Eine Blockchain-Verfolgung kann technisch korrekt und trotzdem für diejenigen nutzlos sein, die letztlich danach handeln müssen. Exchanges, die entscheiden, ob sie ein Konto einfrieren, und Gerichte, die entscheiden, ob sie Beweise zulassen, bewerten die Schlussfolgerung eines Ermittlers nicht auf Vertrauensbasis. Sie bewerten die dahinterliegende Dokumentation. Ein Chain-of-Custody-Bericht ist das, was aus einer privaten Analyse etwas macht, das ein Dritter unabhängig überprüfen kann.
Methodik, klar dargelegt
Ein ordnungsgemäßer Bericht beginnt damit, genau zu beschreiben, wie die Analyse durchgeführt wurde, nicht nur, was sie ergeben hat. Dazu gehört, welche Clustering-Heuristiken oder Zuordnungstechniken angewandt wurden, welche Werkzeuge und Softwareversionen zum Abrufen und Analysieren der zugrunde liegenden Daten verwendet wurden, und welche Annahmen getroffen wurden, wo die Daten selbst mehrdeutig waren. Ein Prüfer, der diesen Abschnitt liest, sollte grundsätzlich nachvollziehen können, wie sich dasselbe Ergebnis unabhängig reproduzieren ließe – das ist der Maßstab, der einen belastbaren Bericht von der Zusammenfassung einer bloßen Meinung unterscheidet.
Ein zeitgestempeltes Protokoll jedes Schritts
Jeder bedeutsame Schritt der Ermittlung – wann eine Transaktion identifiziert wurde, wann ein Cluster gebildet wurde, wann eine Anfrage an einen Dritten gesendet wurde – wird mit einem Zeitstempel protokolliert, in der Regel in einer einheitlichen Zeitzone wie UTC, um Mehrdeutigkeiten zu vermeiden, sobald die Spur Jurisdiktionsgrenzen überschreitet. Dieses zeitgestempelte Protokoll ist aus zwei Gründen wichtig: Es erlaubt einem Prüfer, die Darstellung des Analysten mit den unveränderlichen eigenen Zeitstempeln der Blockchain abzugleichen, und es legt fest, wann bestimmte Tatsachen bekannt wurden, was in einem gerichtlichen Verfahren erheblich ins Gewicht fallen kann.
Die vollständige Kette der Überweisungen, nicht nur die Endpunkte
Ein brauchbarer Bericht dokumentiert jeden Zwischenschritt, den die Gelder genommen haben, nicht nur den Ausgangspunkt und den Punkt, an dem die Spur derzeit endet. Jede Transaktionskennung, Wallet-Adresse und jedes beteiligte Netzwerk wird der Reihe nach festgehalten, zusammen mit Block-Explorer-Exporten oder Screenshots, die den sichtbaren On-Chain-Zeitstempel für jede Station zeigen. Zwischenschritte auszulassen, um eine sauberer wirkende Zusammenfassung zu präsentieren, ist einer der häufigeren Gründe, warum eine ansonsten korrekte Verfolgung unter genauer Prüfung schwerer zu verteidigen ist.
- Die vollständige, geordnete Abfolge der Transaktionskennungen und Wallet-Adressen mit Angabe des Netzwerks jedes einzelnen Schritts.
- Screenshots oder Rohdaten-Exporte eines Block-Explorers mit dem sichtbaren Zeitstempel jeder referenzierten Transaktion.
- Eine Aufzeichnung, welche Werkzeuge und welche konkrete Version jedes Werkzeugs zur Erstellung von Clustering- oder Zuordnungsschlussfolgerungen verwendet wurden.
- Eine unterzeichnete Erklärung des Analysten, die festhält, wer die Arbeit durchgeführt hat, und dessen einschlägige Qualifikationen zusammenfasst.
- Hash-Werte oder eine andere Integritätsprüfung für alle exportierten Datendateien, um zu belegen, dass die zugrunde liegende Aufzeichnung nach der Erfassung nicht verändert wurde.
Das Rechts- oder Compliance-Team einer Exchange und ein Gericht bewerten beide dieselbe zugrunde liegende Frage: Kann dieser Analyse vertraut werden, ohne dem Ermittler einfach sein Wort zu glauben. Ein Bericht, der methodisch darauf ausgelegt ist, genau diese Frage zu beantworten, und dem eigene Belege beigefügt sind, wird sehr anders behandelt als eine erzählerische Schlussfolgerung – selbst wenn beide denselben Sachverhalt beschreiben.
Warum dies tatsächlich über den Ausgang entscheidet
In der Praxis ist die Qualität dieser Dokumentation häufig der Unterschied zwischen einem Fall, der vorankommt – eine Exchange friert Gelder ein, ein Gericht erlässt eine Anordnung – und einem, der auf unbestimmte Zeit bei einer technisch soliden Verfolgung stecken bleibt, die niemand außer dem ursprünglichen Analysten überprüfen kann. Ermittler, die das Verfassen des Berichts als bloße Formalität behandeln statt als das eigentliche Arbeitsergebnis, erledigen in einem sehr realen Sinne nur die halbe Arbeit.