Bitcoins für 30 Mio. Euro von Justiz in Koblenz gestohlen – war es Sync?

Bitcoins für 30 Mio. Euro – Die Koblenzer Generalstaatsanwaltschaft wurde bestohlen. Die Behörde beklagt inzwischen den illegalen Transfer von 754 Bitcoins aus einem beschlagnahmten Wallet des einstigen Drogen-Webshops Chemical-Love.to zu einem aktuellen Marktwert von beinahe 30 Millionen Eur0.

Die Ermittlungen laufen auf Hochtouren. Eine Spur führt zum unbekannten Betreiber des illegalen Online-Marktplatzes CrimeNetwork.biz, der just nach der Beschlagnahme der Bitcoins im Jahre 2016 bis heute abgeschaltet wurde. Der Betreiber nennt sich im Darknet-Untergrund Sync und möglicherweise angeblich auch z100.

Die Drogen konnten im Darknet-Forum Cybercrimnetwork.biz von Sync über einen internen Messenger-Dienst geordert werden, im Webshop Chemical-Love.to von z100 mit einem üblichen Warenkorbsystem.

Oberstaatsanwalt Dr. Jörg Angerer hatte im Frühjahr 2016 nur anderthalb Jahre nach Gründung seiner Koblenzer Landeszentralstelle Cybercrime nach einem Hinweis aus dem Ausland einen Riesen-Erfolg gelandet.

Bei einer Razzia am 14. April 2016 im pfälzischen Rülzheim hob er im Keller eines Hauses das Versandlager von Chemical-Love.to aus. Das war der bislang größten Drogen-Webshop Deutschlands.

Der Oberstaatsanwalt ließ von der Polizei drei angetroffene Männer festnehmen, die zunächst wegen Verdunkelungsgefahr in Untersuchungshaft kamen und 2017 zu mehreren Jahren Haft verurteilt worden sind. Die Beamten sackten bei der Razzia das gerade aus Rotterdam (Niederlande) gelieferte Kokain (1,3 Kilo) sowie 54 Kilogramm Amphetamine, vier Kilogramm Heroin und 25.000 Ecstasy-Tabletten ein. Außerdem beschlagnahmten sie das Kurierauto, einen Maserati.

Und als Krönung des Einsatzes konfiszierten die Polizisten auch noch eine Computer-Hardware, auf der die Adresse einer Bitcoin-Börse (Wallet) gespeichert ist.

Damaliger Inhalt: 757 Bitcoins (heutiger Marktwert knapp 30 Millionen Euro). Es war illegales Drogengeld, denn alle Kunden des Shops mussten mit Bitcoins bezahlen. Der Shop hatte seit Januar 2015 bis zur Razzia täglich etwa 50 Bestell-Pakete aus Deutschland und den Niederlanden versandt. Insgesamt 5.300 Drogengeschäfte wurden abgewickelt. In den Niederlanden und Bulgarien wurden mehrere Server beschlagnahmt.

Die Freude über den Riesen-Bitcoin-Arrest währte nur kurz.

Ärgernis Nummer 1:  Die Beamten kamen und kommen nicht an die Bitcoins.

Generalstaatsanwalt Dr. Jürgen Brauer, Behördenleiter der Generalstaatsanwaltschaft Koblenz, welcher die Landeszentralstelle Cybercrime untersteht, sagte im April 2021 zu BILD: „Die Bitcoins konnten wir dem Verurteilten eindeutig zuordnen.“ Problem nur: „Wenn man das passende Passwort nicht hat, kommt man an das Geld nicht heran“, so der Behördenleiter weiter.

Die Kryptowährung Bitcoin ist nicht umsonst bei illegalen Aktivitäten im Internet ein beliebtes Zahlungsmittel.

Um einen Bitcoin ausgeben zu können, benötigt man nämlich dessen öffentlichen und dessen geheimen Schlüssel. Die bestehen in der Regel aus einer Folge von 64 Zeichen – unmöglich zu merken, weshalb sie in aller Regel in sogenannten Wallets gespeichert sind, also dem digitalen Pendant einer Geldbörse.

Der verhaftete mutmaßliche Hauptbetreiber bekam am 2. Juni 2017 nicht nur fast 15 Jahre Haft vom Landgericht Landau aufgebrummt, die nach fünfeinhalb Jahre in Sicherungsverwahrung umgewandelt werden sollen, da der Mann selbst sein bester Kokskunde war. Er soll zudem noch 1,5 Millionen Euro Strafe zahlen.

Das Geld hätte sich der Staat gerne aus dem Wallet in Form der Bitcoins entnommen.

Aber die Ermittler hatten die Passwörter nicht, sodass sie nicht an die Bitcoins herankamen. Versuche, die Verschlüsselung zu knacken, scheiterten.

Ärgernis Nummer 2: Das Wallet wurde vor den Augen der Justiz geplündert.

Ein Unbekannter bediente sich zwischendurch zwei mal aus der Wallet an den doch eigentlich beschlagnahmten Bitcoins – und die Justiz musste hilflos zusehen.

Generalstaatsanwalt Dr. Jürgen Brauer gab im Frühjahr 2021 bekannt, dass bereits am 1. März 2017 etwa 265 Bitcoins (heutiger Marktwert rund 10,5 Millionen Euro) unberechtigt wegtransferiert wurden.

Ende 2019 seien erneut 489 Bitcoins (heutiger Marktwert rund 19,3 Millionen Euro) auf andere Adressen bewegt worden – ohne dass die Behörde dies verhindern konnte.

