Die Nachverfolgung auf einer einzigen Chain – gestohlene Bitcoin von Adresse zu Adresse auf der Bitcoin-Blockchain zu verfolgen – ist bereits für sich genommen schwierig genug, wie in unserem Leitfaden zu wie man gestohlene Bitcoin nachverfolgt beschrieben. Moderne Diebstahlsfälle fügen eine weitere Komplexitätsebene hinzu, denn gestohlene Gelder bleiben heute nur selten auf einer einzigen Blockchain. Sie werden auf ein anderes Netzwerk gebrückt, in einen anderen Vermögenswert getauscht und erneut bewegt – manchmal innerhalb von Minuten nach dem ursprünglichen Diebstahl. Dieser Leitfaden erklärt, wie diese Cross-Chain-Bewegung tatsächlich verfolgt wird.
Warum Diebe Gelder über mehrere Chains bewegen
Das Verschieben gestohlener Gelder über mehrere Blockchains hinweg dient technisch gesehen nicht in erster Linie der Verschleierung, da jede beteiligte Chain weiterhin öffentlich ist. Es geht darum, die durchgängige Sicht auf ein einziges Hauptbuch zu durchbrechen, die die Nachverfolgung auf einer einzigen Chain vergleichsweise einfach macht. Verlassen Gelder Ethereum und kommen auf einem anderen Netzwerk als anderes Token an, verliert ein Tool, das nur Ethereum überwacht, an dieser Stelle schlicht die Spur, obwohl die Gelder tatsächlich nicht verschwunden sind.
Es dient auch praktischen Zwecken für einen Dieb: das Erreichen von Liquiditätsplätzen, dezentralen Börsen oder Diensten, die auf einem anderen Netzwerk verfügbar sind, und in vielen Fällen das gezielte Ansteuern von Chains oder Bridges, die für schwächere Compliance-Kontrollen oder langsamere Kooperation mit Ermittlern bekannt sind.
Wie eine Cross-Chain-Bridge tatsächlich funktioniert
Eine Bridge ist ein Protokoll, das es einem Nutzer erlaubt, Wert von einer Blockchain auf eine andere zu übertragen. Mechanisch geschieht dies meist auf eine von zwei Arten. Bei einem Lock-and-Mint-Modell wird der ursprüngliche Vermögenswert in einem Smart Contract auf der Quell-Chain gesperrt, und auf der Ziel-Chain wird ein entsprechendes Wrapped Token geprägt. Bei einem Liquiditätspool-Modell zahlt der Nutzer einen Vermögenswert in einen Pool auf der Quell-Chain ein, und ein entsprechender Betrag wird aus einem passenden Pool auf der Ziel-Chain ausgezahlt, ohne dass die ursprünglichen Token auf dieselbe Weise gesperrt werden.
So oder so hinterlässt eine Bridge-Transaktion Aufzeichnungen auf beiden Seiten – ein Einzahlungs- oder Sperrereignis auf der Quell-Chain und ein Präge- oder Auszahlungsereignis auf der Ziel-Chain, üblicherweise innerhalb eines kurzen, erkennbaren Zeitfensters und oft mit einem eng übereinstimmenden Betrag. Genau diese Übereinstimmung, Zeitpunkt und Betrag, ist der wichtigste Ansatzpunkt, den Ermittler nutzen, um die beiden Hälften der Spur wieder miteinander zu verbinden.
Verwahrte Bridges gegenüber vertrauenslosen Bridges
Eine Unterscheidung, die für rechtliche Schritte wichtiger ist als für die reine Nachverfolgungslogik, ist, ob eine Bridge verwahrend ist, das heißt ein Unternehmen oder eine Stiftung kontrolliert die gesperrten Gelder und betreibt den Prägeprozess, oder vertrauenslos, das heißt der Prozess wird vollständig von Smart Contracts und einer dezentralen Gruppe von Validatoren ohne einen einzelnen kontrollierenden Betreiber gesteuert. Eine verwahrende Bridge ist selbst ein Engpass, da die Betreiberorganisation im Prinzip ebenso mit einer Vorladung oder rechtlichen Anfrage erreicht werden kann wie eine Börse. Eine vollständig vertrauenslose Bridge bietet kein gleichwertiges rechtliches Ziel, was bedeutet, dass die Spur bis zu jenem Engpass verfolgt werden muss, den die Gelder schließlich auf der Ziel-Chain erreichen, da das Bridge-Protokoll selbst niemanden bietet, der zur Kooperation gezwungen werden könnte.
