Datei;
- Korrespondenz mit dem Täter;
- Screenshots der Wallet, der Börse und der Transaktionsmeldungen;
- Daten zum Gerät und zu den Umständen der Kompromittierung.
3 Beginnen Sie mit der Blockchain-Analyse. In dieser Phase werden der anfängliche Weg der Vermögenswerte, verbundene Adressen sowie verwendete DEX, Bridges, Tauschanbieter, Zahlungsdienstleister und zentralisierte Börsen ermittelt. Es ist wichtig, sich nicht auf die Betrachtung einer einzelnen Transaktion zu beschränken: Gelder können in Dutzende Teile aufgeteilt oder mit anderen Geldflüssen zusammengeführt worden sein.
4 Informieren Sie VASP und Strafverfolgungsbehörden. Wurde eine Börse oder ein anderer zentralisierter Dienst identifiziert, sollte diesem unverzüglich eine Meldung zum Vorfall mit TxID, Adressen und einer Beschreibung der Herkunft der Vermögenswerte übermittelt werden. Parallel sollte eine Anzeige bei der Nationalpolizei oder Cyberpolizei eingereicht und die Bestätigung über deren Annahme aufbewahrt werden.
Eine private Meldung kann dem Dienst helfen, Informationen vorsorglich zu sichern oder eine interne Prüfung durchzuführen, ersetzt jedoch kein offizielles prozessuales Ersuchen. Deshalb sollten technische Ermittlungen und rechtliche Schritte parallel erfolgen.
Vorsicht: Nach einem Kryptodiebstahl werden Opfer häufig von sogenannten Recovery-Diensten kontaktiert, die gegen Vorauszahlung eine garantierte Rückholung der Gelder versprechen. Geben Sie solchen Personen niemals Ihre Seed-Phrase, privaten Schlüssel, Zwei-Faktor-Authentifizierungscodes oder Fernzugriff auf Ihr Gerät.
Beratung erhalten
Kurze Einschätzung — unverbindlich
Wie Nachverfolgung, Sperrung und Rückführung von Vermögenswerten ablaufen
Eine vollständige Kryptoermittlung besteht aus mehreren aufeinanderfolgenden Schritten. Ziel ist nicht nur festzustellen, wohin die erste Transaktion gesendet wurde, sondern den gesamten Weg der Vermögenswerte bis zum letztlich genutzten Dienst oder zu einer vom Täter kontrollierten Infrastruktur zu bestimmen.
1 Rekonstruktion des Transaktionsweges. Der Analyst untersucht sämtliche ausgehenden Transaktionen, die Aufteilung von Vermögenswerten, Zusammenführungen von Geldern, interne Token-Transfers, Swaps, Cross-Chain-Transfers und Interaktionen mit Smart Contracts. Zusätzlich werden Hinweise auf die Nutzung von Mixern, Privacy-Diensten, Gambling-Plattformen oder OTC-Infrastruktur geprüft.
2 Identifizierung von Diensten und Ausstiegspunkten. Adressen werden mit bekannten Clustern von Börsen, Tauschanbietern, Bridges, Zahlungsdienstleistern und anderen VASP abgeglichen. Gelangen Vermögenswerte auf die Einzahlungsadresse eines Dienstes, werden die entsprechenden TxID, der Betrag, der Eingangszeitpunkt und die weitere Geldbewegung dokumentiert.
3 Datensicherung und Sperrung. Dem Dienst wird eine strukturierte Meldung mit Belegen für den Zusammenhang der Vermögenswerte mit dem konkreten Vorfall übermittelt. Je nach Umständen kann die Sicherung von Protokollen, Kontodaten, IP-Adressen, KYC-Informationen und Angaben zu späteren Auszahlungen angefragt werden.
Die Entscheidung über ein Einfrieren hängt von den Richtlinien des Dienstes und den rechtlichen Grundlagen ab. Für die Beschlagnahme von Vermögenswerten, den Erhalt vertraulicher Informationen und eine spätere Rückführung können ein Gerichtsbeschluss, ein Ersuchen eines Ermittlers oder Staatsanwalts oder internationale Rechtshilfe erforderlich sein.
4 Prozessuale Sicherstellung und Rückführung. Wenn Vermögenswerte gesperrt wurden und ihr Zusammenhang mit einer Straftat bestätigt ist, können die zuständigen Behörden nach Maßgabe des anwendbaren Rechts ihre Sicherstellung, Beschlagnahme oder Einziehung veranlassen. Die anschließende Rückgabe an das Opfer hängt vom prozessualen Status der Vermögenswerte, der Jurisdiktion des Dienstes und der Entscheidung der zuständigen Behörde ab.
Fazit
Die Rückführung gestohlener Kryptowährung ist nicht in jedem Fall möglich. Eine professionelle und rechtzeitige Blockchain-Analyse kann jedoch den Weg der Vermögenswerte nachvollziehen, verbundene Adressen identifizieren und die Dienste bestimmen, über die Täter versuchen, Gelder auszuzahlen oder zu verschleiern.
Je früher die Ermittlungen beginnen, desto größer sind die Möglichkeiten, Geldbewegungen zu dokumentieren, den betreffenden VASP rechtzeitig zu informieren und Informationen zu sichern, die mit der Zeit verloren gehen können. Die eigenständige Betrachtung von Transaktionen in einem Blockchain-Explorer vermittelt häufig kein vollständiges Bild, insbesondere wenn DEX, Bridges, Swaps, Tauschanbieter oder mehrere Blockchains genutzt wurden.
Unterstützung durch ProDefence
Verlieren Sie keine Zeit – überlassen Sie die Ermittlungen Profis
ProDefence führt umfassende Kryptoermittlungen durch und begleitet einen Fall von der ersten Transaktion bis zur Identifizierung der letztlich genutzten Dienste und potenzieller Sperrpunkte. Wir bearbeiten Vorfälle im Zusammenhang mit Phishing, Wallet-Hacks, gestohlenen Seed-Phrases, Anlagebetrug, schädlichen Smart Contracts und unautorisierten Abflüssen von Vermögenswerten.
Im Rahmen der Ermittlungen übernimmt unser Team:
- die Nachverfolgung von Geldbewegungen über verschiedene Blockchains;
- die Identifizierung verbundener Adressen, Cluster und Transaktionen;
- die Ermittlung genutzter Börsen, Tauschanbieter, Bridges und Zahlungsdienste;
- die laufende Überwachung weiterer Vermögensbewegungen;
- die Erstellung strukturierter Anfragen an VASP und Token-Emittenten;
- die Ausarbeitung eines technischen Berichts und von Beweismaterialien für Rechtsanwälte und Strafverfolgungsbehörden;
- die Begleitung der Kommunikation mit Diensten bis zum Erhalt einer offiziellen Antwort.
Wenn Ihnen Kryptowährung gestohlen wurde, senden Sie uns die Wallet-Adresse, die TxID oder eine kurze Beschreibung des Vorfalls. Die Spezialisten von ProDefence nehmen eine erste Bewertung der Situation vor, bestimmen mögliche Ermittlungsrichtungen und erläutern, welche Schritte in Ihrem konkreten Fall erforderlich sind.
Vertraulich. Ohne unbegründete Versprechen. Mit technischer und rechtlicher Bewertung der Erfolgsaussichten.
