MSTR Cat

Kryptorecht/Niveau VI · Marktverhalten/6.2 Insider und Rug Pulls/Lektion 6

Hacks und Exploits als Diebstahl

Warum die Aussage „der Code hat es erlaubt“ US-amerikanische Staatsanwaltschaften nicht davon abgehalten hat, Smart-Contract-Exploits als Computerbetrug, Fernmeldebetrug und Geldwäsche anzuklagen – und wo die Gerichte dagegengehalten haben.

Bildung statt Rechts-, Steuer- oder Anlageberatung. Das Kryptorecht unterscheidet sich von Land zu Land und von Bundesstaat zu Bundesstaat und ändert sich häufig. Prüfen Sie die an Ihrem Wohnort geltenden Regeln mit einem qualifizierten Anwalt oder Steuerberater, bevor Sie handeln.

Der schlanke Weg

Der günstigste, steuerärmste, einfachste und diskreteste Weg, den das Recht erlaubt – das Beste zuerst. Jeder Schritt nennt die Regel, auf der er beruht, und die Bedingung, unter der er rechtmäßig bleibt.

  1. Entwickler: Der günstigste rechtliche Schutz ist ein vor dem Launch geschriebener Notfallplan, der festlegt, wer Logs und Hashes erhält, Angreifer-Adressen dokumentiert und IC3, Stablecoin-Emitenten und Kryptobörsen kontaktiert. Das Melden kostet nichts; Verzögerung kostet Einfrier-Möglichkeiten.
  2. Ein Opferprotokoll kann nach 18 U.S.C. §1030(g) eine Zivilklage auf Schadensersatz und einstweilige Verfügung erheben, parallel zu einem laufenden Strafverfahren. Haken: Sie muss innerhalb von 2 Jahren ab der Tat oder der Entdeckung des Schadens eingereicht werden.
  3. Es gibt keinen günstigen rechtmäßigen Weg, exploitete Mittel zu behalten: „Der Code hat es erlaubt“ hat Ahmeds Verurteilung im Jahr 2024 zu drei Jahren und etwa 12,3 Millionen US-Dollar Einziehung nicht aufgehalten. Die rechtmäßige Alternative ist das Melden des Fehlers über eine veröffentlichte Bug-Bounty-Regelung.
  4. Empfangen oder bewegen Sie niemals Mittel, die auf einen Exploit oder sanktionierte Akteure zurückverfolgt werden können, wie z. B. diejenigen, die das FBI mit dem Bybit-Diebstahl im Februar 2025 verknüpfte. Das Screening gegen die kostenlose Sanktionsliste der OFAC kostet nichts; zivilrechtliche Sanktionsstrafen sind in der Regel strikte Haftung.

Materialien18 U.S.C. §1030, das Computer Fraud and Abuse Act (auf law.cornell.edu)Die Pressemitteilung der US Attorney's Office vom April 2024 zur Verurteilung von Shakeeb Ahmed und die Veröffentlichung vom Februar 2025 zur Anklageerhebung gegen MedjedovicDie öffentliche Information des FBI vom 26. Februar 2025 zum Diebstahl bei BybitLektion 6.1.4 (Front-Running und MEV) und Lektion 6.1.5 (der Fall Mango Markets)

Neugier

  1. Wenn ein Smart Contract es mir erlaubt hat, die Mittel abzuheben, wie kann das Abziehen dieser dann Diebstahl sein?
  2. Welche Bundesgesetze nutzen Staatsanwaltschaften gegen DeFi-Exploiter?
  3. Was kann ein Protokoll oder seine Nutzer nach einem Exploit tun, abgesehen davon, die Polizei zu rufen?

