Im Juli 2026 beauftragte uns eine Privatanlegerin mit der forensischen Analyse ihres Falls: Über sieben Monate hatte sie 26.812 € in Kryptowährungen an Betrüger verloren — erst durch einen Anlagebetrug, dann durch einen angeblichen Retter. Dieser Bericht zeigt anonymisiert und Schritt für Schritt, wie die Spur des Geldes über drei Blockchains verfolgt wurde, welche Techniken die Täter zur Verschleierung einsetzten und wo die Justiz jetzt ansetzen kann.
Der Fall in Zahlen
Wie lief der Betrug ab?
Der Fall folgt einem Muster, das wir in der Praxis regelmäßig sehen — und das in dieser Kombination besonders teuer wird: Anlagebetrug, gefolgt von einem Recovery-Scam.
Im Herbst 2025 wurde die Anlegerin über Werbeanzeigen auf Facebook und Instagram auf eine vermeintliche Geldanlage aufmerksam. Sie zahlte mehrere Tausend Euro ein. Die Plattform zeigte ihr daraufhin ein Guthaben von rund 40.000 € an — angeblich erwirtschaftete Rendite. Tatsächlich existierte dieses Guthaben nie: Es war eine Zahl auf einem manipulierten Dashboard, mit der weitere Einzahlungen provoziert werden sollten.
Ab November 2025 folgte die zweite Stufe: Eine Person, die sich als „White Hat Hacker“ ausgab, kontaktierte die Anlegerin und bot an, die verlorenen Gelder zurückzuholen. Genau dieses Muster — Betroffene eines Erstbetrugs werden gezielt erneut angesprochen, häufig auf Grundlage von Datensätzen aus der ursprünglichen Betrugsplattform — kennzeichnet den Recovery-Scam. Für die angebliche Rückholung wurden Vorauszahlungen verlangt, unter anderem als „Steuervorauszahlung“ deklariert. Ein tatsächlicher Rückholvorgang ist nach unserem Erkenntnisstand nie erfolgt.
So flossen zwischen November 2025 und Mai 2026 insgesamt 18 Zahlungen von den Börsenkonten der Anlegerin (Crypto.com, Kraken und BingX) an Wallets der mutmaßlichen Täter — in Bitcoin, USD Coin (USDC) und Tether (USDT), zusammen 26.812 € zum jeweiligen Tageskurs. Im Verlauf übersandte die Anlegerin den Tätern zudem eine Kopie ihres Personalausweises — ein Umstand, der über den finanziellen Schaden hinaus riskant ist, weil Ausweisdaten für Kontoeröffnungen im Namen des Opfers missbraucht werden können.
Der Fall im Zeitverlauf
-
Herbst 2025
Anlagebetrug über Social-Media-Werbung. Einzahlungen von mehreren Tausend Euro; die Plattform zeigt rund 40.000 € Schein-Rendite an.
-
November 2025
Ein angeblicher „White Hat Hacker“ bietet die Rückholung an — der Recovery-Scam beginnt. Erste Bitcoin-Zahlungen fließen vom Crypto.com-Konto.
-
November 2025 – Mai 2026
Insgesamt 18 Zahlungen in BTC, USDC und USDT über die Konten bei Crypto.com, Kraken und BingX — zusammen 26.812 € zum jeweiligen Tageskurs.
-
Juli 2026
Kontaktaufnahme zu BlockDetektiv. Kostenlose Ersteinschätzung: Bitcoin- und Ethereum-Spuren führen bereits teilweise zu zentralisierten Börsen. Beauftragung des Gesamtberichts.
-
Ende Juli 2026
Nach sieben Werktagen liegt der forensische Gesamtbericht vor — in deutscher Ausfertigung für die Ermittlungsbehörden und englischer Ausfertigung für die Börsen.
-
Jetzt
Der Bericht geht mit der Strafanzeige an die Ermittlungsbehörden. Auf seiner Grundlage sind Auskunftsersuchen an die identifizierten Börsen möglich.
Wohin ist das Geld geflossen?