Die eigentliche Methode: Beide Seiten der Spur korrelieren
Die Cross-Chain-Nachverfolgung funktioniert, indem jede Bridge oder jeder Swap als verbindendes Ereignis behandelt wird, nicht als Endpunkt. Der Prozess folgt im Allgemeinen diesen Schritten:
- Bestätigen der genauen Transaktion, mit der gestohlene Gelder in einen bekannten Bridge-Vertrag oder ein Swap-Protokoll auf der Quell-Chain eingehen, zusammen mit dem exakten Betrag und Zeitstempel
- Abfragen der Ziel-Chain, oder bei einer Bridge mit mehreren möglichen Zielen jeder infrage kommenden Chain, nach einem passenden Präge-, Auszahlungs- oder Einzahlungsereignis innerhalb eines plausiblen Zeitfensters
- Abgleichen der Beträge unter Berücksichtigung von Bridge-Gebühren, Wechselkursumrechnungen und typischen Verarbeitungsverzögerungen, um einzugrenzen, welche Transaktion auf der Ziel-Chain dem Ereignis auf der Quelle entspricht
- Fortsetzen des üblichen Adress-Clusterings ab der neu identifizierten Zieladresse, unter Anwendung der in unserem Bitcoin-Nachverfolgungsleitfaden beschriebenen Heuristiken, angepasst an das Konto- oder UTXO-Modell der neuen Chain
- Wiederholen dieses Prozesses für jede weitere Bridge oder jeden weiteren Swap, den die Gelder durchlaufen, um eine zusammenhängende Multi-Chain-Karte statt mehrerer getrennter Einzel-Chain-Fragmente zu erstellen
Moderne Blockchain-Intelligence-Plattformen automatisieren einen Großteil dieser Korrelation, indem sie Datenbanken bekannter Bridge- und Mixer-Vertragsadressen pflegen und Musterabgleiche über Dutzende Chains gleichzeitig anwenden – das verwandelt, was sonst Wochen manuellen Abgleichs wären, in eine strukturierte, zeitnahe Untersuchung.
Verbreiteter Irrtum: Wrapped Token durchbrechen die Eigentumskette
Ein häufiges Missverständnis lautet, dass ein Vermögenswert, sobald er gebrückt und zu einem Wrapped Token wird – also einer auf einer neuen Chain ausgegebenen Repräsentation des ursprünglichen Vermögenswerts, etwa Wrapped Bitcoin auf Ethereum –, die Verbindung zu den ursprünglich gestohlenen Geldern irgendwie kappt. Das ist nicht der Fall. Der gesamte Zweck eines Wrapped Tokens besteht darin, einen bestimmten gesperrten Betrag des ursprünglichen Vermögenswerts eins zu eins zu repräsentieren, und das Prägeereignis, das es erzeugt, ist selbst eine auf der Ziel-Chain aufgezeichnete Transaktion, die über Zeitpunkt und Betrag mit dem Sperrereignis auf der Quell-Chain verknüpft ist. Ermittler müssen einen Wrapped Asset nicht als neuen, losgelösten Vermögenswert behandeln. Sie behandeln den Wrap selbst als ein weiteres Glied derselben durchgängigen Besitzkette, im Prinzip nicht anders als ein Peel-Chain-Sprung auf einer einzelnen Blockchain.
Ein Beispiel: Geldern über zwei Chains hinweg folgen
Betrachten wir Gelder, die bei einem Phishing-Angriff aus einer Ethereum-Wallet gestohlen wurden. Der Dieb verschiebt die Gelder sofort in einen Bridge-Vertrag, sperrt das gestohlene ETH und erhält einen entsprechenden Wrapped Asset auf einer separaten, schnelleren und günstigeren Blockchain – gezielt, um dort verfügbare dezentrale Börsen zu erreichen. Ein Ermittler, der den Fall nachverfolgt, bestätigt zunächst den genauen Betrag und Zeitstempel des Sperrereignisses auf Ethereum und fragt dann die Ziel-Chain nach einem passenden Prägeereignis innerhalb des für die Bridge typischen Verarbeitungsfensters ab, bei den meisten modernen Bridges in der Regel wenige Minuten.
