Die Erlöse aus dem X100-Exploit wurden auf vier separate Ethereum-Wallets verteilt, wobei jede Adresse 400 ETH erhielt, wie aus einem Bericht von The Defiant hervorgeht. Die strukturierte Aufteilung umfasst insgesamt 1.600 ETH über die vier Adressen – ein Verteilungsmuster, das eine unkomplizierte On-Chain-Zuordnung erschwert und die operative Herausforderung erhöht, gestohlene Gelder zu verfolgen, bevor sie sich weiterbewegen.

The Defiant berichtete von der Wallet-Aufteilung als unmittelbarem Zustand nach dem Exploit, was bedeutet, dass die vier Adressen die erste beobachtbare Ebene der Geldbewegung nach der Ausführung des Exploits darstellen. Ob diese Wallets anschließend Gelder bewegt haben, ist eine separate Frage, die nur ein Echtzeit-On-Chain-Monitoring beantworten könnte.

Ein bekanntes Muster nach Hacks

Statt die Erlöse auf einer einzigen Adresse zu bündeln, verteilte die Aufteilung 400 ETH auf jede von vier verschiedenen Wallets. Eine solche Aufteilung von Exploit-Erlösen ist ein anerkanntes Muster im Umgang mit Geldern nach Hacks: Sie verringert den Fußabdruck jeder einzelnen Wallet und verteilt die Überwachungslast auf mehrere Adressen.

Blockchain-Explorer wie Etherscan ermöglichen es jedem, den Transaktionsverlauf und das aktuelle Guthaben jeder beteiligten Adresse abzufragen. Ein Guthaben von 400 ETH pro Wallet ist groß genug, um verfolgt zu werden, aber zugleich so strukturiert, dass es durch Mixer oder Bridge-Protokolle geleitet werden kann, die häufig pro-Transaktions-Größenlimits vorsehen. Das Vorgehen ähnelt den Mustern beim Initia-Exploit, bei dem die Weiterleitung der Gelder nach dem Hack ebenfalls sofortige On-Chain-Prüfung auslöste.

Warum die Vier-Wallet-Aufteilung für das On-Chain-Tracking wichtig ist

Jede der vier Wallets stellt ein unabhängiges Tracking-Ziel dar. Sicherheitsforscher und Blockchain-Analytikfirmen markieren solche Adressen typischerweise für die Compliance-Teams von Börsen, die dann Einzahlungen von diesen Wallets blockieren können. Bei vier Adressen statt einer muss dieser Markierungsprozess parallel über vier verschiedene Identifikatoren laufen, die jeweils über einen eigenen künftigen Transaktionsgraphen verfügen. Zentralisierte Börsen sind der praktische Engpass für diese Markierungen: regulierte Plattformen verknüpfen Einzahlungsadressen mit identitätsverifizierten Konten, wodurch eine On-Chain-Nachverfolgung in eine Compliance-Maßnahme auf Kontoebene umgewandelt wird.

Die praktische Konsequenz ist, dass jede weitere Überweisung von einer der vier Adressen – sei es an eine Einzahlungsadresse einer zentralisierten Börse, ein Datenschutzprotokoll oder einen Bridge-Vertrag – zu einem neuen Datenpunkt im Verfolgungsgraphen wird. Die öffentliche Überwachung solcher Bewegungen hat zuvor bereits zur Sperrung von Adressen beigetragen, wenn gestohlene Gelder in Stablecoins umgewandelt wurden: Tether und Circle haben beide USDT und USDC an Wallet-Adressen eingefren, die mit früheren Exploits in Verbindung standen, nachdem ihnen von Sicherheitsteams On-Chain-Beweise vorgelegt wurden.

Die Grenzen der On-Chain-Zuordnung

Die Eigentümerschaft von Wallets auf Ethereum ist pseudonym. Die Beobachtung, dass vier Wallets jeweils 400 ETH aus dem Exploit zugeordneten Transaktionen erhielten, belegt den Geldfluss, zeigt aber nicht, wer diese Wallets kontrolliert. Der Bericht von The Defiant beschreibt die Verteilung; er ordnet die Kontrolle über die Wallets keiner namentlich genannten Person oder Gruppe zu.

Sicherheitsanalysten, die eine solche Aufteilung beobachten, suchen in nachfolgenden Transaktionen nach Verhaltenssignalen: zeitliche Korrelationen zwischen der Wallet-Aktivität, gemeinsame Gas-Zahleradressen oder eine Weiterleitung über denselben Bridge- oder Mixer-Vertrag. Diese Muster können Zuordnungshypothesen eingrenzen, ohne eine Identität zu bestätigen. Bis weitere On-Chain-Bewegungen beobachtet und analysiert wurden, bleiben die vier Wallets Adressen, die zu beobachten sind, und keine bestätigten Endpunkte – und die Inaktivität selbst ist eine bekannte Phase im Umgang mit Geldern nach Hacks, wobei Analytikberichte zu früheren Vorfällen längere ruhige Zeiträume dokumentierten, bevor gestohlene Gelder erneut bewegt wurden.

Die Vertragsadresse des X100-Tokens ist auf Etherscan abfragbar, wo der mit dem Exploit verbundene Transaktionsverlauf und die anschließenden Wallet-Bewegungen direkt eingesehen werden können. On-Chain-Daten liefern die Grundwahrheit; die Sekundärberichterstattung, einschließlich der anfänglichen Berichterstattung von The Defiant, weist Forscher darauf hin, welche Adressen untersucht werden sollen, ersetzt aber nicht die Explorer-Daten selbst.

Für Projekte an der Schnittstelle von Token-Infrastruktur und On-Chain-Ausführung reichert der X100-Fall den wachsenden Vorfallsbestand an, den Sicherheitsteams im gesamten Ethereum-Ökosystem verfolgen. Die strukturelle Entscheidung, die Erlöse symmetrisch auf vier gleich große Wallets aufzuteilen, ist selbst ein Datenpunkt: Sie deutet auf sorgfältige Planung in der Phase nach dem Exploit hin statt auf eine spontane Geldbewegung, und dieses operative Detail wird in jede formale Nachbereitung oder Strafverfolgungsüberweisung einfließen.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Digital-Asset-Märkte bergen erhebliche Risiken. Führen Sie stets eigene Recherchen durch, bevor Sie Entscheidungen treffen.