Gestohlene Kryptowährungen verschwinden nicht — sie hinterlassen Spuren in einem öffentlichen Register. Die Täter wissen das und setzen Verschleierungstechniken ein. In diesem Fall haben wir vier davon dokumentiert: Konsolidierung (Gelder mehrerer Opfer werden in Sammel-Wallets gebündelt), Smurfing (große Beträge werden in viele gleichförmige Kleinbeträge zerlegt), Cross-Chain-Wechsel (die Spur springt über Bridge-Dienste auf eine andere Blockchain) und Peeling (Beträge werden über lange Ketten in immer kleinere Teile geschält).
Trotzdem ließ sich die Spur in allen vier Strängen bis zu zentralisierten Diensten verfolgen. Das vereinfachte Gesamtbild:
Geldfluss — vereinfachte Darstellung (Adressen gekürzt)
Strang 1 — Bitcoin: 4 Zahlungen, rund 9.100 €
Im November und Dezember 2025 flossen vier Zahlungen über zusammen rund 0,118 BTC vom Crypto.com-Konto der Anlegerin an eine Täter-Adresse. Die Beträge wurden dort nicht gehalten, sondern jeweils zeitnah in konsolidierten Transaktionen weitertransferiert — ein typisches Geldwäsche-Muster. Die Nachverfolgung auf UTXO-Ebene führte zu einer Einzahlungsadresse der Börse Binance sowie zu einem Cross-Chain-Swap-Dienst.
Strang 2 — Ethereum: das Lehrbuch-Beispiel für Smurfing
Ende Mai 2026 zahlte die Anlegerin rund 2.800 USDC von ihrem Kraken-Konto an eine Täter-Wallet. Von dort wanderte der Betrag — gebündelt mit Geldern aus anderer Herkunft — über eine Sammel-Wallet in eine Verteiler-Wallet. Diese zerlegte die Summe innerhalb von rund 24 Stunden in gleichförmige Teilbeträge zwischen 200 und 400 USDC und schleuste sie auf sechs Einzahlungsadressen bei Kraken und eine bei Coinbase. Dieses Aufteilen in unauffällige Kleinbeträge nennt sich Smurfing: Es soll Meldeschwellen unterlaufen und die Nachverfolgung erschweren. Mit forensischer Zuordnung nach dem FIFO-Prinzip ließ sich der Weg jedes Teilbetrags dennoch lückenlos dokumentieren.
Strang 3 — Ethereum → Tron: in 14 Minuten über die Bridge
Eine weitere USDC-Zahlung über rund 900 USDC vom April 2026 zeigt, wie schnell Täter heute Blockchains wechseln: Acht Minuten nach Eingang wurde der Betrag mit Fremdgeldern zu einer Sammelüberweisung von 9.600 USDC gebündelt, weitere sechs Minuten später floss die Summe in einen Cross-Chain-Dienst — und verließ die Ethereum-Blockchain als USDT auf der Tron-Blockchain. Zwischen der Zahlung und dem Blockchain-Wechsel lagen nur 14 Minuten. Über die Vorgangsnummern des Bridge-Dienstes ließ sich der Wechsel dennoch belegen. Auf der Tron-Seite durchliefen die Mittel eine Kette aus vier hochvolumigen Verteil-Wallets, bevor sie auf fünf Einzahlungsadressen bei Binance, Bitget und OKX verteilt wurden.
Strang 4 — Tron: 12 Zahlungen, rund 14.500 €
Der größte Teil des Schadens entfiel auf die Tron-Blockchain: Zwischen Januar und Mai 2026 flossen zwölf USDT-Zahlungen über zusammen rund 16.870 USDT vom BingX-Konto der Anlegerin an Täter-Adressen. Neun Einzahlungsadressen der Börse BingX sowie eine weitere Adresse eines Cross-Chain-Dienstes konnten als Endpunkte identifiziert werden. Bei einem Teil der Zahlungen endet die belastbare Zuordnung in Peeling- und Hochdurchsatz-Strukturen — das benennen wir im Bericht offen, statt Vollständigkeit zu behaupten.
Ihnen ist Ähnliches passiert?
Ob Anlagebetrug, Recovery-Scam oder gefälschte Plattform: Wir prüfen kostenlos und unverbindlich, ob Ihr Fall forensisch verfolgbar ist — und sagen Ihnen ehrlich, was möglich ist und was nicht.
