Ein weiterer Diebstahl in neunstelliger Höhe hat die Krypto-Branche getroffen – nur wenige Tage nach dem größten Raub in der Geschichte der Branche.

Einer ungenannten Entität in der Europäischen Union wird verdächtigt, am Sonntag, den 1. November, mehr als 106 Millionen US-Dollar von mehreren ihrer Konten auf zentralen Börsen verloren zu haben. Der pseudonyme On-Chain-Ermittler ZachXBT, der für die Verfolgung gestohlener Gelder über Blockchains hinweg bekannt ist, meldete den Vorfall am Montag in einem Beitrag auf seinem Telegram-Kanal.

Die Gelder wurden als USDC- und USDT-Stablecoins abgehoben, und zwar von einem, was er einen „illicit actor“ (kriminellen Akteur) nannte.

In den darauf folgenden 24 Stunden ging der Akteur aggressiv daran, seine Spuren zu verwischen, so ZachXBT. Der Angreifer tauschte USDC in ETH, schickte Gelder über Instant-Exchange-Dienste wie WellWallet und Kyrrex, tauschte einen Teil der Erlöse über Wagyu in die Privacy-Coin Monero und überbrückte Vermögenswerte über mehrere Blockchains. Cross-Chain-Bridges, die Vermögenswerte zwischen Blockchains bewegen, können die Geldspur weiter fragmentieren. ZachXBT veröffentlichte außerdem 11 mit dem Diebstahl in Verbindung gebrachte Ethereum-Adressen.

Instant-Exchanges ermöglichen Nutzern den schnellen Tausch einer Kryptowährung in eine andere, oft mit kaum Identitätsprüfung, während Monero Absender, Empfänger und Transaktionsbeträge verbirgt und sich daher als beliebtes Werkzeug zur Verschleierung gestohlener Gelder etabliert hat. Der Tausch aus USDC und USDT ist auch deshalb bedeutsam, weil diese Tokens zentral ausgegeben werden und die Unternehmen dahinter sie einfrieren können. USDC und USDT gehören zu den am weitesten verbreiteten Stablecoins, und ihre Herausgeber – Circle bzw. Tether – haben zuvor bereits Guthaben eingefroren, die mit Hacks und sanktionierten Adressen in Verbindung standen. Diese Einfrierungsbefugnis erfasst jedoch nur Gelder, die noch in diesen Tokens gehalten werden; sobald sie in ETH oder Monero getauscht wurden, greift sie nicht mehr.

ZachXBT sagte, der Täter sei weiterhin unbekannt, aber er könne „mit hoher Sicherheit“ sagen, dass es sich nicht um die Lazarus Group handelt, und verwies auf mehrere Indikatoren zur Geldwäsche. Lazarus ist der Oberbegriff, der häufig für die staatlich unterstützten Hacker Nordkoreas verwendet wird. Das Opfer nannte er nicht.

Diese Einschätzung unterscheidet den Diebstahl vom rekordbrechenden Binance-Hack im Wert von 6,4 Milliarden US-Dollar, den das FBI der TraderTraitor zugeschrieben hat, einer nordkoreanischen Hackergruppe. In jenem Fall reagierten die Stablecoin-Herausgeber innerhalb weniger Minuten: Tether fror gestohlene USDT auf Ethereum innerhalb von 37 Minuten ein, und Circle fror die gesamten 823 Millionen US-Dollar an gestohlenem USDC ein, wodurch laut dem Blockchain-Analyseunternehmen Elliptic rund 44 % der Beute blockiert werden konnten. Nordkoreas Geldwäscher haben die verbleibenden Gelder inzwischen auf etwa 12.000 Wallets verteilt.

Es ist unklar, ob im EU-Fall Gelder eingefroren wurden. Angesichts der sofortigen Tauschgeschäfte des Akteurs aus den Stablecoins am ersten Tag würde eine Einfrierung durch Circle oder Tether nur Guthaben umfassen, die noch in USDC oder USDT gehalten werden, und die 11 veröffentlichten Ethereum-Adressen geben der Öffentlichkeit die Möglichkeit, diese Wallets auf weitere Aktivitäten zu überwachen.

Der Vorfall fügt sich in eine bereits beispiellose Woche für die Krypto-Sicherheit ein. Neben dem rekordbrechenden Binance-Hack meldete die brasilianische Börse Mercado Bitcoin am Montag eine Aussetzung der Auszahlungen nach einem eigenen Hack im Wert von 40 Millionen US-Dollar. Ebenfalls am Montag forderte der Zahlungsdienstleister BTCPay Server Händler auf, ihre Server abzuschalten, nachdem es Berichte über Angriffe auf Hot Wallets gegeben hatte.