Autor: Javier Paz, Forbes-Reporter
Übersetzung: Luffy, Foresight News
Im Kryptowährungsbereich ist Privatsphäre ein großes Thema. Für diejenigen, die bestimmte Dinge verbergen möchten, gibt es ein Werkzeug namens Kryptowährungs-Mixer, das Vermögensinhabern hilft, ihre Identität zu verbergen. Die Funktionsweise eines Mixers besteht einfach darin, die eingezahlte Kryptowährung zu einem Pool zu mischen, die Verbindung zur ursprünglichen Krypto-Wallet zu trennen, sodass man nicht mehr weiß, wo die Mittel ursprünglich herkommen. Im Jahr 2022 wurde der "berüchtigtste" Mixer Tornado Cash vom US-Finanzministerium auf die Sanktionsliste gesetzt, weil dieser Mixer angeblich Kriminellen geholfen hat, Hunderte von Millionen Dollar zu waschen, einschließlich einer Hackerorganisation aus Nordkorea.
Die US-Strafverfolgungsbehörden gaben an, dass eine nordkoreanische Hackergruppe namens Lazarus Group Mixer wie Blender.io, Tornado Cash, Railgun und Sinbad.io verwendet, um gestohlene Kryptowährung zu waschen. Die folgende Abbildung zeigt, dass Mixer verwendet wurden, um 700 Millionen Dollar an gestohlenen Mitteln von Blockchain-Anwendungen (wie dem Online-Spiel Axie Infinity, der Wallet-Software Atomic Wallet und dem Cross-Chain-Bridge Harmony Bridge) zu waschen. Harmony Bridge ist ein Tool, das es Benutzern ermöglicht, Token-Vermögenswerte von einer Blockchain von Harmony zu anderen Blockchain-Netzwerken wie Ethereum zu übertragen. Laut dem Wall Street Journal hat Lazarus insgesamt Kryptowährungen im Wert von über 3 Milliarden Dollar gestohlen.
Die folgende Tabelle listet einige Ereignisse auf, bei denen Hacker (rot) und Mixer (grün) beschuldigt wurden, Geldwäsche betrieben zu haben, in chronologischer Reihenfolge. Die grünen Zahlen entsprechen nicht immer den roten Zahlen, da die von Hackern gestohlenen Mittel nicht immer den gewaschenen Mitteln entsprechen und einige Mittel möglicherweise mehrmals zur Geldwäsche verwendet wurden.
Lazarus Group Kryptowährungs-Hackerereignis, Datenquelle: FBI, US-Finanzministerium, zusammengestellt von Forbes.
Der Harmony Bridge-Hack unterscheidet sich von anderen Mixern, da die US-Strafverfolgungsbehörden Railgun noch nicht sanktioniert haben. Das Finanzministerium hat nicht auf Anfragen zur Stellungnahme bezüglich Railgun reagiert. Es gibt jedoch neue Informationen, die darauf hindeuten, dass die Digital Currency Group (DCG), die hinter dem Fonds mit 25 Milliarden Dollar Kryptowährung steht, möglicherweise von der Geldwäsche über Railgun profitiert hat. Forbes unterstützte eine zwei Monate dauernde Untersuchung auf Basis von Daten der Blockchain-Intelligence-Firma ChainArgos, die zeigt, dass DCG seit Juni 2023 insgesamt 436.906 Dollar von Railgun erhalten hat. Diese Zahl macht 18% der 2,4 Millionen Dollar an Ausgaben von Railgun in diesem Zeitraum aus. Laut der Krypto-Forensikfirma Elliptic könnte der Mixer Railgun 2023 in Geldwäscheaktivitäten der Lazarus Group im Wert von bis zu 60 Millionen Dollar verwickelt gewesen sein. Ein Sprecher von DCG lehnte es ab, zu diesem Thema Stellung zu nehmen. Forbes hat mehrfach um einen Kommentar von Railgun gebeten, erhielt jedoch keine Antwort.
Harmony-Hack-Vorfall
Im Juni 2022 gab das FBI an, dass die nordkoreanische Hackergruppe Lazarus Group Kryptowährungen im Wert von 100 Millionen Dollar, darunter Ethereum, USDC, WBTC und 11 weitere Token, durch die Cross-Chain-Bridge von Harmony gestohlen hat. Die Hacker führten den Angriff über ein Cloud-Storage-Programm durch, dessen Passwort von einem Cross-Chain-Bridge-Administrator geleakt wurde, und nutzten dann dieses Programm, um die privaten Schlüssel, die die Übertragung der Kundenassets schützen, zu stehlen und große Vermögenswerte zu entwenden. Elliptic erklärte: "Die gestohlenen Mittel lagen sieben Monate lang brach, bevor zwischen dem 11. und 14. Januar 2023 41.647 ETH über 71 Konten an den Railgun-Repeater-Vertrag gesendet wurden." Die Rückzugstrategie von Lazarus Group über Railgun wurde ebenfalls auf "184 Vermittlerkonten zurückverfolgt, die dann 19 Einzahlung-Adressen nutzten, um in mehrere zentralisierte Kryptowährungsbörsen einzuzahlen, hauptsächlich in Huobi, Binance und OKX."