Erkunden

  1. Einige Exploiter argumentieren, dass ein Smart Contract der gesamte Vertrag sei und daher alles, was sein Code zulässt, erlaubt ist. US-amerikanische Staatsanwaltschaften haben diese Ansicht abgelehnt. Sie klagen Exploits nach dem Computer Fraud and Abuse Act, 18 U.S.C. §1030, an, der unter anderem bestraft, wenn jemand wissentlich auf einen geschützten Computer ohne Befugnis zugreift oder den befugten Zugriff überschreitet, mit Absicht zu betrügen; nach dem Fernmeldebetrugsstatut, 18 U.S.C. §1343, wenn der Exploit auf Täuschung beruht, wie z. B. falschen Preisen oder manipulierten Eingaben; und nach den Geldwäschegesetzen, wenn Erlöse über Bridges, Mixer oder Swaps geleitet werden, um sie zu verbergen. Die Gerichte prüfen noch, wo diese Grenzen liegen.
  2. Die erste Verurteilung wegen des Hackens eines Smart Contracts erfolgte im Southern District of New York. Shakeeb Ahmed, ein Senior-Security-Ingenieur, dessen Lebenslauf Reverse Engineering von Smart Contracts und Blockchain-Audits auswies, nutzte im Juli 2022 gefälschte Preisdaten, um auf einer dezentralen Börse etwa 9 Millionen US-Dollar an aufgeblähten Gebühren zu erzielen. Wochen später exploitete er Nirvana Finance und nahm etwa 3,6 Millionen US-Dollar ab, was ungefähr all seinen Mitteln entsprach; Nirvana stellte kurz darauf den Betrieb ein. Er wäscht die Erlöse über Bridges, Monero und Mixer. Im Dezember 2023 schloss er einen Schuldeingeständnisvertrag zu einem Vorwurf des Computerbetrugs.
  3. Am 12. April 2024 verurteilte Richter Victor Marrero Ahmed zu drei Jahren Haft und drei Jahren Bewährung, ordnete die Einziehung von etwa 12,3 Millionen US-Dollar und einer erheblichen Menge an Kryptowährungen an sowie eine Wiedergutmachung von über 5 Millionen US-Dollar an die beiden Opfer. Im Februar 2025 enthielten Staatsanwaltschaften im Eastern District of New York eine Anklage gegen Andean Medjedovic, einen Kanadier, wegen Fernmeldebetrugs, Computerhackens, versuchter Erpressung und Geldwäsche. Sie werfen ihm vor, geliehene Mittel genutzt zu haben, um künstliche Preise zu erzeugen und etwa 65 Millionen US-Dollar aus den Pools von KyberSwap und Indexed Finance abzuziehen. Zum Zeitpunkt der Anklageerhebung war er auf der Flucht.
  4. Nicht jede Strafverfolgung hat Bestand gehabt. Die Verurteilungen von Avraham Eisenberg wegen Betrugs und Manipulation im Zusammenhang mit Mango Markets wurden im Mai 2025 vom erstinstanzlichen Richter aufgehoben, teilweise weil die Beweise keine falsche Aussage zeigten; die Berufung der Regierung wird in Lektion 6.1.5 behandelt. Der Fall von Anton und James Peraire-Bueno, denen vorgeworfen wurde, etwa 25 Millionen US-Dollar in 12 Sekunden über den Block-Bildungsprozess von Ethereum abgezogen zu haben, endete im November 2025 mit einem Nichtigurteil (Lektion 6.1.4). Für Entwickler ist die Botschaft gemischt: Exploits werden routinemäßig angeklagt, aber wie weit das Betrugsgesetz „manipulatives“ Trading gegen Code reicht, wird noch entschieden.
  5. Strafrecht ist nur ein Weg. Das Computer Fraud and Abuse Act ermöglicht es einer Person, die einen qualifizierten Schaden oder Verlust erleidet, eine Zivilklage auf Schadensersatz und einstweilige Verfügung zu erheben, 18 U.S.C. §1030(g). Stablecoin-Emitenten und Kryptobörsen können Assets einfrieren, die sie kontrollieren. Staatliche Akteure werfen Sanktionsfragen auf: Am 26. Februar 2025 schrieb das FBI den Diebstahl von etwa 1,5 Milliarden US-Dollar aus der Bybit-Kryptobörse am oder um den 21. Februar 2025 Nordkorea zu, das es als „TraderTraitor“ bezeichnet, und forderte Dienste auf, die damit verbundenen Adressen zu blockieren. Jeder, der mit solchen Mitteln handelt, ist Sanktionsrisiken ausgesetzt (Lektion 5.2.5).
  6. Ein praktischer Reaktionsplan für Entwickler lohnt sich, ihn vor dem Launch zu schreiben. Er sollte festlegen, wer Logs und Transaktions-Hashes erhält, wer Angreifer-Adressen dokumentiert und wer das FBI (IC3), die betroffenen Stablecoin-Emitenten und große Kryptobörsen kontaktiert. Er sollte auch festlegen, wer mit dem Angreifer sprechen darf und was angeboten werden kann (Lektion 6.2.7). Versprechen Sie niemandem Immunität von Strafverfolgung; ein privates Protokoll kann sie nicht gewähren. Nutzer sollten wissen, dass das wissentliche Empfangen oder Bewegen gestohlener Mittel selbst als Geldwäsche angeklagt werden kann, egal was ein Exploiter über den Code sagt.