Nachdem die beiden Ereignisse abgeglichen wurden, setzt der Ermittler das Clustering auf der Ziel-Chain fort, wo der Dieb den Wrapped Asset über eine dezentrale Börse gegen einen Stablecoin tauscht und diesen Stablecoin dann an eine zentralisierte Börse sendet, um ihn auszuzahlen. Obwohl die Gelder von Ethereum auf eine separate Chain übergingen und dabei zweimal umgewandelt wurden, bleibt die Spur durchgängig: Sperrereignis, abgeglichenes Prägeereignis, dezentraler Swap und schließlich eine Einzahlung bei einer identifizierbaren, regulierten Börse – die zum Engpass für eine rechtliche Meldung wird, genau wie es bei einem reinen Bitcoin-Fall auf einer einzigen Chain der Fall wäre.
Mixer und das Problem des Chain-Hoppings
Mixing-Dienste fügen einen bewussten Verschleierungsschritt hinzu, indem sie Gelder von vielen verschiedenen Einzahlern bündeln und aus diesem gemeinsamen Pool auszahlen statt über eine direkte Eins-zu-eins-Transaktion, was die Zeit- und Betragskorrelation schwächt, auf die sich die Cross-Chain-Nachverfolgung normalerweise stützt. Nach Sanktionsmaßnahmen und Abschaltungen durch Strafverfolgungsbehörden gegen mehrere große Mixing-Dienste in den letzten Jahren hat sich ein Teil der illegalen Aktivität stattdessen in Richtung des Verkettens mehrerer Cross-Chain-Bridges verlagert, da schnelles, hochvolumiges Bridge-Hopping einen ähnlichen verschleiernden Effekt bei geringerem operativem Risiko erzeugt.
Das besiegt die Nachverfolgung nicht grundsätzlich. Ermittler entwickeln zunehmend verhaltensbasierte Fingerabdrücke – Muster bei Transaktionszeitpunkten, Betragsstrukturierung und den Quellen der Gasgebührenfinanzierung –, die selbst dann bestehen bleiben können, wenn kein einzelner sauberer Zeit- und Betragsabgleich verfügbar ist. Das erhöht jedoch spürbar den erforderlichen Aufwand und kann in manchen Fällen die Spur an einem Engpass vollständig abreißen lassen, der keine Kooperation bietet.
- Zeitkorrelation, der Abgleich eines Sperr- oder Einzahlungsereignisses auf der Quell-Chain mit einem Präge- oder Auszahlungsereignis auf der Ziel-Chain innerhalb des für die Bridge typischen Verarbeitungsfensters
- Betragskorrelation, unter Berücksichtigung bekannter Bridge-Gebühren und Slippage, um zu bestätigen, dass ein Ereignis auf der Ziel-Chain einem bestimmten Ereignis auf der Quelle entspricht
- Analyse der Gasgebührenfinanzierung, da die zur Zahlung von Gas auf einer neuen Chain genutzte Wallet oft von irgendwoher finanziert werden muss, was gelegentlich eine separate, vom selben Akteur kontrollierte Adresse offenlegt
- Bekannte Vertragskennzeichnung, das Pflegen von Datenbanken mit Bridge-, Mixer- und Adressen dezentraler Börsen, damit automatisierte Tools einen Geldwäschesprung im Moment seines Auftretens erkennen können
Eine auf einer Blockchain kalt werdende Spur bedeutet selten, dass die Gelder verschwunden sind. In den meisten modernen Diebstahlsfällen bedeutet es, dass die Gelder eine Bridge zu einem anderen Netzwerk überquert haben, und die Untersuchung muss diesem selben Wert auf die neue Chain folgen, statt die ursprüngliche Chain als Ende der Geschichte zu behandeln.
Wohin die Spur führt: dieselben Engpässe, mehr Schritte
Trotz der zusätzlichen Komplexität ist das Ziel einer Cross-Chain-Nachverfolgung meist derselbe Typ von Engpass, der bereits bei der Nachverfolgung auf einer einzigen Chain beschrieben wurde – eine zentralisierte Börse oder ein anderer regulierter Dienst, bei dem die Gelder schließlich in ausgebbaren Wert umgewandelt werden. Die Multi-Chain-Bewegung fügt der Reise Sprünge hinzu, beseitigt aber selten die letztliche Notwendigkeit für den Dieb, irgendwo auszahlen zu müssen, das im Prinzip mit dem richtigen rechtlichen Verfahren erreicht werden kann. Deshalb lösen sich Cross-Chain-Fälle, wenn sie sich lösen, weiterhin durch dieselbe Kombination aus Nachverfolgung, Kooperation der Börse und rechtlichen Schritten, wie sie in unserem Leitfaden dazu beschrieben ist, ob gestohlene Kryptowährung wiederbeschafft werden kann.