Am 16. April 2024 wies Railgun mit Sitz in Großbritannien die oben genannten angeblichen Mixing-Aktivitäten zurück und erklärte: "Das ist nicht wahr, das ist falsche Berichterstattung." Dennoch stiegen die Nutzung und die Gebühren von Railgun Anfang 2023 erheblich an. Historisch gesehen lag die tägliche Mixing-Menge von Railgun zwischen 1 und 5 ETH. Am 13. Januar 2023 stieg die Mixing-Menge auf 41.000 ETH, was mit den vermuteten Geldwäscheaktivitäten zusammenfiel, und seitdem hat Railgun diese Mixing-Menge nicht mehr erreicht.
DCGs Investition in Railgun
Im Januar 2022 investierte DCG 10 Millionen Dollar in Railgun und erwarb 5 Millionen RAIL (den nativen Token des Railgun-Netzwerks). Basierend auf den aktuellen Preisen hat DCGs Investition in RAIL jetzt einen Wert von 3,9 Millionen Dollar, was einem Rückgang von über 60% entspricht. DCG hat diese Token gestaked, was bedeutet, dass DCG die Token als Sicherheit für das Protokoll nutzt und somit das Recht erhält, über wichtige Geschäftsentscheidungen des Protokolls abzustimmen und einen Teil der Netzwerkgebühren, die von Nutzern gezahlt werden, zu erhalten. Die RAIL-Token von DCG werden in fünf separaten Ethereum-Wallets aufbewahrt:
0x5348b77cF55B90147CbB6a938e0058DD25cbF0CA
0x3decD5DA4bC6489dfe1e73d0469c59f281ED8811
0x54Aa22EaCB1da8Ee635Ab0E94C8DA77F49916b4E
0x02698237DDC5Cf63660DA2cfD10934C911433724
0xE82f012dd671f94094d0c33D9E8c99330D1D2B79
Darüber hinaus hat DCG Railgun eine Spende in Form von 7,1 Millionen Dollar in Stablecoin DAI zukommen lassen, dessen Wert an den Dollar gekoppelt ist und für gewöhnliche Geschäftszwecke verwendet wird. "Große Investoren senden Mittel an eine vollständig dezentralisierte DAO-Kasse zur Unterstützung des Projekts und verlangen, dass keine Verwaltungsschlüssel oder Mitgliedschaft in einem Multi-Signatur-Team erforderlich sind, was eine seltene Praxis ist", sagte Edward Fricker, der Railgun bei dieser Transaktion beriet, in einer Erklärung.
Laut den Daten von ChainArgos und Elliptic (Forbes) wird geschätzt, dass die 60 Millionen Dollar an Transaktionen, die mit Geldwäsche durch nordkoreanische Hackerorganisationen in Verbindung stehen, mindestens 260.000 Dollar an Gebühren erforderten. Bis zum 21. Januar 2023 konnten diese Gebühren aus dem Gebührenpool von Railgun abgehoben werden. DCG beantragte jedoch erst im Juni 2023 die Zahlung ihres Anteils an den Railgun-Gebühren. In der Zwischenzeit haben auch 26 andere Wallet-Adressen Gebühren von Railgun beantragt.
Hat DCG absichtlich fünf Monate gewartet, um Gebühren zu verlangen, um sich von den angeblichen illegalen Aktivitäten zu distanzieren? DCG hat nicht auf Forbes reagiert. Jonathan Reiter, CEO von ChainArgos, stellte fest: "Wenn man nur ein paar Wochen warten muss, um die von einem Mixer gewaschenen Gebühren legal zu erhalten, werden die Strafverfolgungsbehörden sicherlich nicht zufrieden sein."
Aber das ist nicht wichtig. Der Code von Railgun bindet automatisch die kumulierten Gebühren an die Staking-Adresse oder die Empfängeradresse. Matthew Sampson, Mitbegründer der Blockchain-Analysefirma Gray Wolf, sagte: "Es gibt eindeutige Beweise dafür, dass DCG von dem angeblichen Geldwäscheereignis im Januar 2023 profitiert hat." "Die Railgun-Smart Contracts legen fest, wer die Belohnungen erhalten soll, und die Belohnungstoken in diesem Zeitraum sind für DCG reserviert, die jederzeit abgeholt werden können."
Die folgende Abbildung zeigt die Gebührenbelohnungen, die Railgun kürzlich an DCG gezahlt hat. Die Einnahmen aus den Gebühren des Mixers stammen nicht ausschließlich aus den angeblichen Geldwäscheaktivitäten.
Die Belohnungen von Railgun an DCG, Quelle: Forbes, zusammengestellte Ethereum- und Arkham-Daten.
