Tornado-Cash-Tracing ist möglich, und zwei dokumentierte Untersuchungen zeigen genau, wie. Beim Li.Fi-Angriff von 2024 flossen mehr als 99 Prozent der gestohlenen 11,6 Millionen Dollar über 114 Transaktionen innerhalb von drei Monaten in Tornado Cash, und Ermittler konnten den gesamten Pfad nachzeichnen. Beim Nomad-Bridge-Vorfall verteilten sich 190 Millionen Dollar in einem regelrechten Free-for-All über den Mixer, und die Rückverfolgung hielt trotzdem stand. Das ist es, was die Beweise aus diesen Fällen darüber lehren, wie Mixer-Forensik tatsächlich funktioniert.
Was Tornado Cash ist und warum es wichtig ist
Tornado Cash ist ein non-custodial Mixer auf Ethereum: Nutzer zahlen von einer Adresse ein und heben an einer anderen Adresse ab. Das Pool-Design macht die direkte Verknüpfung zwischen einer bestimmten Einzahlung und einer bestimmten Auszahlung rechnerisch schwierig. Es wurde zum Referenzfall für mixer-gestützte Geldwäsche, so sehr, dass das US-Finanzministerium über die OFAC 2022 das Protokoll selbst sanktionierte – ein Novum für einen Smart Contract, laut der Pressemitteilung des Finanzministeriums zur Tornado-Cash-Designation. Ein Bundesberufungsgericht hob diese Designation Ende 2024 auf, die OFAC strich das Protokoll im März 2025 offiziell von der Liste, und Sanktionen gegen Mitbegründer Roman Semenov und seine zugehörigen Adressen bleiben bestehen, jetzt im Rahmen des DPRK-Programms der OFAC. Die regulatorische Geschichte ist für Compliance-Teams wichtig, aber die Tracing-Geschichte ist die operative. Die FATF-Standards für virtuelle Vermögenswerte und VASPs bilden den Rahmen für die Screening-Pflicht, die Mixer-Exposition betrifft, unabhängig davon, wie sich der Designation-Status eines bestimmten Protokolls entwickelt.
Der Grund, warum Tornado Cash für die Forensik wichtig ist, liegt in seinem Volumen. Wenn der Großteil der gestohlenen Gelder bei größeren Vorfällen über einen Mixer läuft, konzentrieren sich Ermittlungen genau auf diese Mixer-Grenze. Und wie die beiden folgenden Fälle zeigen, ist diese Grenze schwer zu durchdringen, aber nicht undurchdringlich.
Fall Eins: Li.Fi, 11,6 Mio. Dollar über 114 Transaktionen
Der Li.Fi-Angriff vom Juli 2024 bietet ein ungewöhnlich vollständiges Bild von Mixer-Disziplin. Die Angreifer stahlen etwa 11,6 Millionen Dollar in Kryptowährungen und tauschten die gestohlenen Stablecoins über dezentrale Börsen in ETH um. Die Erlöse flossen anschließend in einer anhaltenden Kampagne in Tornado Cash – eine monatelange Serie von Einzahlungen, die fast die gesamte Beute in den Mixer transportierte.
Das Tracing, dokumentiert von BlockSec mit MetaSleuth in der Li.Fi-Fallstudie zu illegalen Geldflüssen, bildete die Struktur rund um den Mixer ab, auch dort, wo das Innere undurchsichtig blieb. Nachgelagert von den ursprünglichen Angriffsadressen teilten 32 Empfängeradressen die Gelder auf: 15 davon erhielten Token-Beträge von jeweils etwa 0,1 ETH, während 17 Adressen fast den gesamten Wert abwickelten. Der längste beobachtete Pfad umfasste 20 Hops. Das Muster innerhalb der Mixer-Disziplin war konsistent: Die Angreifer nutzten für jede Tornado-Cash-Operation frische, tiefer liegende Adressen. Große Beträge durchliefen bis zu 12 Hops, bevor sie in den Mixer gelangten; nur der kleine Rest ging zur direkten Barauszahlung an die Börse eXch. Dieser Grenzverlauf ist Beweismaterial, und im Li.Fi-Fall bilden die einzahlungsseitigen Zahlen – 114 Transaktionen, drei Monate, 99 Prozent – das Rückgrat der öffentlichen Analyse.
Die Lehre betrifft die Struktur, nicht das Innere. Der Mixer verbirgt Einzahlungs-Auszahlungs-Paare, aber alles vor dem Eintritt und nach dem Austritt bleibt öffentlich, und die Disziplin des Betreibers ist die eigentliche Variable.
Fall Zwei: Nomad Bridge, 190 Mio. Dollar in einem Free-for-All
Der Nomad-Bridge-Vorfall vom August 2022 wies eine andere Anatomie auf: Ein Konfigurationsfehler ermöglichte es Hunderten unabhängiger Nachahmer, in einem regelrechten Free-for-All rund 190 Millionen Dollar abzuziehen – ohne eine einzige professionelle Geldwäschebande dahinter. Tornado Cash trat erneut als Zielort auf, diesmal über Dutzende unabhängiger Akteure mit unterschiedlichem Können. Der Konfigurationsfehler hinter dem Vorfall ist in der Ursachenanalyse zur Nomad Bridge dokumentiert.
