Fall: USDC-Betrug in drei Netzwerken entschlüsselt

Was zeigt dieser Fall über USDC-Betrug in drei Netzwerken?

Dieser Fall zeigt, dass eine Route über mehrere Netzwerke pro Schritt nicht schwieriger ist, dass aber die Zahl der Verknüpfungen zwischen Netzwerken bestimmt, wie viel mit Sicherheit festzustellen ist. Innerhalb eines Netzwerks folgen Sie einer Linie, und bei jedem Übergang müssen Sie zeigen, dass eine ausgehende Buchung im einen Netzwerk zu einer eingehenden Buchung im anderen gehört.

Der Ausgangspunkt war vollständig: Der Geschädigte hatte drei eigene Adressen, pro Zahlung den Transaktions-Hash und einen Export der Plattform, bei der er die USDC gekauft hatte. Das ist ein Luxus, und es ist der Grund, dass diese Akte weit kam.

Was in der Rekonstruktion schieflief, war nicht die Technik, sondern die Erwartung. Der Geschädigte hatte die ersten Schritte selbst auf einem Blockexplorer verfolgt und dachte, die Spur ende, weil die Guthaben im einen Netzwerk einfach verschwanden. Sie waren nicht verschwunden, sie standen in einem anderen Netzwerk.

Wie lief die Route beim USDC-Betrug in drei Netzwerken über Ethereum, Polygon und Arbitrum?

Die Route lief in drei Phasen: Auf Ethereum wurden die Zahlungen zusammengeführt, über eine Bridge ging der Betrag zu Polygon, und nach einer Aufteilung dort lief ein Teil über eine zweite Bridge zu Arbitrum, wo er bei einer Handelsplattform einging. Insgesamt ging es um neunzehn Buchungen und zwei Übergänge.

• Phase eins, auf Ethereum: Vier Zahlungen des Geschädigten kamen auf einer Adresse zusammen, auf der im selben Zeitfenster auch Buchungen anderer Herkunft eingingen.
• Phase zwei, auf Polygon: Der Betrag wurde in sechs ungleiche Teile aufgeteilt, von denen vier Teile innerhalb eines Tages auf einer neuen Adresse wieder zusammengeführt wurden.
• Phase drei, auf Arbitrum: Der zusammengeführte Betrag ging in zwei Buchungen an eine Adresse, die einer Handelsplattform gehörte.

Die Entscheidung, auch die zwei kleinen Teile zu verfolgen, die auf Polygon zurückblieben, brachte die brauchbarste Feststellung. Einer dieser Teile ging nämlich ohne Zwischenschritte an eine zweite Plattform, und dieser Zweig war vollständig zu verfolgen.

Warum macht eine Bridge die Untersuchung schwieriger und wie wurde der Übergang dennoch festgestellt?

Eine Bridge macht die Untersuchung schwieriger, weil es keine einzige Buchung gibt, die beide Netzwerke zugleich festhält: Es gibt eine ausgehende Buchung im einen Netzwerk und eine eingehende Buchung im anderen, und die Verknüpfung dazwischen müssen Sie selbst untermauern. Das heißt ein Cross-Chain-Übergang und ist in der Praxis der am meisten unterschätzte Teil einer Akte.

In diesem Fall wurde jeder Übergang mit vier Angaben nebeneinander festgestellt: der genaue Betrag einschließlich der kleinsten Einheiten, der Zeitpunkt auf beiden Seiten, der Vertrag der Bridge auf der empfangenden Seite und die Adresse, die den Betrag dort in Empfang nahm. Wenn diese vier zueinander passen und es in diesem Zeitfenster keinen zweiten Kandidaten gibt, ist die Verknüpfung nachvollziehbar.

Unterschätzt wird oft: Der Betrag allein genügt nicht. Bei runden Beträgen kommen im selben Zeitfenster mehrere Kandidaten vor, und dann ist die Verknüpfung nicht festzustellen. Im Bericht ist deshalb bei einem der sechs Teile aufgenommen, dass der Übergang nicht mit Sicherheit zu verknüpfen ist, mit dem Grund dazu.

Welche Rolle hat der Herausgeber eines Stablecoins bei USDC-Betrug in drei Netzwerken?

Bei einem zentral herausgegebenen Stablecoin hat der Herausgeber technisch die Möglichkeit, Adressen zu sperren, weil diese Möglichkeit im Vertrag selbst eingebaut ist. Das ist eine Eigenschaft des Tokens und keine Dienstleistung, die auf Wunsch einer Privatperson ausgeführt wird.

