Nach einem Diebstahl stellen fast alle Betroffenen dieselben zwei Fragen: Kann jemand sehen, wohin die Gelder geflossen sind, und bekomme ich sie zurück? Die ehrliche Antwort hat zwei Teile. Gestohlene Kryptowerte lassen sich häufiger nachverfolgen, als die meisten annehmen. Nachverfolgung und Rückgewinnung sind aber nicht dasselbe. Nachverfolgung ist oft möglich; für die Rückgewinnung gilt das nicht. Dieser Artikel erklärt Möglichkeiten und Grenzen, Unterbrechungen der Spur und die nächsten Schritte für Betroffene.
Die kurze Antwort: Häufig ja, aber nicht immer bis zur Rückgewinnung
Ja, gestohlene Kryptowerte lassen sich gewöhnlich zumindest auf einem Teil ihres Weges verfolgen. Eine Blockchain zeichnet jede Transaktion dauerhaft auf. Ermittler können gestohlenen Geldern von einer Adresse zur nächsten folgen und die dabei genutzten Dienste erkennen. Diese Sichtbarkeit ist real und hat einige aufsehenerregende Strafverfolgungserfolge unterstützt. Die untersuchten Muster überschneiden sich mit den FATF-Warnindikatoren für virtuelle Vermögenswerte. Eine Zusage, dass das Geld zurückkommt, liefert sie nicht.
Nachverfolgung zeigt, wohin gestohlene Gelder geflossen sind. Rückgewinnung bedeutet, sie zurückzuerhalten; Ersteres garantiert Letzteres nicht. Ermittler können jede Bewegung beobachten und jede durchlaufene Adresse benennen und dennoch an einen Punkt gelangen, an dem die Spur abbricht. Diese Unterscheidung ist wichtig, weil Betroffene beide Begriffe oft gleichsetzen. Zu wissen, wohin die Gelder geflossen sind, ist ein Beleg. Für die Rückgewinnung muss eine Börse Vermögenswerte einfrieren, eine Strafverfolgungsbehörde handeln oder ein zivilrechtliches Verfahren Erfolg haben. Nichts davon geschieht automatisch. In den USA läuft das Meldewesen, das diese Schritte anstößt, über FinCEN. Eine faire Antwort benennt deshalb die Lücke: Nachverfolgung ist oft möglich; für die Rückgewinnung gilt das nicht.
Warum gestohlene Kryptowerte nachverfolgbar sind
Gestohlene Kryptowerte sind nachverfolgbar, weil eine Blockchain ein öffentliches Register ist: Jede Transaktion wird erfasst, und Ermittler können den Geldern Schritt für Schritt folgen, solange die Spur nicht unterbrochen wurde. Es gibt keinen privaten Tresor als Versteck, nur Adressen. Jede Adresse hinterlässt eine dauerhafte Transaktionshistorie, die mit den richtigen Werkzeugen öffentlich überprüfbar ist.
Die Nachverfolgung beruht auf zwei Konzepten. Erstens auf der Verfolgung über mehrere Stationen: von der Adresse des Opfers über jede Zwischenadresse bis zum endgültigen Ziel. Zweitens auf Labels: Bekannte Identitäten werden Adressen zugeordnet, sodass aus einem anonymen Transfer zu einer Börse, einem Mixer oder einer bekannten Angreiferwallet ein benanntes Ziel wird.
Reale Fälle zeigen die Reichweite. Beim Ronin-Bridge-Vorfall im März 2022 nutzten Angreifer kompromittierte private Schlüssel, um zwei Auszahlungen zu fälschen und 173.600 ETH sowie 25,5 Millionen USDC abzuziehen. Beim Nomad-Bridge-Vorfall im August 2022 erbeuteten Angreifer ungefähr $190 Millionen; 16 Adressen, die von dem Angriff profitierten, transferierten rund $17 Millionen in Tornado Cash, wobei eine Rückgewinnung dieser Gelder unwahrscheinlich ist. Ermittler verfolgten beide Spuren über Dutzende Adressen und kartierten den Verbleib der Gelder. Das ist das zentrale Leistungsversprechen der On-Chain-Nachverfolgung.
Was die Spur unterbricht
Die Spur bricht dort, wo Gelder an einen Ort gelangen, der die Verbindung zwischen einer Adresse und der dahinterstehenden Person trennt. Der häufigste Unterbrechungspunkt ist ein Mixer. Ein Mixer wie Tornado Cash bündelt Einzahlungen vieler Nutzer und ermöglicht Auszahlungen entsprechender Beträge an neue Adressen. Dadurch wird die On-Chain-Verbindung zwischen Ein- und Auszahlung getrennt.
