Wenn Angreifer Opfer mit Ransomware erpressen und Zahlungen in Bitcoin erhalten, werden diese Transaktionen in der Blockchain aufgezeichnet. Allerdings werden die Wallets, die diese illegalen Gelder erhalten, markiert, was Cyberkriminelle dazu veranlasst, das Geld durch verschiedene komplexe Methoden zu waschen, um Gewinne aus Online-Betrügereien, Diebstählen und Cyberangriffen zu realisieren. Die Geldwäsche von Cyberkriminalitätserlösen umfasst komplexe Transfers und Konvertierungen zwischen Kryptowährungen und gesetzlichem Geld. Das Verfolgen dieser Gelder stellt für Ermittler eine erhebliche Herausforderung dar. Raúl Orduna, Leiter für Digitale Sicherheit am baskischen Technologiezentrum Vicomtech, weist darauf hin, dass diese Aktivitäten eine verborgene, aber große und komplexe globale Wirtschaft schaffen. Das entscheidende Problem für Angreifer nach einem Cyberangriff besteht darin, wie sie an das erlangte Geld gelangen. Laut dem Crypto Crime Report 2024 von Chainalysis erreichte die Geldwäsche illegaler, kryptowährungsbezogener Mittel im Jahr 2023 etwa 22, 2 Milliarden US-Dollar. Im vergangenen Jahr wurden insgesamt 40, 9 Milliarden US-Dollar an illegale Blockchain-Adressen – digitale Konten für Kryptowährungen – überwiesen, mit einer möglichen Steigerung auf 51, 3 Milliarden US-Dollar. Cyberkriminelle versuchen, diese enormen illegalen Summen in sauberes Geld umzuwandeln. George Smaragdakis, Professor für Cybersicherheit an der Technischen Universität Delft, erklärt, dass Angreifer in der Regel Gelder in Bitcoin oder anderen Kryptowährungen erhalten und dann versuchen, anonym auf diese zuzugreifen, etwa durch Börsen oder Mixer. Die Gelder bewegen sich über mehrere Blockchain-Adressen, wobei Teile schließlich in die reale Wirtschaft gelangen. Um dieses Laundering-Labyrinth zu verstehen, müssen bestimmte Begriffe geklärt werden. Smaragdakis und Orduna arbeiten zusammen am Horizon-Projekt, einer europäischen Initiative mit Unternehmen, Forschungseinrichtungen und Strafverfolgungsbehörden, die darauf abzielt, die Cyber-Bedrohungsfähigkeit der EU zu stärken, einschließlich des Verständnisses, wie Kriminelle Profite erzielen. In Kryptowährungen enthält eine Wallet mehrere Blockchain-Adressen, die zum Senden oder Empfangen von Mitteln genutzt werden. Obwohl Blockchain-Transaktionen anonym sind, sind ihre Aufzeichnungen öffentlich, was Analysten ermöglicht, Geldwäschemuster zu erkennen, ohne Eigentümer zu identifizieren, erklärt Orduna. Ermittler konzentrieren sich auf die Identifikation von Krypto-Diensten, die den Banken ähnlich sind, aber anonym operieren. Besondere Aufmerksamkeit gilt Blockchain-Systemen wie Escrow-Smart-Contracts, die Gelder halten, bis Vertragsbedingungen erfüllt sind, sowie Mixern, die die Transaktionsanonymität erhöhen, indem sie die Herkunft der Gelder verschleiern und den Austausch zwischen verschiedenen Kryptowährungen ermöglichen.

Orduna erklärt, dass Mixer die Nachverfolgung der Zahlungsquellen erschweren. Smaragdakis fügt hinzu, dass die Quelle – das Opfer – oft identifizierbar ist, doch nach zahlreichen Transfers wird die Spur oft verloren. Cyberkriminelle nutzen die einfache Erstellung Tausender Blockchain-Adressen (im Gegensatz zu Bankkonten, die schwerer zu eröffnen sind), um die Nachverfolgung zu erschweren. Früher zentralisierten Kriminelle die Zahlungen der Opfer auf eine Adresse, doch heute vergeben sie für jeden Opfer eine eigene Adresse und oft mehrere Adressen pro Opfer, erklärt Smaragdakis. Damit fragmentieren sie die illegalen Gelder in kleinere Beträge über viele Adressen, was die Kontrolle und Überwachung erschwert. Anschließend können Kriminelle diese Gelder mit anderen Mitteln vermischen oder mit Krypto-akzeptierenden Casinos nutzen. Durch zahlreiche kleine Wetten mit minimalem Risiko und Gewinn "reinigen" sie das Geld, das dann als legales Zahlungsmittel abgehoben werden kann, fügt Orduna hinzu. Börsen wie Binance oder Coinbase stellen eine weitere Möglichkeit der Geldwäsche dar, sind jedoch für Kriminelle in der Regel unzugänglich, da diese Plattformen Anti-Geldwäsche-Richtlinien durchsetzen, die eine verifizierte Identität sowie Selfies der Nutzer verlangen, die mit den Konten verknüpft sind. Strafverfolgungsbehörden können bei Gerichtsbeschluss Informationen über Nutzer anfordern, was illegale Aktivitäten dort abschrecken soll. Daher wenden sich Kriminelle unregulierten Plattformen zu, die den Börsen ähnlich sehen. Orduna warnt, dass diese, obwohl sie nicht registriert sind, Transaktionsmuster zeigen, die echten Börsen ähnlich sind. Forscher bei Vicomtech versuchen, solche Plattformen durch die Analyse von Blockchain-Transaktionsmustern zu erkennen. Durch die Modellierung des Verhaltens legitimer Börsen entwickeln Ermittler digitale Verhaltensmodelle, um illegale, börsenähnliche Aktivitäten auf Blockchain-Netzwerken zu identifizieren. Das Vicomtech-Team arbeitet eng mit Behörden zusammen, sammelt Anforderungen und Beispiele verdächtiger Aktivitäten, generiert synthetische, anonymisierte Daten, um intelligente Erkennungsmodelle zu entwickeln und zu testen. Nach erfolgreicher Validierung unterstützen diese Modelle echte Ermittlungen, die von zuständigen Behörden geführt werden. Während sich die meisten Cybersicherheitsforschungen auf das Verständnis von Angriffen, die Verbesserung von Verteidigungsmaßnahmen und die Schadensbegrenzung konzentrieren, ist eine weitere wichtige Aufgabe die Verfolgung illegaler Gelderflüsse. Diese Arbeit ist entscheidend, um den Profiteure auf krimineller Ebene das Handwerk zu legen, wodurch auch ihre ökonomischen Anreize, Cyberkriminalität zu begehen, reduziert werden.