Die Justiz in Rheinland-Pfalz hat nun das Nachsehen.

Aktuell sind nach Adam Riese nur noch drei Bitcoins auf der ursprünglichen Adresse, zu der das Wallet gehört, hinterlegt. Selbst wenn die Ermittler noch einen Weg fänden, das Wallet zu knacken, wären von den 30 Millionen Euro jetzt nur noch rund 118.000 Euro übrig.

Details dazu, wohin genau die Kryptowährung verschwunden ist und wie genau es zu den Transfers kommen konnte, wollte der Generalstaatsanwalt gegenüber heise.de aus Hannover allerdings nicht nennen, um ein laufendes Ermittlungsverfahren nicht zu stören.

Die Landeszentrale für Cybercrime in Rheinland-Pfalz versucht nun zu ermitteln, wer die Krypto-Börse von der Rechneradresse auf der Hardware in der Koblenzer Asservatenkammer geplündert haben könnte.

Natürlich wurde zunächst einmal der verurteilte mutmaßliche Hauptbetreiber des einstigen Web-Shops Chemical-Love.to gecheckt.

Es handelt sich um den geständigen und koksabhängigen Nicola Kelsch, 34, Sohn des ehemaligen Fußball-Nationalspielers Walter Kelsch (65, unter anderem Stürmer beim VfB Stuttgart, FC Homburg), der den Sohn zu einigen Kurierfahrten nach Rotterdam chauffiert hat, wofür der Vater eine Bewährungsstrafe wegen Beihilfe zum illegalen Drogenhandel erhielt.

Nicola Kelsch gab am 17. März 2017 beim Prozess in Landau alles zu, was ihm die Landeszentrale Cybercrime aus Koblenz vorwarf – bis auf eine Sache.

Er sei nicht Mister z100, der Chef von Chemical-Love.to. Das sei Sync von der Darknet-Plattform Crimenetwork.biz.

Dessen Identität würden er und seine Mitstreiter aber nicht kennen. Kelschs Helfer René L. (36) und Dennis T. (34) kassierten im gleichen Verfahren jeweils sieben Jahre, drei Monate.

Nicola Kelsch behauptete bei der Verhandlung am 17. März 2021: Der mysteriöse Unbekannte könnte in weitere Internet-Verbrechen verstrickt sein.

Wenige Tage zuvor am 1. März 2021 waren aus der Justiz-Asservatenkammer aus dem Wallet die ersten 265 Bitcoins (10,5 Millionen Euro) illegal wegtransferiert worden.

Crimenetwork.biz galt bisher mit rund 60.000 registrierten Nutzern und über 300.000 Seitenzugriffen monatlich als das größte deutschsprachige Untergrundforum.

Im digitalen Untergrund ist von einer Beschlagnahmung der Server im Zusammenhang mit den Ermittlungen gegen Chemical-Love.to die Rede. Leider kann man über den Verbleib dieses Tummelplatzes für Cyberkriminelle zum jetzigen Zeitpunkt nur spekulieren.

Sollte allerdings der damalige U-Häftling und später Verurteilte Nicola Kelsch die Bitcoins aus der Justizvollzugsanstalt heraus selbst beiseite geschafft haben, wäre das nicht einmal strafbar.

Dr. Brauer: „Er wurde bereits für den illegalen Erwerb des Geldes verurteilt. Für die Verwertung könnten wir ihn nicht anklagen. Das wäre doppelte Bestrafung.“

Technisch wäre der Bitcoin-Diebstahl von jedem Ort aus möglich.

Technisch gesehen hat die Justiz erfahren müssen, was das Szenesprichwort „Not your keys, not your coins“ in der Praxis bedeutet. Die Beschlagnahmung eines Geräts mit einer verschlüsselten Wallet darauf heißt nämlich keineswegs, dass die Coins damit auch sicher vor Zugriff verwahrt sind.

Für das dezentrale Bitcoinsystem zählt keine Beschlagnahme, sondern dass bei einer Transaktion von Guthaben die kryptografischen Signaturen enthalten sind, die die Kenntnis der zugehörigen privaten Schlüssel beweisen. Wer diese Keys kennt, kann über das Geld verfügen. Und den Behörden bleiben dann nur leere Adressen mit kompromittierten Schlüsseln.

Heise.de zeichnet folgende mögliche Szenarien:

„Möglicherweise hat der Dieb eine sogenannte deterministische Wallet-Anwendung genutzt, was heutzutage eigentlich Standard ist. Die errechnet alle ihre Schlüssel auf Basis einer kryptografischen Seed. Diese Seed wird wiederum aus einer Liste von englischen Wörtern erzeugt (Mnemonic Phrase), die ein relativ praktisches Backup ergibt. Wer die Wortfolge kennt, etwa weil sie einem aus dem Gefängnis übermittelt wurde, könnte damit eine verlorene Wallet leicht wiederherstellen – beziehungsweise wie in diesem Fall den Staat um Beschlagnahmegut erleichtern.

Ebenfalls könnte der Verurteilte auch die Schlüssel in Form einer Paper Wallet, also sprich eines Papierausdrucks, für andere Personen greifbar hinterlegt haben.“

Oder aber der mysteriöse Sync ist tatsächlich zugleich auch z100 und hat sich nun – bis auf ein Trostpflaster von 3 Bitcoins – sein beschlagnahmtes Drogengeld zurückgeholt. (FM)