Kernfakten

  • 18 U.S.C. §1030(a)(4) bestraft es, wenn jemand wissentlich auf einen geschützten Computer ohne Befugnis zugreift oder den befugten Zugriff überschreitet, mit Absicht zu betrügen und dabei etwas von Wert erlangt.
  • Shakeeb Ahmed schloss im Dezember 2023 einen Schuldeingeständnisvertrag zu einem Vorwurf des Computerbetrugs in dem, was die Staatsanwaltschaft als erste Verurteilung wegen des Hackens eines Smart Contracts bezeichnete.
  • Am 12. April 2024 wurde Ahmed zu drei Jahren Haft verurteilt und zur Einziehung von etwa 12,3 Millionen US-Dollar sowie zur Zahlung von über 5 Millionen US-Dollar an Wiedergutmachung verpflichtet.
  • Im Februar 2025 erhoben Staatsanwaltschaften im Eastern District of New York Anklage gegen Andean Medjedovic wegen Fernmeldebetrugs, Computerhackens, versuchter Erpressung und Geldwäsche über etwa 65 Millionen US-Dollar, die aus KyberSwap und Indexed Finance abgezogen wurden.
  • 18 U.S.C. §1030(g) ermöglicht es einer Person, die durch eine Verletzung einen qualifizierten Schaden oder Verlust erleidet, auf Schadensersatz und einstweilige Verfügung zu klagen.
  • Am 26. Februar 2025 schrieb das FBI den Diebstahl von etwa 1,5 Milliarden US-Dollar aus der Bybit-Kryptobörse nordkoreanischen Akteuren zu, die es als „TraderTraitor“ bezeichnet.

Übung neun, sechs, drei, eins

9SammelnNennen Sie bis zu 9 Dinge, die eine Person sagen könnte, um das Abziehen von Mitteln über einen Smart-Contract-Fehler zu rechtfertigen (manche Listen sind kürzer), wie z. B. „der Code hat es erlaubt“, „es war Arbitrage“ oder „ich hatte vor, es zurückzugeben“.
6GruppierenOrdnen Sie diese in 6 Kategorien ein: Argumente zur Befugnis, zur Täuschung, zur Rückgabeabsicht, zur Marktfairness, dazu, wer das Opfer war, und zu Argumenten, die nur Ausreden sind.
3VerdichtenReduzieren Sie die 6 Kategorien auf 3 Gruppen: Argumente, die Gerichte ernst genommen haben, Argumente, die Staatsanwaltschaften abgelehnt haben, und Argumente, die noch geprüft werden.
1KristallisierenSchreiben Sie 1 Satz, der in Ihren eigenen Worten erklärt, warum ein Smart Contract, der eine Transaktion zulässt, nicht darüber entscheidet, ob diese Transaktion rechtmäßig war.

Faktcheck

Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.

In der interaktiven Akademie öffnen →

EN PT ES ZH JA KO RU FR MS