Wohin gestohlene Kryptowährungen wirklich fließen: Ein Einblick in die 45-tägige Geldwäschemaschine

Sechs Jahre, mehr als 16 Milliarden US-Dollar verschwunden

Krypto-Diebstahl ist nicht mehr nur eine Phase, die die Branche der digitalen Vermögenswerte langsam hinter sich lässt, sondern eine eigenständige Branche. Allein in den letzten fünf Jahren haben On-Chain-Ermittler explodierende Diebstahlssummen gezählt (3,7 Milliarden US-Dollar im Jahr 2022, 1,7 Milliarden US-Dollar im Jahr 2023, 2,2 Milliarden Dollar im Jahr 2024 und 3,4 Milliarden Dollar im Jahr 2025) – Zahlen, die keine Anzeichen eines Rückgangs zeigen.

Tatsächlich ist zu erwähnen, dass fast die Hälfte der Gesamtsumme des letzten Jahres auf ein einziges Ereignis zurückzuführen war, nämlich den Bybit-Hack im Februar 2025, bei dem Angreifer den Signaturprozess der Cold-Wallet der Börse kompromittierten und mit 1,5 Milliarden US-Dollar davonkamen (was diesen Vorfall zum größten Krypto-Diebstahl der Geschichte machte).

Die erste Hälfte dieses Jahres verlief unheimlich ähnlich: Laut dem Sicherheitsunternehmen Blockaid kamen bei einer Rekordzahl von 212 Vorfällen insgesamt rund 1,1 Milliarden US-Dollar hinzu. Der größte Einzelangriff war der Exploit vom 19. April gegen das Restaking-Protokoll KelpDAO (mit einem Schaden von 293 Millionen US-Dollar), und TRM Labs zählte in diesen sechs Monaten 207 Vorfälle – mehr als doppelt so viele wie im gleichen Zeitraum des Vorjahres.

Das 45-Tage-Szenario

Was typischerweise nach den oben genannten Diebstählen geschieht, gleicht mittlerweile fast einem Drehbuch: Forscher beschreiben einen charakteristischen Geldwäschezyklus, der sich über etwa 45 Tage in drei Wellen erstreckt.

In den Tagen null bis fünf kommt es vor allem auf Geschwindigkeit an, und die gestohlenen Token werden in der Regel über DeFi-Protokolle (Dezentrale Finanzen) getauscht (die Aktivität steigt um bis zu 370 %) und in Mixing-Dienste geleitet, die Coins bündeln und vermischen, um die Verbindung zwischen Quelle und Ziel zu unterbrechen. In den Tagen sechs bis zehn wechseln die Gelder über kettenübergreifende Brücken die Blockchain und fließen über Börsen mit begrenzten „Know-Your-Customer“-Prüfungen (KYC).

Anschließend, von etwa Tag 20 bis Tag 45, werden die Coins in kleinen Tranchen (in der Regel unter 500.000 US-Dollar, um unter den Meldepflichten zu bleiben) über No-KYC-Plattformen, Sofortumtauschdienste, sowie chinesischsprachige OTC-Netzwerke (Over-the-Counter) und Garantiedienste wie den sanktionierten Huione-Marktplatz ausgezahlt. Folglich hat das Geld bis zum Ende des Zyklus so viele Blockchains, Mixer und Rechtsräume durchlaufen, dass eine Rückverfolgung zwar weiterhin möglich ist (da Blockchains niemals vergessen), eine Rückgewinnung jedoch selten gelingt. Zum Vergleich: Weniger als 5 % der gestohlenen Gelder von Bybit konnten jemals wiederbeschafft werden, obwohl die Börse einige der erfolgreichsten „White-Hat“-Experten auf ihrer Seite hatte.

2026: Mehr Hacks, geringere Beute

In diesem Jahr haben Angreifer ihre Zielgruppe erweitert, da neben Protokoll-Exploits wie dem bei KelpDAO allein im April mit gestohlenen 641,67 Millionen US-Dollar ein Monatsrekord aufgestellt wurde. Mit Lazarus in Verbindung stehende nordkoreanische Gruppen waren für etwa 55 % der Verluste im ersten Halbjahr verantwortlich, und die Zählung von CertiK, die auch Phishing-Angriffe und die Plünderung persönlicher Wallets umfasst, beziffert den Schaden in diesem Zeitraum auf 1,32 Milliarden US-Dollar bei 344 Vorfällen.

Zuletzt zeigte der Exploit der Coldcard-Hardware-Wallet, wie sich die Vorgehensweise nun auch auf Bitcoin ausweitet. Nachdem der Angreifer rund 116 Millionen US-Dollar aus Wallets mit schwachen Seed-Phrasen abgezogen hatte, begann er mit der Konsolidierung der Coins, während Beobachter jeden Schritt verfolgten. Angesichts dieses Vorfalls wurden die zentralen Alleinstellungsmerkmale von Bitcoin – Transparenz und Unumkehrbarkeit – fast über Nacht zu zweischneidigen Schwertern, denn obwohl jeder die Bewegung der gestohlenen Coins verfolgen konnte, war niemand in der Lage, sie zurückzuholen.

Warum eine Rückgewinnung fast nie gelingt

Wenn all diese Angriffe stattfinden, ist der einzige Hebel, der sich immer wieder als zuverlässig erwiesen hat, das zentralisierte Einfrieren von Stablecoins. Tether und Circle können Adressen auf Vertragsebene auf eine schwarze Liste setzen und so alle USDT oder USDC, die sich noch im Besitz der Diebe befinden, sofort blockieren – genau aus diesem Grund tauschen versierte Angreifer gestohlene Stablecoins innerhalb von Minuten nach einem Einbruch in Ether oder Bitcoin um und nehmen dabei Preisrisiken in Kauf, um dem Einfrierungsradius zu entkommen.

Das ist eine aufschlussreiche Asymmetrie: Die zensurresistentesten Vermögenswerte lassen sich am einfachsten waschen, während die am leichtesten einfrierbaren am einfachsten wiederbeschafft werden können. Jedes Geldwäsche-Szenario ist letztlich ein Wettlauf darum, das Erfassbare in das Unerfassbare umzuwandeln, bevor jemand mit einer „Pause-Taste“ davon Notiz nimmt.

Die unangenehme Rechnung bei Krypto-Diebstählen lautet: Prävention ist fast alles. Börsen und Analyseunternehmen können Gelder einfrieren, die mit konformen Plattformen in Berührung kommen – genau deshalb konzentrieren sich Geldwäscher von vornherein auf DeFi und Mixer, wo niemand etwas einfrieren kann.

Sanktionen gegen Mixer und Dienste wie Huione erhöhen zwar die Kosten, verlagern die Geldströme jedoch lediglich auf Nachfolger, anstatt sie zu stoppen. Und die 45-Tage-Frist bedeutet, dass die Coins ihre Reise in der Regel bereits beendet haben, bis grenzüberschreitende rechtliche Verfahren überhaupt erst in Gang kommen.

Für Nutzer und Plattformen lautet die Lehre: Sind Gelder erst einmal gestohlen, kehrt die überwiegende Mehrheit davon niemals zurück. Zudem ist der Zyklus der Angreifer schneller als die Compliance, und jedes Jahr, in dem in den Schlagzeilen steht, dass „Krypto-Diebstähle zurückgehen“, ist das nächste Milliarden-Dollar-Gegenbeispiel bereits in Bewegung. Die Blockchain zeichnet alles auf und gibt nichts zurück.