Wir haben die sechs sanktionierten Adressen mit MetaSleuth verfolgt – das Geld fließt fast ausschließlich über Einzahlungsadressen zentralisierter Börsen.
BlockSec Research · Juni 2026
Am 20. Mai 2026 sanktionierte das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums eine Gruppe von Einzelpersonen und Organisationen, die mit dem mexikanischen Sinaloa-Kartell in Verbindung stehen, und warf ihnen vor, Geldwäscheunterstützung für den Fentanylhandel zu leisten: Drogengelder innerhalb der Vereinigten Staaten einzusammeln, diese in Kryptowährung umzuwandeln und die Mittel über grenzüberschreitende Transfers zurück nach Mexiko zu transferieren. Die Maßnahme setzt die US-amerikanische Durchsetzungshaltung fort, die auf die Einstufung großer Kartelle als Terrororganisationen folgte, und behandelt Fentanyl-Finanzierungsnetzwerke als eine Form der Narco-Terrorismusfinanzierung.
Zwei der sanktionierten Personen hinterließen besonders deutliche On-Chain-Spuren. Einer davon ist Armando de Jesus Ojeda Aviles, den OFAC als wichtigen Geldwäschekoordinator der Los-Chapitos-Fraktion des Kartells identifiziert, der dafür verantwortlich ist, US-amerikanische Drogengelder in Krypto umzuwandeln und diese zurück nach Mexiko zu transferieren. Der andere ist Rodrigo Alarcon Palomares, ein Mitglied des Netzwerks von Ojeda Aviles, der die Bargeldeinsammlung innerhalb der USA übernimmt und sich ebenfalls an der Krypto-Geldwäsche beteiligt. Zusammen sind sie für sechs Ethereum-Adressen auf der Sanktionsliste verantwortlich.
Ein Hinweis zur Quellenangabe: Die Hintergrundinformationen zu diesen Personen und den Sanktionseinstufungen stammen aus der öffentlichen Ankündigung des Finanzministeriums. Jede nachfolgende Schlussfolgerung über Struktur und Umfang der Gelder basiert auf BlockSecs eigener On-Chain-Rekonstruktion der sanktionierten Adressen mithilfe von MetaSleuth.
Fünf sanktionierte Adressen und wie das Drogengeld zurück in die Börsen gewaschen wird
Die fünf sanktionierten Adressen unter Ojeda Aviles sind keine unabhängigen Wallets. On-Chain bilden sie ein Geldwäschenetzwerk mit klaren Upstream- und Downstream-Beziehungen. Sobald wir die fünf Adressen in einem einzigen MetaSleuth-Graphen zusammengeführt hatten, war die Struktur offensichtlich: Drei davon sind Binance-Einzahlungsadressen, und die anderen zwei befinden sich vorgelagert zu diesen dreien. Börsen tauchen im gesamten Graphen auf, wobei Gelder direkt oder indirekt von mehreren Börsen einfließen, diese Adressen passieren und am Ende zurück in Börsen gewaschen werden.
Abbildung 1. Das Fondsnetzwerk der fünf sanktionierten Adressen von Ojeda Aviles (der Graph zeigt die werthöheren Pfade, nicht jede Transaktion): Gelder fließen von mehreren Börsen ein, passieren die Adressen und werden zurück in Binance gewaschen. (Quelle: BlockSec MetaSleuth)
Die drei Binance-Einzahlungsadressen, die als Sammelpunkt fungieren, haben allein mehr als 4 Millionen US-Dollar verarbeitet, und MetaSleuth stuft diesen Cluster als kritisch ein. Mit anderen Worten: Der tatsächliche Umfang des Netzwerks ist größer; diese drei Adressen sind nur der direkt sichtbare Teil.
Am auffälligsten sind die beiden vorgelagerten Adressen. Über die Speisung der sanktionierten Binance-Einzahlungsadressen hinaus fließen ihre Gelder auch zu zwei weiteren Binance-Einzahlungsadressen, die bislang nicht sanktioniert wurden. Basierend auf den Fondspfaden und dem Verhalten sind diese beiden sehr wahrscheinlich Teil desselben Geldwäschenetzwerks; sie sind lediglich noch nicht auf OFACs Liste erschienen. Dies ist genau der Mehrwert der On-Chain-Analyse gegenüber einer Sanktionsliste: Die Liste liefert die bekannten Knoten, während das Verfolgen der On-Chain-Flüsse es oft ermöglicht, die von der Liste übersehenen Knoten zu ergänzen.
Abbildung 2. Die vorgelagerten Adressen speisen nicht nur die sanktionierten Binance-Einzahlungsadressen, sondern sind auch mit zwei noch nicht sanktionierten Einzahlungsadressen verbunden, die wahrscheinlich zum selben Netzwerk gehören. (Quelle: BlockSec MetaSleuth)
MetaSleuth-Graph für das Ojeda-Aviles-Netzwerk (zeigt die werthöheren Pfade, nicht jede Transaktion): https://metasleuth.io/result/eth/0x038989cbb1710c72b9920dc4fa529158f463e72c?source=0ac18a5e-1134-4ee1-b03a-ebae63a0337c
Die Adresse des Bargeldsammlers ist schlicht ein Coinbase-Konto
Im Vergleich dazu weist Alarcon Palomares, der die Bargeldeinsammlung innerhalb der USA übernimmt, ein einfacheres On-Chain-Profil auf, das noch aufschlussreicher ist. Seine sanktionierte Adresse ist selbst eine Coinbase-Einzahlungsadresse: Gelder kommen größtenteils von Coinbase und fließen größtenteils zurück zu Coinbase.