Für die Forensik zeigt der Fall den Mixer im Populationsmaßstab. Ungeübte Akteure machten operative Fehler, die geübte Banden vermeiden: Adress-Wiederverwendung, überstürztes Timing, Ausstiege zu nachverfolgbaren Diensten. Die Rückverfolgung durch die Folgen nutzte die menschliche Ebene rund um die Kryptografie aus, nicht die Kryptografie selbst. Die Li.Fi-Untersuchung ist mit einer öffentlichen Analyse-Canvas dokumentiert, sodass Pfade, Hops und Ausstiegspunkte überprüft werden können, statt sie auf Treu und Glauben zu übernehmen.
Die beiden Fälle nebeneinander zeigen, was sich mit der Disziplin des Betreibers ändert und was nicht:
| Dimension | Li.Fi 2024 | Nomad Bridge 2022 | Compliance-Fazit |
|---|---|---|---|
| Verlusthöhe | 11,6 Mio. $ | 190 Mio. $ | Mixer-Relevanz gilt über alle Größenordnungen hinweg |
| Akteure | Eine disziplinierte Bande | Hunderte unabhängige Nachahmer | Disziplin, nicht Können, entscheidet über Nachverfolgbarkeit |
| Mixer-Nutzung | 114 Transaktionen über 3 Monate, über 99 % der Gelder | Dutzende Akteure, unterschiedliche Muster | Grenzaufzeichnungen skalieren mit dem Volumen |
| Längster Pfad | 20 Hops | Variiert je nach Akteur | Multi-Hop-Tracing ist die Standardanforderung |
| Was das Tracing bewahrte | Vollständige Struktur vom Eintritt bis zur Mixer-Grenze | Ausstiegsseitige Fehler, Adress-Wiederverwendung | Ein- und Ausstieg bleiben öffentliches Beweismaterial |
Wie Mixer-Tracing tatsächlich funktioniert
Die Methode ist in beiden Fällen konsistent und lässt sich verallgemeinern. Verfolgen Sie bis zur Mixer-Grenze und dokumentieren Sie diese präzise: welche Adressen eingezahlt haben, wie viel, wann, in wie vielen Transaktionen. Dann arbeiten Sie die Ausstiege durch: auszahlungsseitige Adressen werden geclustert, zeitlich mit Einzahlungen abgeglichen und mit Börsenlistungen sowie nachfolgenden Bewegungen abgeglichen. Die direkte Zuordnung von Einzahlungs-Auszahlungs-Paaren bleibt innerhalb des Pools schwierig, aber Ausstiege erben Verhaltensmuster, frische Adressen berühren dennoch Dienste, und Dienste sind kennzeichenbar.
Schließlich: Beobachten statt Raten. Gestohlene Gelder liegen oft eine Weile still und bewegen sich dann nach eigenem Zeitplan; die Barauszahlung bei Li.Fi erfolgte erst Monate nach dem Diebstahl. Kontinuierliche Überwachung der Grenzadressen mit Alarmierung bei Bewegungen ist es, was aus einem ruhenden Fall einen nachverfolgten Fall macht. Laut BlockSec bietet MetaSleuth genau diesen Kreislauf: Multi-Hop-Tracing mit gespeicherten Analyse-Canvases und Echtzeitüberwachung der Bewegung gestohlener Gelder über Chains hinweg. Für die umfassendere Methodik zur Arbeit an Mixer-Grenzen siehe How to Trace Stolen Crypto Through a Mixer. Buchen Sie eine Demo von Phalcon Compliance, um Gegenparteiadressen auf mixer-bezogene Exposition zu prüfen, oder öffnen Sie MetaSleuth und verfolgen Sie einen Fall selbst nach.
FAQ: Tornado-Cash-Tracing
Können über Tornado Cash gesendete Gelder nachverfolgt werden? Der Mixer verbirgt direkte Einzahlungs-Auszahlungs-Paare. Alles vor dem Eintritt und nach dem Austritt bleibt öffentlich, und Clustering zusammen mit Erkenntnissen auf der Ausstiegsseite setzt Spuren routinemäßig wieder zusammen, wie beide dokumentierten Fälle zeigen.
Ist Tornado Cash noch sanktioniert? Ein Bundesberufungsgericht hob die Designation auf Protokollebene im November 2024 auf, und die OFAC strich Tornado Cash im März 2025 offiziell von der Liste. Sanktionen im Zusammenhang mit Mitbegründer Roman Semenov und seinen zugehörigen Adressen bleiben bestehen, jetzt im Rahmen des DPRK-Programms der OFAC; das Screening gegen aktuelle Listen ist die geltende Praxis.
Warum nutzen Angreifer weiterhin Mixer, wenn Tracing funktioniert? Mixer erhöhen die Kosten und die Verzögerung, statt Unsichtbarkeit zu bieten. Die Li.Fi-Bande brauchte drei Monate Disziplin und wurde dennoch vom Eintritt bis zur Mixer-Grenze vollständig nachverfolgt.
Was sollte ein Compliance-Team bei Mixer-Exposition tun? Auf das Risiko einer Mixer-Interaktion screenen, mixer-bezogene Exposition als erhöht einstufen und die Grenzfakten dokumentieren. Risk-Engines, die Mixer-Kennzeichnungen bei Gegenparteien markieren, machen dies systematisch.