Wie funktioniert die forensische Nachverfolgung?
Damit ein Bericht vor Ermittlungsbehörden und Börsen Bestand hat, muss jede Zuordnung methodisch sauber und nachvollziehbar sein. Im Fall 2026-19 kamen vier Bausteine zusammen — analysiert mit der Forensik-Software Breadcrumbs und unabhängig gegengeprüft über MistTrack von SlowMist:
- Spezialisierte Analyse-Software (Breadcrumbs): Die Transaktionsnetze wurden mit der forensischen Analyse-Software Breadcrumbs visualisiert und verknüpft — jede Zwischenadresse einzeln untersucht, über alle drei Blockchains hinweg.
- Unabhängige Gegenprüfung: Jede identifizierte Börsen-Einzahlungsadresse wurde zusätzlich über den unabhängigen Analysedienst MistTrack (SlowMist) verifiziert. Erst wenn beide Quellen übereinstimmen, gilt die Zuordnung als belastbar.
- Anerkannte Zuordnungsregeln (FIFO/UTXO): Wo Täter Gelder mehrerer Herkünfte vermischen, wird nach dem First-in-first-out-Prinzip zugeordnet — der in der Blockchain-Forensik gebräuchlichsten Methode. Bei Bitcoin erfolgt die Zuordnung auf Ebene einzelner Transaktionsausgänge (UTXO). Was methodisch nicht belastbar zuzuordnen ist, wird nicht behauptet.
- Bereinigung um Störsignale: Gefälschte Token aus sogenanntem Address Poisoning — Spam-Transfers, die echte Zahlungen imitieren — wurden erkannt und aus der Auswertung ausgeschlossen. Nur echte Token-Contracts zählen.
Das Ergebnis ist eine Schritt-für-Schritt-Aufbereitung für die Ermittlungsbehörden: jede Geldspur tabellarisch und grafisch dokumentiert, von der ersten beanstandeten Zahlung bis zur letzten Einzahlungsadresse. Mehr zur Methodik lesen Sie unter Transaktionsanalyse und gerichtsverwertbares Blockchain-Gutachten.
Wo endet die Spur — und warum ist das kein Scheitern?
Ehrlichkeit gehört zur Forensik: Nicht jeder Euro ließ sich bis zu einer Börse verfolgen. Wo Täter Beträge in Peeling-Ketten zerlegen oder durch Wallets mit sehr hohem Transaktionsaufkommen schleusen, endet die belastbare Einzelzuordnung — und genau dort endet auch unsere Aussage. Über den weiteren Verbleib solcher Mittel spekulieren wir nicht.
Entscheidend ist etwas anderes: Für Ermittlungen genügt es, dass ein wesentlicher Teil der Gelder nachweisbar bei Diensten mit Identitätsprüfung angekommen ist. Jede der 22 identifizierten Einzahlungsadressen gehört zu einem Kundenkonto, dessen Inhaber sich bei der Börse in der Regel mit Ausweisdokumenten verifiziert hat. Ein Auskunftsersuchen der Staatsanwaltschaft kann diese Identitäten abfragen — das ist der Punkt, an dem aus pseudonymen Blockchain-Adressen reale Personen werden können.
Was dieser Fall lehrt
-
Der zweite Betrug ist oft teurer als der erste
Wer einmal Opfer wurde, steht auf Listen und wird gezielt erneut kontaktiert — hier von einem angeblichen „White Hat Hacker“. Kein seriöser Dienst verspricht die Rückholung verlorener Kryptowährungen.
-
„Steuer vor Auszahlung“ ist immer Betrug
Forderungen nach Vorauszahlungen, „Steuern“, „Gebühren“ oder „Freischaltbeträgen“ vor einer Auszahlung sind ein verlässliches Erkennungsmerkmal betrügerischer Angebote.
-
Ein Dashboard-Guthaben ist kein Vermögen
Die angezeigten 40.000 € „Rendite“ existierten nie. Maßgeblich ist ausschließlich, was tatsächlich eingezahlt wurde — nicht, was eine Plattform anzeigt.
-
Niemals Ausweiskopien an Unbekannte senden
Mit Ausweisdaten können Täter Konten im Namen des Opfers eröffnen und für die Abwicklung weiterer Taten missbrauchen. Der Schaden reicht dann über das verlorene Geld hinaus.