Für Ihre Akte bedeutet das zwei Dinge. Erstens: Die Frage, ob eine Adresse gesperrt wird, liegt beim Herausgeber und folgt in der Praxis auf ein Ersuchen einer zuständigen Stelle, nicht auf ein Ersuchen von Ihnen oder von einem Untersuchungsbüro. Zweitens: Das macht das schnelle Festhalten von Adressen zusätzlich sinnvoll, denn ein Ersuchen einer Stelle muss auf etwas ruhen.

Für die Regeln, unter die Herausgeber und Anbieter von Kryptodienstleistungen in Europa fallen, veröffentlichen die Europäische Kommission und die Europäische Zentralbank. Diese Pflichten gelten für diese Anbieter und nicht für ein Untersuchungsbüro, das selbst keine Guthaben hält.

Welche Schritte durchläuft eine Cross-Chain-Untersuchung?

Eine Cross-Chain-Untersuchung durchläuft sieben Schritte, wobei pro Netzwerk getrennt gearbeitet und die Verknüpfungen zuletzt gelegt werden.

1. Feststellen aller eigenen Adressen und Zahlungen des Geschädigten, mit Betrag, Zeitpunkt und Transaktions-Hash.
2. Pro Netzwerk die Kette verfolgen bis zu dem Punkt, an dem die Guthaben das Netzwerk verlassen oder bei einem Dienstleister eingehen.
3. Feststellen, welcher Bridge-Vertrag genutzt wurde und welche Zeitverzögerung dazu gehört.
4. Im empfangenden Netzwerk nach eingehenden Buchungen suchen, die bei Betrag und Zeitfenster passen.
5. Ausschließen, dass es in diesem Zeitfenster einen zweiten Kandidaten gibt, und gibt es einen, wird die Verknüpfung nicht festgestellt.
6. Alle Abzweigungen verfolgen, auch die kleinen, weil diese öfter bei einem Dienstleister ankommen als der Hauptstrom.
7. Pro Schritt und pro Verknüpfung festhalten, worauf die Feststellung ruht und wo die Unsicherheit beginnt.

Schritt fünf ist der Teil, der einen Bericht haltbar macht. Eine Rekonstruktion, die jeden Übergang als sicher darstellt, ist bei einer Route mit vielen runden Beträgen fast immer zu optimistisch.

Paucitas verwendet keine automatisierte Analysesoftware, in keiner Rolle. Die Untersuchung erfolgt manuell auf Basis öffentlich zugänglicher Blockexplorer. Jede Transaktion und jeder Transaktions-Hash wird einzeln verifiziert, bevor sie in einen Bericht aufgenommen wird.

Warum dieser Unterschied wichtig ist, steht in unserem Vergleich von manueller Blockchain-Analyse und automatisierten Werkzeugen. Für eine Route innerhalb eines Netzwerks ist der Fall, in dem eine Transaktion bis zur Börse verfolgt wurde, das einfachere Gegenstück zu dieser Akte.

Was kann eine Cross-Chain-Untersuchung nicht feststellen?

Eine Cross-Chain-Untersuchung stellt fest, welche Route die Guthaben genommen haben und bei welchen Übergängen die Verknüpfung sicher ist, und nicht, wer auf der anderen Seite saß. Diese Grenze gehört ausdrücklich in den Bericht, pro Verknüpfung.

• Paucitas stellt nicht selbständig fest, wer sich hinter einer Kryptoadresse verbirgt. Festgehalten wird, an welchen Dienstleister oder an welche Partei Guthaben gegangen sind, damit diese Information über die dafür vorgesehenen Kanäle weiterverfolgt werden kann.
• Bei Nutzung von Mixern oder auf Privatsphäre ausgerichteten Netzwerken ist die Kette nicht immer vollständig zu verfolgen. In diesem Fall wird ausdrücklich benannt, bis zu welchem Punkt die Route feststellbar ist.
• Transaktionen außerhalb der Blockchain, etwa Barzahlungen oder interne Buchungen innerhalb einer Börse, sind in Blockchaindaten nicht sichtbar. Sie werden nur berücksichtigt, wenn zugrunde liegende Unterlagen vorliegen.
• Paucitas hält selbst keine Guthaben und führt keine Transaktionen im Namen von Mandanten aus.
• Paucitas macht keine Zusage über das Ergebnis einer Untersuchung.
• Ein Bericht von Paucitas beschränkt sich auf sachliche Feststellungen und deren Untersuchung.
• Paucitas erteilt keine steuerliche oder rechtliche Beratung.

Was in dieser Art von Akte zusätzlich eine Rolle spielt: Buchungen innerhalb einer Handelsplattform sind nicht on-chain sichtbar. Sobald Guthaben bei einer Krypto-Börse eingehen, stoppt die Kette und beginnen die Daten dieser Partei.

Was können Sie selbst tun und wann genügt das nicht?

