ZachXBT: EU-Organisation soll 106 Millionen Dollar verloren haben

Stablecoins abgezogen, in Ether und Monero getauscht

In einer Warnung auf seinem Telegram-Kanal schrieb der pseudonyme Ermittler am 2. November um 7:28 Uhr EST (13:28 Uhr MEZ), ein unbekannter Täter habe die Gelder als Stablecoins USDC und USDT abgehoben. Seither tausche er USDC in großem Stil in Ether und schicke Gelder an Sofort-Tauschdienste wie Wellwallet und Kyrrex. Einen Teil wandle er über den Dienst Wagyu in Monero (XMR) um, zudem verschiebe er Werte über Brücken auf andere Blockchains. Elf Ethereum-Adressen ordnet ZachXBT dem Diebstahl zu.

Jeder dieser Schritte erschwert die Verfolgung. USDC und USDT können ihre Herausgeber Circle und Tether einfrieren, Ether dagegen nicht. Monero verbirgt Absender, Empfänger und Beträge von Transaktionen. Ob Gelder des Täters bereits gesperrt sind, geht aus der Warnung nicht hervor.

Diesmal keine Spur nach Nordkorea

Der Täter sei weiterhin unbekannt, schreibt ZachXBT. Mehrere Merkmale der Geldwäsche sprächen aber mit hoher Gewissheit dagegen, dass die nordkoreanische Lazarus-Gruppe dahinterstehe. Damit unterscheidet sich der Fall vom Angriff auf Binance, den ZachXBT ebenso wie das Analyseunternehmen TRM Labs Nordkorea zugeschrieben hatte.

Dort hatten die Stablecoin-Herausgeber schnell reagiert. Tether fror die Hauptadresse des Angreifers auf Ethereum 37 Minuten nach Eingang der gestohlenen USDT ein und sperrte dort 1,18 Milliarden USDT, wie das Analyseunternehmen Elliptic berichtet. Circle sperrte kurz darauf 823 Millionen USDC. Insgesamt hat Elliptic eingefrorene oder beschlagnahmte Gelder über 2,85 Milliarden Dollar (rund 2,5 Milliarden Euro) bestätigt, 44 Prozent der Beute.

Auch sonst häufen sich die Vorfälle. Am 2. November stoppte die brasilianische Börse Mercado Bitcoin nach einem Hack die Auszahlungen. Laut Chainalysis erbeuteten die Angreifer dort rund 49 Millionen Dollar (rund 43,8 Millionen Euro). Bereits am 1. November hatte Btcpay Server Betreiber aufgefordert, ihre Server abzuschalten, weil Angreifer Hot Wallets leerräumten.

EU-Regeln zielen ab 2027 auf anonyme Kryptokonten

Wo die bestohlene Organisation sitzt, hat ZachXBT nicht mitgeteilt. Für Kryptoanbieter in Deutschland und Österreich gilt aber ab 10. Juli 2027 unmittelbar die neue EU-Geldwäscheverordnung (AMLR). Kreditinstitute, Finanzinstitute und Anbieter von Kryptowerte-Dienstleistungen dürfen nach Artikel 79 der Verordnung dann keine Konten mehr führen, die es ermöglichen, Kontoinhaber oder Transaktionen zu anonymisieren oder in hohem Maß zu verschleiern, „auch durch anonymitätsverstärkende Kryptowährungen“. Monero nennt die Verordnung nicht ausdrücklich.

Zum selben Gesetzespaket gehört die EU-Behörde zur Bekämpfung der Geldwäsche (AMLA) mit Sitz in Frankfurt am Main. Sie soll die nationalen Aufsichtsbehörden koordinieren und wählt laut ihrem Zeitplan 40 Verpflichtete aus, die sie ab 2028 direkt beaufsichtigt. Die Auswahl ist für 2027 vorgesehen.