Ein Hinweis zu realistischen Erwartungen bei komplexen Fällen
Cross-Chain- und Multi-Hop-Geldwäschefälle benötigen spürbar mehr Ermittlungszeit als ein unkomplizierter Diebstahl auf einer einzigen Chain, und die zusätzliche Komplexität verringert tatsächlich in jedem Einzelfall die Chancen, einen sauberen, verwertbaren Engpass zu erreichen. Das Case-Team von Coin Trace erstellt Multi-Chain-Geldflusskarten genau für solche Situationen und dokumentiert jede Bridge, jeden Swap und jeden Chain-Übergang, doch ehrlicherweise gilt: Je mehr Sprünge eine Spur durchquert, desto mehr hängt diese Spur von der Kooperation der Dienste entlang des Weges ab, und diese Kooperation kann kein Ermittler im Voraus garantieren.
Häufig gestellte Fragen
Nein. Jede Seite einer Bridge-Transaktion wird weiterhin auf der jeweiligen öffentlichen Blockchain aufgezeichnet. Bridges erhöhen die Komplexität, indem sie die durchgängige Sicht auf ein einziges Hauptbuch durchbrechen, doch Ermittler korrelieren die Transaktionen auf Quelle und Ziel anhand von Zeitpunkt, Betrag und bekannten Bridge-Vertragsadressen, um die Spur wieder zu verbinden.
Eine Bridge bewegt Wert zwischen zwei unterschiedlichen Blockchains und bewahrt in der Regel eine recht direkte, abgleichbare Verbindung zwischen Quell- und Zieltransaktion. Ein Mixer bündelt Gelder von vielen nicht miteinander verbundenen Einzahlern auf derselben Chain und zahlt aus diesem gemeinsamen Pool aus, was gezielt darauf ausgelegt ist, die Eins-zu-eins-Korrelation zu durchbrechen, auf die sich die Nachverfolgung stützt – was ihn zu einem schwierigeren Hindernis macht als eine typische Bridge.
Es gibt keine feste Zahl. Jede zusätzliche Bridge, jeder Swap oder Mixing-Schritt erhöht Kosten und Aufwand der Untersuchung und verringert die Chancen auf einen sauberen Abgleich, aber in dokumentierten Fällen wurden Gelder erfolgreich über viele Sprünge und mehrere unterschiedliche Chains hinweg nachverfolgt. Die Spur endet in der Regel nicht wegen einer technischen Grenze, sondern weil sie einen nicht kooperationsbereiten Dienst oder ein Datenschutz-Tool erreicht, das die Korrelation vollständig durchbricht.
Für die Analyse öffentlicher Blockchain-Daten selbst ist keine besondere Genehmigung erforderlich, da jede beteiligte Chain ein öffentliches Hauptbuch ist. Was ein rechtliches Verfahren erfordert, ist die Verpflichtung eines privaten Unternehmens, etwa einer Börse oder eines Bridge-Betreibers, Informationen zur Kontoidentität offenzulegen oder Gelder einzufrieren, sobald eine Spur zu dessen Plattform führt.
Nicht wesentlich. Ein Wrapped Token entsteht durch ein Prägeereignis, das über Zeitpunkt und Betrag mit einem Sperrereignis auf der ursprünglichen Chain verknüpft ist, sodass der Wrap selbst nur ein weiteres dokumentiertes Glied in der Besitzkette ist und kein Bruch darin. Die schwierigeren Hindernisse sind Mixer und Privacy Coins, nicht die von gewöhnlichen Bridges genutzten Wrapping-Mechanismen.
Quellen und weiterführende Informationen
- Cross-Chain Tracing in Crypto: How It Works and Why It Matters · TRM Labs
- Crypto mixers and crosschain bridges: How hackers launder stolen assets · Cointelegraph
- How to investigate emerging risks related to cross chain crime · Crystal Intelligence