Bei USDC-Betrug in drei Netzwerken können Sie die erste Phase selbst machen: Ihre eigenen Adressen und Zahlungen festhalten und die Kette innerhalb eines Netzwerks auf einem öffentlichen Blockexplorer verfolgen. Das kostet einen Abend und bringt oft schon einen Sammelpunkt.

Es genügt nicht mehr, sobald die Guthaben das Netzwerk verlassen. Denken Sie, die Spur ende, weil der Betrag verschwindet, prüfen Sie zuerst, ob eine Bridge im Spiel ist. In diesem Fall war das genau der Punkt, an dem der Geschädigte aufgehört hatte. Das Verknüpfen von zwei Netzwerken verlangt eine Ausschlussanalyse, und das ist Arbeit, die verantwortet werden muss.

Die Lieferung der Daten erfolgt digital oder im Büro. Pro Fall wird eine Lieferliste bereitgestellt, in der steht, welche Daten benötigt werden. Wo nötig begleitet Paucitas das Sammeln und Liefern dieser Daten.

Paucitas fragt von sich aus niemals nach Ihrer Wiederherstellungsphrase oder Ihrem privaten Schlüssel. Brauchen Sie Hilfe beim Auslesen oder Wiederherstellen Ihrer Wallet, begleiten wir Sie dabei vollständig, ohne dass wir diese Daten selbst einsehen müssen.

Was steht im Bericht und wie lange dauert die Untersuchung?

Ein Bericht von Paucitas folgt einer festen Gliederung: Anlass und Auftragsbeschreibung, Fragestellung, Reichweite, Ausgangspunkte, gelieferte Daten, herangezogene Quellen, Vorgehensweise in Grundzügen, Verifizierung und Qualitätssicherung, Vorbehalte und Beschränkungen, Feststellungen pro Teil, chronologische Übersicht, Analyse und Zusammenhang, Schlussfolgerung, Unabhängigkeitserklärung und Anlagen. Nicht jeder Bericht enthält alle Teile, und die Gliederung wird auf den Zweck abgestimmt.

In diesem Fall stand konkret darin: neunzehn Buchungen mit Transaktions-Hash verteilt über drei Netzwerke, zwei Übergänge, von denen einer mit Sicherheit und einer mit einem Vorbehalt verknüpft ist, zwei Dienstleister, bei denen Guthaben eingegangen sind, mit dem zugehörigen Zeitpunkt, und eine Schlussfolgerung, in der pro Teil angegeben ist, was feststeht. Der Empfänger konnte damit eine gezielte Anzeige erstatten.

Eine Untersuchung von Paucitas dauert, abhängig vom Umfang der Akte und von der Dringlichkeit, zwischen einem Arbeitstag und zwei Wochen. Ein Eilbericht kann innerhalb eines Arbeitstages geliefert werden und in Ausnahmefällen am selben Tag. Eine reguläre Untersuchung ist in der Regel innerhalb von drei Arbeitstagen fertig. Bei Akten mit vielen Transaktionen, mehreren Wallets oder fehlender Historie steigt die Laufzeit auf etwa zwei Wochen. Für Eilaufträge gilt ein Zuschlag.

Paucitas arbeitet mit einem Festpreis auf Basis Ihrer Situation. Manchmal wenden wir in Absprache einen Stundensatz an, die Stunden werden aber immer vorab festgelegt, sodass Sie nie vor Überraschungen stehen. Es wird keine Untersuchung begonnen, bevor die Kosten besprochen und gebilligt sind.

Paucitas antwortet in der Regel innerhalb weniger Minuten bis einer Stunde und in nahezu allen Fällen am selben Arbeitstag.

Wo beginnt die Arbeit der Polizei und wo die von Paucitas?

Die Polizei kann eine Anzeige aufnehmen und auf strafprozessualem Weg Daten bei einem Dienstleister oder einem Herausgeber anfordern. Paucitas kann das nicht und stellt stattdessen die Fakten fest, die ein solches Ersuchen untermauern. Bei einer Route über mehrere Netzwerke ist dieser Unterschied zusätzlich relevant, weil ein Ersuchen bei jeder beteiligten Partei getrennt landen muss.

Bleibt Ihre eigene Rekonstruktion an dem Punkt stecken, an dem ein Betrag zu verschwinden scheint, dann können Sie das in einem kostenlosen Erstgespräch ruhig ansehen lassen. Wir sagen ehrlich, wann eine Verknüpfung nicht festzustellen ist. Mehr zu dieser Leistung finden Sie bei Blockchain-Untersuchung und Transaktionsverfolgung und den breiteren Ansatz auf der Seite zum Nachverfolgen von gestohlenem Krypto.

Datum der letzten Überarbeitung: 04.09.2026.