Die Belohnungen für die in den fünf oben genannten Wallets gestakten RAIL wurden an die Adresse 0xFED429FB7d243380B25bC11B10561D5A27f42D8E delegiert, über die die spezifischen Adressinformationen von DCG zur Empfang der Railgun-Belohnungen abgerufen werden können. Jede Empfangsadresse erhielt Belohnungstoken in Form von drei verschiedenen Token, nämlich dem Stablecoin DAI (49%), dem Governance-Token RAIL (30%) und einem verpackten ETH (WETH, 21%). 1 Stablecoin entspricht 1 Einheit einer bestimmten Fiat-Währung, in diesem Fall dem US-Dollar. RAIL Governance-Token gewähren den Inhabern das Stimmrecht bei Proposals des Protokolls, ähnlich wie bei der Stimmabgabe durch Bevollmächtigte in traditionellen Aktiengesellschaften. WETH ist eine "verpackte" ETH, deren Wert gleich dem von ETH ist, was es ermöglicht, über mehrere Blockchain-Protokolle hinweg transferiert zu werden, ohne auf das ursprüngliche Ethereum-Protokoll beschränkt zu sein.
Herausforderungen der DeFi-Compliance
DCGs angebliche Beteiligung an den Geldwäscheaktivitäten von Railgun ist nur ein Beispiel dafür, wie die dezentralisierten Finanzanwendungen (DeFi) in der Kryptowelt versuchen, die Werkzeuge zur Wahrung der Privatsphäre und die Notwendigkeit, schadhafte Akteure aus ihren Systemen fernzuhalten, in Einklang zu bringen. Die Schöpfer dieser Plattformen behaupten oft, dass sie dezentralisiert sind und somit keine Kontrolle durch Dritte besteht und niemand ausgeschlossen wird. Diese Erklärung findet jedoch selten Anerkennung bei den Strafverfolgungsbehörden, insbesondere in den USA.
Laut den Richtlinien der US-Behörden vom Oktober 2021 zu den (Bank Secrecy Act) Verpflichtungen haben Mitglieder der Kryptowährungsbranche die Verantwortung sicherzustellen, dass sie nicht direkt oder indirekt an Transaktionen teilnehmen, die von den Sanktionen des US-Finanzministeriums Office of Foreign Assets Control (OFAC) verboten sind, wie z.B. Transaktionen mit eingefrorenen Personen oder Vermögenswerten oder an den verbotenen Handel oder Investitionen. Ein Sprecher der Strafverfolgungsbehörde des IRS erklärte gegenüber Forbes, als es um DeFi-Projekte ging: "Diese Plattformen benötigen kontinuierliche Wartung und Entwicklung, um mit der technologischen Entwicklung Schritt zu halten und Kriminelle zu stoppen, was erfordert, dass die Unternehmen hinter den DeFi-Plattformen die Aktivitäten auf den Plattformen überwachen und sicherstellen, dass sie gesetzliche Vorschriften einhalten."
Verstöße gegen den (Bank Secrecy Act) sind oft schwer zu entdecken, teilweise aufgrund des Personalmangels der US-Regierung. "Die Financial Crimes Enforcement Network hat seit Jahren nicht genügend Ressourcen und maximal 10 Personen, die für die Überwachung von Tausenden von Gelddienstleistern verantwortlich sind, einschließlich Kryptowährungsbörsen, die jährlich Gelder in Billionenhöhe transferieren," sagte Amanda Wick, eine ehemalige Aufseherin des US-Justizministeriums und Leiterin von Incite Consulting.
"Die Regierung hat nicht genug Personal, und die Kriminalitätsrate steigt", fügte Victor Fang, CEO und Mitbegründer der Blockchain-Analysefirma Anchain, hinzu, der eng mit dem US-IRS-Criminal-Investigation-Team zusammenarbeitet, das Finanzkriminalität verfolgt. "Allein in den USA gibt es 50.000 Fälle, die auf eine Bearbeitung warten, also wie sollen sie Chainalysis oder andere Datenanbieter nutzen, um diese Fälle zu bearbeiten? Das ist unmöglich."
Railgun scheint an einer technischen Lösung zu arbeiten, um ihre Compliance zu verbessern. Im Mai 2023 arbeitete Railgun mit Chainway Labs, den Entwicklern des "Proof of Innocence", zusammen, um eine neue Funktion einzuführen, die es regulatorischen Anforderungen besser gerecht wird. Die Lösung für den Beweis der Unschuld, auch als Privacy Pool bekannt, ermöglicht es den Nutzern, zu wählen, ob sie einen kryptografischen Nachweis erbringen, dass ihre Token nicht aus sanktionierten Wallets stammen. Die Idee ist, dass die Guten Beweise erbringen und die Bösen sich von Beweisen fernhalten. Das Problem ist, dass Bösewichte leicht eine große Anzahl neuer nicht sanktionierter Wallets erstellen können, die schichtweise von ihren illegalen Aktivitäten getrennt sind, um solchen Lösungen entgegenzuwirken.
Patrick Tan, Chief Legal Officer von ChainArgos, sagte: "Es kann kein Compliance-System ohne Lizenz geben; andernfalls bleiben Sie immer einen Schritt hinterher, wenn es darum geht, auf die schwarze Liste gesetzt zu werden oder zu versuchen, Bösewichte zu fangen."