Abbildung 3. Geldflüsse für die sanktionierte Adresse von Alarcon Palomares: im Wesentlichen eine Coinbase-Einzahlungsadresse, mit Geldern, die in und aus Coinbase fließen. (Quelle: BlockSec MetaSleuth)
Das bedeutet, dass die Geldwäscheaktivität dieser Rolle hauptsächlich innerhalb einer zentralisierten Börse mit einem vollständigen KYC-Prozess stattfindet, wahrscheinlich hinter einem Konto, das die Identitätsverifizierung abgeschlossen hat. Im Gegensatz zum Multi-Hop-Netzwerk von Ojeda Aviles weist das Bargeldeinsammler-Segment kurze Fondspfade und konzentrierte Gegenparteien auf – genau die Art von Aktivität, die Compliance-Screening am besten erkennen und unterbinden kann.
MetaSleuth-Ansicht der sanktionierten Adresse von Alarcon Palomares: https://metasleuth.io/result/eth/0xaC4cC4B68ea24BbFAAC8fD127B67Ed445ACcCE22?source=c5a43e44-8fb3-4e6f-ac52-a3e860ee4249
Was uns der On-Chain-Graph verrät
Stellt man die Fondspfade beider Personen nebeneinander, sind einige Fakten wichtiger als jede einzelne Zahl.
Erstens stützt sich diese Fentanyl-Geldwäschekette stark auf zentralisierte Börsen. Ob es sich um die drei Binance-Einzahlungsadressen von Ojeda Aviles oder die Coinbase-Einzahlungsadresse von Alarcon Palomares handelt – Gelder fließen über Börseneinzahlungskanäle ein und aus, anstatt über Mixer oder komplexe Cross-Chain-Bridges. Der Börseneinzahlungsschritt bleibt der wichtigste Knotenpunkt, an dem Drogengeld on-chain gelangt und ausgezahlt wird.
Zweitens ist eine Sanktionsliste ein Ausgangspunkt, nicht das vollständige Bild. Die beiden noch nicht sanktionierten Binance-Einzahlungsadressen, die mit den vorgelagerten Adressen von Ojeda Aviles verbunden sind, erinnern uns daran, dass der On-Chain-Fußabdruck eines Geldwäschenetzwerks oft größer ist als das, was die Strafverfolgungsbehörden zu einem bestimmten Zeitpunkt öffentlich benennen können. Nur indem man gelistete Adressen als Ausgangspunkte behandelt und den vollständigen Fluss rekonstruiert, kann man die tatsächlichen Grenzen des Netzwerks erkennen.
Drittens ist die Arbeitsteilung klar, aber die Pfade sind kurz. Ojeda Aviles kümmert sich um die Aggregation und grenzüberschreitende Bewegung, und Alarcon Palomares kümmert sich um die Bargeldeinsammlung. Die Rollen unterscheiden sich, aber keiner der On-Chain-Pfade ist komplex. Für Börsen und Zahlungsunternehmen bedeutet das, dass das Risiko identifiziert werden kann, bevor Gelder überhaupt die Plattform erreichen.
Was das für Börsen und Zahlungsunternehmen bedeutet
Die direkteste Erinnerung für Anbieter virtueller Vermögenswerte ist, dass risikobehaftete Gelder ohne ihr Wissen auf ihrer Plattform eingehen können. Bevor Drogenerlöse eine Börse erreichen, haben sie möglicherweise bereits mehrere Ebenen von Adressübertragungen durchlaufen. Ohne einen wirksamen On-Chain-Risikoidentifikationsmechanismus kann eine Plattform leicht Vermögenswerte von sanktionierten Einheiten in der Einzahlungs- oder OTC-Abwicklungsphase erhalten, und sobald dies geschieht, können Gelder eingefroren werden und regulatorische Untersuchungen sowie Lizenzrisiken auslösen.
Deshalb verlagern immer mehr Börsen und Zahlungsunternehmen das On-Chain-Risikoscreening nach oben – noch vor der Einzahlung von Geldern: Adressen werden in Echtzeit bewertet und es wird markiert, ob sie mit sanktionierten Einheiten, Handelsnetzwerken oder anomalen Fondspfaden in Verbindung stehen. Diese Art von Pre-Deposit-Screening entwickelt sich von einem Compliance-Zusatzfeature zu einer zentralen Infrastruktur.
Alle Personen und Adressen in dieser Sanktionsmaßnahme sind bereits in BlockSecs Intelligence-Datenbank enthalten, und wir werden die On-Chain-Aktivitäten dieser Adressen und Netzwerke weiter verfolgen. Für Börsen, Zahlungsunternehmen und Compliance-Teams bietet Phalcon Compliance Echtzeit-Risikoscreening für Adressen und Transaktionen, ein präzises Adressbeschriftungssystem und Fondsflusanalysen, um risikobehaftete Adressen zu identifizieren und illegale Fondsquellen zurückzuverfolgen; die Netzwerkrekonstruktion in diesem Beitrag wurde mit MetaSleuth, unserer Plattform zur Fondsverfolgung und -untersuchung, durchgeführt.
Wenn Sie selbst On-Chain-Adressrisikoscreening durchführen möchten, können Sie Phalcon Compliance kostenlos unter blocksec.com ausprobieren.