-
Belege sichern — die Blockchain vergisst nicht, Ihre Unterlagen schon
Auszahlungsbestätigungen, Adressen, Chat-Verläufe und Screenshots waren in diesem Fall der Schlüssel: Aus ihnen ergaben sich die Ausgangstransaktionen, an denen die forensische Analyse ansetzt.
Häufige Fragen zum Fallbericht
Kann man gestohlene Kryptowährungen wirklich nachverfolgen?
Ja, in vielen Fällen. Blockchains sind öffentliche Register: Jede Transaktion ist dauerhaft einsehbar. Im Fall 2026-19 wurden rund 70 Transaktionen über drei Blockchains dokumentiert und 22 Einzahlungsadressen bei sechs Börsen identifiziert. Grenzen entstehen durch Peeling-Strukturen, Mixer und nicht kooperierende Dienste.
Bedeutet die Nachverfolgung, dass das Geld zurückkommt?
Nein. Die forensische Analyse dokumentiert, wohin Vermögenswerte geflossen sind, und schafft damit die Grundlage für Auskunftsersuchen und weitere rechtliche Schritte. Ob Behörden und Börsen tätig werden und ob Gelder gesichert werden können, liegt außerhalb des Einflusses der Forensik. Seriöse Anbieter geben hierzu keine Garantien.
Warum sind die Wallet-Adressen im Fallbericht gekürzt?
Zum Schutz des laufenden Verfahrens und der Betroffenen. Vollständige Adressen, Transaktions-IDs und Diagramme liegen im forensischen Gesamtbericht vor und werden Ermittlungsbehörden und Börsen vollständig offengelegt — nur die öffentliche Darstellung ist anonymisiert.
Wie lange dauert eine solche forensische Analyse?
In diesem Fall lagen zwischen Beauftragung und fertigem Gesamtbericht sieben Werktage — inklusive der Analyse von rund 70 Transaktionen auf drei Blockchains und einer englischen Ausfertigung für die Kommunikation mit Börsen. Die Dauer hängt vom Umfang des Falls ab.
Was kostet ein forensischer Bericht?
Die Ersteinschätzung ist kostenlos und unverbindlich: Wir prüfen zuerst, ob ein Fall forensisch überhaupt Aussicht auf verwertbare Ergebnisse hat. Erst danach folgt ein Festpreis-Angebot, das sich am Umfang des Falls orientiert — ohne versteckte Kosten und ohne Rückhol-Versprechen.
Was macht die Polizei mit einem solchen Bericht?
Der Bericht bereitet jede Geldspur Schritt für Schritt auf — von der ersten Zahlung bis zur Einzahlungsadresse der Börse. Ermittlungsbehörden können auf dieser Grundlage Auskunftsersuchen an die Börsen stellen, um die Inhaber der Empfängerkonten zu ermitteln, da diese dort in der Regel ein Identitätsverfahren (KYC) durchlaufen haben.
Kostenlose Ersteinschätzung
Wir sagen Ihnen ehrlich, ob sich eine Analyse lohnt
Schildern Sie uns Ihren Fall — kostenlos, unverbindlich und vertraulich. Wie im Fall 2026-19 prüfen wir zuerst, ob Ihre Zahlungen forensisch verfolgbar sind. Keine Vorkasse für Versprechen, keine Rückhol-Garantien: nur belegbare Forensik.
Antwort meist innerhalb von 24 Stunden · vertraulich
Dieser Fallbericht dient der Information und Aufklärung und stellt keine Rechtsberatung dar. Er ist anonymisiert; Angaben, die Rückschlüsse auf Beteiligte zulassen könnten, wurden gekürzt, gerundet oder weggelassen. Der geschilderte Verlauf ist ein Einzelfall — ein Ergebnis in einem Fall ist keine Zusage für einen anderen. Die genannten Börsen und Dienste sind selbst nicht Täter, sondern wurden von den Tätern als Auszahlungswege genutzt; die Nennung erfolgt ausschließlich zu Informationszwecken. BlockDetektiv ist kein Recovery-Dienst und gibt keine Erfolgsgarantien.