Die kurze Antwort: Zuordnung bedeutet, Adressen zu Akteuren zu clustern
Die Nachverfolgung von Cross-Chain-Krypto-Geldwäsche mündet in einer Frage: Wer steht hinter dieser Adresse? Die Antwort ist ein Akteur statt einer weiteren Adresse. Die dafür eingesetzte Technik ist Adressclustering. Die Zuordnung macht aus einer Adressspur einen benannten Akteur; Adressclustering ermöglicht diesen Schritt. Der restliche Artikel erklärt, warum Cross-Chain-Geldwäsche die Zuordnung erschwert, wie der Ablauf aussieht und wie MetaSleuth ihn handhabbar macht.
Ein einzelner Akteur wäscht fast nie Geld über nur eine Adresse. Dieselbe Person kontrolliert Dutzende oder Hunderte Adressen. Ein Graphwerkzeug gruppiert sie anhand gemeinsamer Finanzierungsquellen, übereinstimmender zeitlicher Muster oder gemeinsamer Gegenadressen zu einem Cluster. Wird dieses Cluster benannt, geht die Ermittlung von der Nachverfolgung zur Zuordnung über.
Ein Akteur kann eine einzelne Person, eine Geldwäschegruppe, eine Börse, ein Betrugssystem oder eine sanktionierte Organisation sein. Die Verhaltensmuster zur Clusterbildung entsprechen den FATF-Warnindikatoren für virtuelle Vermögenswerte. Die Zuordnung erfordert am ersten Tag keinen realen Namen. Sie erfordert eine stabile Gruppierung, mit der Ermittler denselben Akteur über Tausende Adressen hinweg referenzieren können. Darauf bauen alle weiteren Schritte auf.
Das unterscheidet Erkennung und Zuordnung. Ein Transaktionsmonitor markiert einen verdächtigen Transfer. Die Zuordnung beantwortet die schwierigere Frage, wer dahintersteht. Der Monitor meldet, dass etwas passiert ist; die Ermittlung benennt den Akteur.
Beim Nomad-Bridge-Vorfall reduzierte das Adressclustering 322 scheinbar getrennte Adressen auf höchstens 219 unterschiedliche Akteure. Zwei dieser Akteure kontrollierten nahezu die Hälfte des Verlustbetrags – ein Befund, der bei isolierter Adressprüfung unsichtbar bleibt.
Warum Cross-Chain-Geldwäsche die Zuordnung erschwert
Die Zuordnung wird schwieriger, sobald Geldwäsche eine einzelne Blockchain verlässt. Ein Weg über Ethereum, eine Bridge, BNB Chain, eine Soforttauschbörse und anschließend Bitcoin zerlegt den Graphen einer einzelnen Blockchain in Fragmente. Jede Blockchain hat eigene Explorer, Adressformate und Lücken. Für die Zuordnung müssen die Fragmente wieder zusammengefügt werden.
Cross-Chain-Bridges erzeugen eine weitere Unterbrechung. Beim Bridge-Transfer wird der Token auf einer Blockchain gesperrt und auf einer anderen erzeugt oder freigegeben. Es gibt deshalb keine einzelne Transaktion, der Ermittler direkt folgen können. Der Pfad muss aus zwei Teilaufzeichnungen in unterschiedlichen Registern zusammengesetzt werden.
Praktiker in Cross-Chain-Geldwäschefällen kommen immer wieder auf dieselbe Anforderung zurück: Ein Weg über Ethereum, BNB Chain, Polygon, Avalanche und Bitcoin muss über alle diese Blockchains hinweg verfolgt und zugeordnet werden, nicht nur in einem Netzwerk.
Eine wiederkehrende Forschungsrichtung fordert genau dies: blockchainübergreifende Geldflussnachverfolgung und das Abfangen von API-Aufrufen auf Node-Ebene. Beide Ansätze erweitern die Zuordnung über ein einzelnes Netzwerk hinaus.
Soforttauschbörsen verschärfen das Problem. Sie ermöglichen den Asset-Tausch ohne Konto und trennen damit die Verbindung zwischen Ein- und Auszahlung, die eine Börse auf einer einzelnen Blockchain erhalten würde. Beide Seiten wieder zu verbinden, ist ein Zuordnungsproblem, an dem die Akteurszuordnung häufig ins Stocken gerät. Mixer legen eine zusätzliche Verschleierungsebene darüber, weil sie den eindeutigen Pfad in einen gemeinsamen Pool auflösen.
Der Zuordnungsablauf
Die Zuordnung folgt vier wiederholbaren Stufen: Clustering über gemeinsame Einzahlungen, Zusammenführen von Clustern, Benennen des Akteurs und erneute Zuordnung auf anderen Blockchains.
Die Reihenfolge zählt, weil jede Stufe auf der vorherigen aufbaut. Noch nicht gefundene Cluster lassen sich nicht zusammenführen; ohne zusammengeführte Cluster lässt sich der Akteur nicht identifizieren. Der Ablauf ist linear, kann bei neuen Adressen aber zu früheren Stufen zurückkehren.
