Das FBI hat die Node-Betreiber von THORChain sowie weitere Dienstleister im dezentralen Finanzwesen (DeFi) aufgefordert, Transaktionen zu blockieren, die mit den rund 6,3 Milliarden US-Dollar in Verbindung stehen, die beim Binance-Hack gestohlen wurden – eine Aufforderung, die verdeutlicht, wie schwierig Rechtsdurchsetzung in einem Netzwerk wird, das explizit ohne zentrale Kontrolle funktioniert.

Die Anfrage kam am 31. Oktober. THORChain ist ein Cross-Chain-Swap-Netzwerk, das 13 Blockchains verbindet; seine Nodes arbeiten unabhängig, und keine einzelne Autorität kann sie zwingen, die Transaktionen zu blockieren.

Was das FBI verlangt hat – und wie THORChain reagierte

Die Behörde schreibt den Diebstahl vom 29. Oktober TraderTraitor zu, ihrer Bezeichnung für eine nordkoreanischstaatlich verbundene Hackeroperation, und bat Dienste, die gelisteten Wallets sowie alle daraus abgeleiteten Transaktionen zu blockieren. In ihrer offiziellen Warnung teilte das FBI mit, die Angreifer würden die gestohlenen Kryptowährungen in Ether umwandeln.

Bislang hat das FBI 608 Ethereum-Adressen, 19 Bitcoin-Adressen und eine Solana-Adresse identifiziert. Bemerkenswert ist, dass keine Adresse auf Tron gelistet wurde, obwohl diese Blockchain häufig für die Bewegung der gestohlenen Gelder genutzt wurde.

Chad Barraford, technischer Mitgründer von THORChain, teilte The Block mit, dass die offizielle Website des Protokolls die gelisteten Adressen blockiert hat. Er wies darauf hin, dass Node-Betreiber Transaktionen auf öffentlichen Blockchains bereits sehen können, rechnet aber damit, dass die unabhängigen Betreiber den Handel wie bisher weiter abwickeln.

Wo das Frontend endet und die Nodes beginnen

Hier ist der Unterschied zwischen der Website von THORChain und dem THORChain-Netzwerk selbst entscheidend. Die Website dient als Swap-Schnittstelle, doch das Protokoll läuft auf separaten Nodes, die über andere Frontends erreicht werden können. Diese Aufteilung ist in DeFi verbreitet: Frontends sind optionale Schnittstellen, während die zugrunde liegenden Protokolle von unabhängigen Betreibern laufen. Eine Adressblockade auf der offiziellen Website verhindert daher nicht, dass dieselbe Transaktion anderweitig ausgeführt wird, und es ist weiterhin unklar, ob die Node-Betreiber die markierten Adressen netzwerkweit blockiert haben.

Eine separate Aussetzung, die legitime Nutzer traf

Ein unabhängiges Problem setzte dann den Handelsverkehr aus. Am 31. Oktober führte eine Ethereum-Blockreorganisation dazu, dass THORChain 10 ETH zurückzahlte, die mit Tresoren verbunden waren, für die keine Einzahlungen eingegangen waren; die Differenz wurde vom Solvenz-Checker des Netzwerks aufgefangen. Das zwang die Betreiber, die Pause zu verlängern, und am 1. November wurde der Handel auf 10 der 13 verbundenen Chains ausgesetzt. Alle Beteiligten erlitten Verluste. Die Aussetzung diente dem Schutz des Netzwerks – nicht der Umsetzung der FBI-Forderung.

Die Zahlen sind Schätzungen, keine gesicherten Fakten

Das Tempo, mit dem sich die gestohlenen Gelder bewegen, erschwert eine genaue Schätzung der Gesamtsumme. Der Analyst SomaXBT schätzte in einem X-Post, dass innerhalb von zwei Tagen rund 242 Millionen US-Dollar über die Tron-Blockchain transferiert wurden.

Der Großteil dieser Summe – etwa 140 Millionen US-Dollar – bewegte sich über eine Reihe von Cross-Chain-Diensten: Relay transferierte fast 48 Millionen US-Dollar, THORChain bewegte 44 Millionen, Chainflip transferierte 32,1 Millionen und Symbiosis 16 Millionen. Diese Zahlen sind Schätzungen und legen nicht nahe, dass THORChain vom Fehlverhalten der Hacker wusste.

Warum die Wallet-für-Wallet-Prüfung möglicherweise nicht ausreicht

Die schnelle Bewegung der gestohlenen Gelder macht eine Prüfung der Wallets einzeln schwierig. Das Blockchain-Analyseunternehmen Elliptic verfolgte in weniger als vier Tagen rund 12.000 Wallets über 11 Blockchains und mehr als 40.000 Transaktionen und fand Anzeichen automatisierter Geldwäsche, jedoch keinen Hinweis darauf, dass KI-Agenten diese steuerten. Da die Gelder ständig zu neuen Wallets wechseln, können feste Blocklisten schnell veraltet sein – und die bislang vom FBI identifizierten 628 Adressen decken nur einen Bruchteil dieser Aktivität ab.

Für THORChain stellt sich die Frage, wie schnell es reagieren kann. In einer früheren Debatte argumentierte die Forscherin Taylor Monahan, das Netzwerk könnte verdächtige Routen anhalten. Barraford entgegnete, dass ein Zwei-Drittel-Konsens der Nodes – die Zustimmung einer absoluten Mehrheit der Betreiber – Tage oder Wochen dauern könnte und dass schnelleres Handeln mehr zentralisierte Kontrolle erfordern würde.

Was für Liquidität, Compliance und Vertrauen auf dem Spiel steht

Binance arbeitet derweil daran, das Vertrauen der Kunden wiederherzustellen. Die Börse hat einen Proof of Reserves abgeschlossen – einen Snapshot, der zeigt, ob bestimmte Kundenguthaben durch Assets gedeckt sind – und zugesagt, die Verluste zu übernehmen.

Dennoch verzeichnete Binance laut Reuters Netto-Abflüsse von 4,72 Milliarden US-Dollar, rund 3 % der Plattform-Assets, trotz Zuflüssen von 2,7 Milliarden US-Dollar. Cryptopolitan hat bereits zuvor die Exposition von THORChain gegenüber gestohlenen Geldern untersucht.

Von hier an sind die Markierungen konkret: ob die Node-Betreiber von THORChain netzwerkweit auf die FBI-Liste reagieren, ob Tron-Adressen ergänzt werden und wann der Handel auf den 10 ausgesetzten Chains wieder aufgenommen wird. Der aktuelle Fall rückt eine bekannte Herausforderung erneut in den Fokus: Wie kann DeFi die Liquidität offen halten, ohne Compliance und Nutzervertrauen zu gefährden?