Der Li.Fi-Exploit zeigt das in der Praxis. Beim Li.Fi-Exploit im Juli 2024 wurden schließlich mehr als 99 % der gestohlenen Stablecoins im Wert von insgesamt ungefähr $11,6 Millionen in Tornado Cash transferiert. Ab diesem Punkt kann die Nachverfolgung den Eintritt in den Mixer belegen, aber nicht zuverlässig zeigen, wer die Gelder auf der anderen Seite abgehoben hat. Die Spur hat einen Unterbrechungspunkt erreicht; sie ist nicht verschwunden.
Zwei weitere Unterbrechungspunkte sind relevant. Eine Börse ohne Identitätsprüfung ermöglicht den Tausch gestohlener Gelder in andere Vermögenswerte, ohne dass der Auszahlung ein Name zugeordnet ist. Eine Cross-Chain-Bridge verschiebt Gelder auf eine andere Blockchain, auf der die Ermittlung mit anderen Werkzeugen und Labels fortgesetzt werden muss. Keiner dieser Punkte beendet die Nachverfolgung vollständig, doch jeder macht das Ergebnis unsicherer. Das ist die ehrliche Obergrenze: Das öffentliche Register ist transparent, die Übergänge zwischen Kryptowerten und Anonymität sind es nicht.
Wie MetaSleuth die Chancen der Nachverfolgung verbessert
Ein spezialisiertes Tracing-Tool verändert, wie viel einer Spur vor einem Unterbrechungspunkt rekonstruiert werden kann. MetaSleuth ist eine von BlockSec entwickelte Plattform zur Krypto-Nachverfolgung und Ermittlung. Sie folgt Geldern über mehrere Stationen, visualisiert Geldflüsse und ermöglicht das Speichern und Teilen von Analysen. Genau das leistet MetaSleuth. Statt eine Spur manuell über getrennte Explorer zusammenzusetzen, erweitern Ermittler jede Station nach außen und sehen den Fluss als Graphen entstehen.
MetaSleuth verfügt über mehr als 600 Millionen Adresslabels. Viele anonyme Ziele erhalten damit einen Namen, bevor weitere Recherche nötig wird. Die Plattform unterhält außerdem eine öffentliche Fallbibliothek, in der die genannten Beispiele Ronin, Nomad und Li.Fi dokumentiert wurden. ZachXBT hat MetaSleuth in seinen öffentlichen Ermittlungen wiederholt für On-Chain-Geldflussanalysen empfohlen. In einem Fall vom März 2026 entdeckte ZachXBT zunächst ungewöhnliche Transfers im Umfang von ungefähr $23 Millionen aus einer Verwahrwallet der US-Regierung; dem Verdächtigen wurde später der Diebstahl von mehr als $46 Millionen vorgeworfen.
Zur Klarstellung: Ein Tracing-Tool verbessert die Nachverfolgbarkeit. Es macht daraus keine Rückgewinnung und kann eine Mixer-Unterbrechung nicht aufheben. Wenn wie bei Li.Fi mehr als 99 % der Gelder in Tornado Cash eingehen, kann die Plattform das Ende der Spur präzise dokumentieren, aber keine nächste Station erfinden. Genau diese Ehrlichkeit zählt. Ein gutes Tracing-Tool zeigt Ermittlern genau, wo die Belege enden, damit die nächste Entscheidung über eine Rückgewinnung auf Fakten statt auf Hoffnung beruht.
Die nächsten Schritte
Wenn Sie Gelder verloren haben, handeln Sie schnell. Die Nachverfolgbarkeit nimmt ab, wenn Angreifer Gelder durch Mixer, Bridges und Börsen ohne Identitätsprüfung bewegen. Je früher die Nachverfolgung beginnt, desto mehr vom Pfad bleibt erhalten. Sammeln Sie zunächst sämtliche Transaktionshashes, die Zieladresse und den genauen Zeitpunkt des Diebstahls. Öffnen Sie anschließend die Spur in einem Tracing-Tool und folgen Sie ihr so weit wie möglich.
Verfolgen Sie gestohlene Gelder mit MetaSleuth und prüfen Sie, wie weit die Spur führt.
Dieser Artikel gehört zum MetaSleuth-Leitfaden für Ermittlungen und Forensik, der Nachverfolgungsmethoden, Beweishandhabung und Werkzeugkategorien durchgängig behandelt.