Clustering über gemeinsame Einzahlungen findet Adressen mit derselben Finanzierungsquelle. Ausgehend von zwei durch Betroffene bereitgestellten TRON-Adressen erweiterte MetaSleuth die Analyse so zu einem vollständigen Geldflussnetzwerk. Die Ausgangsadressen führten zu Hot Wallets, dann zu Zwischenadressen, Ausstiegskanälen und schließlich Börseneinzahlungsadressen.
Beim Zusammenführen werden diese Adressen anhand gemeinsamen nachgelagerten Verhaltens zu größeren Clustern verbunden. Zwei zunächst getrennte Adressen können im selben Cluster landen, weil beide denselben Ausstiegskanal nutzten. Die Akteursidentifikation benennt das Cluster anschließend etwa als Börsen-Hot-Wallet, Ponzi-System oder sanktionierte Organisation. Das zugrunde liegende Delikt – Geldwäsche – wird im Überblick von FinCEN klar erläutert. Erst die Akteursbezeichnung macht das Cluster handlungsrelevant: ein Name, ein Rechtsraum oder eine Wallet als Ansatzpunkt für Ermittlungen.
Das Ergebnis ist ein benannter Akteur, keine bloße Liste. In einem Geldwäschefall des US-Justizministeriums verfolgte MetaSleuth bei der Analyse einer Adresse mehr als 10.000 Transfers und mehr als 700 Gegenadressen. Dieser Umfang zählt nur, weil die Transfers zu Namen führen, an denen Ermittler ansetzen können.
Die letzte Stufe ist die erneute Cross-Chain-Zuordnung. Wechseln Gelder über eine Bridge die Blockchain, wird das Cluster auf der Zielblockchain dem Cluster auf der Ursprungsblockchain zugeordnet. So bleibt der Akteur über den Übergang hinweg derselbe.
Wie MetaSleuth die Zuordnung handhabbar macht
MetaSleuth macht Zuordnungen handhabbar, indem es einen großen Adressgraphen mit Labels, Cross-Chain-Analyse und der Nachverfolgung über Soforttauschbörsen kombiniert.
BlockSec beschreibt MetaSleuth als Werkzeug für die Nachverfolgung nahezu in Echtzeit bei der Reaktion auf Sicherheitsvorfälle. Aufsichts- und Strafverfolgungsbehörden weltweit nutzen die Plattform. Praktisch folgen Ermittler den Flüssen visuell. Jeder Transaktionsschritt erscheint als Kante zwischen Adressen, mit Labels versehene Akteure als benannte Knoten. Der Pfad liest sich als Geschichte statt als Tabelle voller Hashes.
MetaSleuth verfügt über mehr als 600 Millionen Adresslabels. Einer geclusterten Adresse lässt sich deshalb häufig direkt ein Akteur zuordnen, statt sie nur als anonyme Kennung zu führen. Diesen Mehrwert liefert der Adressgraph den Ermittlern.
MetaSleuth unterstützt die in der offiziellen Dokumentation aufgeführten 12 Blockchains. Die Cross-Chain-Ansicht folgt Geldern durch Bridges. Ein Arbeitsbereich zeigt Ursprungs- und Zielblockchain gemeinsam, sodass der Graph nicht manuell rekonstruiert werden muss.
Die von BlockSec auf der ACM SIGMETRICS 2025 vorgestellte Zuordnungsmethode für Soforttauschbörsen verbindet Ein- und Auszahlungen mit mehr als 80 % Genauigkeit. Dies ist ein wissenschaftliches Ergebnis, kein Produktbenchmark. Die Zuordnung schließt die von Soforttauschbörsen geöffnete Lücke zwischen Ein- und Auszahlung.
Die Methode ist nicht rein theoretisch. Die VerilyHK-Ermittlung und der Fall des US-Justizministeriums führten beide zu benannten Akteuren, weil Labelgraph, Cross-Chain-Ansicht und Zuordnungsmethode in einem Arbeitsbereich kombiniert wurden.
Die nächsten Schritte
Wählen Sie eine Geldwäschespur, die derzeit in einer Sackgasse endet, und wenden Sie den Zuordnungsablauf darauf an. Beginnen Sie mit der Ausgangsadresse, bilden Sie Cluster, führen Sie diese zusammen und benennen Sie den Akteur. Sobald Sie sagen können, wer hinter den Adressen steht, statt sie nur aufzulisten, ist die Ermittlung vorangekommen.
Ordnen Sie Akteure mit MetaSleuth zu und machen Sie aus einer Multi-Chain-Spur einen benannten Akteur.
Dieser Artikel gehört zum MetaSleuth-Leitfaden für Ermittlungen und Forensik, der Nachverfolgungsmethoden, den Umgang mit Beweismitteln und die verschiedenen Tool-Kategorien durchgängig behandelt.