Binance gab Russland die vollständige Kontodatenhistorie eines Nutzers wegen 742 Dollar weiter

Jeder Compliance-Verantwortliche einer globalen Exchange hat eine Präsentation, in der steht: „Wir entsprechen rechtmäßigen Anfragen zuständiger Behörden." Der Fall Yuri Bilenky zeigt, wie diese Folie aussieht, wenn sie gleichzeitig auf einen russischen Terrorismusvorwurf und einen bulgarischen Aufenthaltstitel trifft. Das ist kein gutes Bild – und es ist jetzt ein handfestes Problem für jeden, der ein KYC-pflichtiges Krypto-Produkt mit Nutzern in feindseligen Jurisdiktionen betreibt.

Wie Наша Ніва berichtete, übergab Binance dem russischen Untersuchungskomitee die vollständige Kontohistorie eines russischen IT-Spezialisten, der Geld an Wallets zur Unterstützung des ukrainischen Militärs überwiesen hatte. Die Exchange hatte bereits im Oktober 2023 ihren Rückzug vom russischen Markt angekündigt. Dieser Rückzug hat die Compliance-Verbindung offensichtlich nicht gekappt.

Was geschah

Yuri Bilenky ist ein russischer IT-Spezialist, der seit 2015 in Bulgarien lebt und einen bulgarischen Aufenthaltstitel besitzt. Zwischen Januar 2023 und März 2024 tätigte er sechs Kryptowährungs-Transfers im Gesamtwert von 742 $ an Wallets, die russische Ermittler der ukrainischen Armee und der Einheit Azov zuordnen. Die Ziel-Wallet war vom Blogger Arkady Babchenko öffentlich veröffentlicht worden. Das war keine ausgefeilte Operationssicherheit. Es handelte sich um einen kleinen Spendenfluss über eine öffentliche Adresse.

Im September 2025 wurde Bilenky am Flughafen Scheremetjewo in Moskau festgenommen. Die russischen Ermittler erhoben gegen ihn Anklage wegen Terrorismusfinanzierung. Nach der Verhaftung schickte das Untersuchungskomitee Binance eine Anfrage nach Informationen zu Kunden, die Gelder an die von Babchenko veröffentlichte Wallet transferiert hatten.

Binance antwortete mit dem, was die Menschenrechtsorganisation Perviy Otdel als vollständige Kontohistorie Bilenkys ab dem Zeitpunkt der Registrierung beschreibt. Dieses Paket enthielt persönliche Daten, Kopien seines russischen Reisepasses und seines bulgarischen Aufenthaltstitels, Kontostände, Transfers zwischen Konten sowie die Einzahlungs- und Auszahlungshistorie. Reuters berichtete über die Offenlegung. Perviy Otdel prüfte die Fallunterlagen.

Die Konsequenz war unmittelbar. Ermittler nutzten die Binance-Daten, um neun weitere Transfers aufzudecken, die Bilenky getätigt hatte. Die Anklageschrift umfasst nun 15 Transaktionen statt der ursprünglich identifizierten sechs. Ein Binance-Vertreter teilte Journalisten mit, die Exchange beantworte legitime Anfragen von Strafverfolgungsbehörden unter Berücksichtigung von Datenschutz- und regulatorischen Anforderungen. Menschenrechtsverteidiger argumentieren, dass die Weitergabe persönlicher Daten an russische Behörden ohne internationale Rechtshilfeverfahren gegen europäisches Datenschutzrecht verstoßen könnte. Es ist noch nicht bekannt, ob Binance Daten zu anderen Absendern an dieselben Wallets offengelegt hat.

Technische Analyse

Lässt man die Geopolitik außen vor, ist dies ein banaler Compliance-Prozess, der ein alptraumhaftes Ergebnis produziert hat. So funktioniert der Mechanismus.

Öffentliche Wallet-Adressen sind leichte Ziele für Chain-Analysen. Sobald eine Wallet wie die Babchenko-Spendenadresse bekannt ist, ist jede Exchange mit KYC-Datensätzen und jeder Abhebung oder Einzahlung, die diese Adresse berührt, trivial vorladungsbereit. Das Clustering erfordert keine Chainalysis-Magie. Es erfordert eine einzige SQL-Abfrage gegen das Compliance-Data-Warehouse: gib mir jeden Account mit einer On-Chain-Interaktion mit Wallet X. Das Ergebnis ist eine Kundenliste mit zugehörigen Klarnamen.

Binances öffentliche Position lautet, dass es Russland Ende 2023 verlassen hat. Den Markt operativ zu verlassen bedeutet, neue Registrierungen zu schließen, das lokale Geschäft abzugeben und im Fall von Binance den russischen Arm zu verkaufen. Das bedeutet nicht automatisch, dass historische KYC-Datensätze, Transaktionsprotokolle oder Konto-Snapshots ehemaliger russischer Nutzer gelöscht werden. Diese Datensätze verbleiben bei der Rechtsperson, die den Kunden ongeboardet hat. Wenn die Onboarding-Einheit noch über einen Rechtshilfekanal oder durch direkte Korrespondenz mit einem „ermittelnden" Gremium erreichbar ist, sind die Daten weiterhin abrufbar.

Das offengelegte Paket verrät genau, welche internen Tabellen abgefragt wurden: Ausweisdokumente (KYC-Anbieterspeicher), gemeldete Adresse, Kontostände, interner Transfer-Graph sowie die Einzahlungs- und Auszahlungs-Blockchain-Historie. Das ist im Wesentlichen die vollständige Customer-360-Ansicht, die jede Exchange für AML-Monitoring aufbaut. Am Abruf selbst ist nichts Exotisches. Ungewöhnlich ist die Gegenseite.

Die ungeklärte technische Frage ist das Jurisdiktions-Routing. Bilenky ist bulgarischer Aufenthaltsberechtigter. Bulgarien ist in der EU. DSGVO Artikel 48 besagt, dass Übermittlungen personenbezogener Daten auf Anordnung einer ausländischen Behörde nur rechtmäßig sind, wenn sie auf einem internationalen Abkommen wie einem Rechtshilfevertrag beruhen. Russland und die EU haben 2026 keine funktionierende MLAT-Beziehung. Wenn Binances EU-seitige Einheit diese Anfrage bearbeitet hat, ist das ein ernstes Problem. Wenn eine Nicht-EU-Einheit die Daten hielt, stellt sich die Frage, welche Einheit tatsächlich einen bulgarischen Aufenthaltsberechtigten ongeboardet hat – und warum.

Wer den Schaden trägt

Beginnen wir mit Binance. Meine Einschätzung: Der Reputationsschaden innerhalb der Krypto-Community ist geringer als der regulatorische Schaden, der aus Sofia und Brüssel kommen wird. Europäische Datenschutzbehörden haben nach einem klaren Fall gesucht, um Datenflusswege von Krypto-Exchanges gegen die DSGVO zu testen. Das ist dieser Fall, fein säuberlich verpackt. Erwarten Sie Auskunftsersuchen bulgarischer Regulatoren innerhalb des Quartals und eine koordinierte EDPB-Stellungnahme kurz danach. Die US-Durchsetzungshaltung ist eine separate Achse, aber jede Exchange unter einer bestehenden Einwilligungsanordnung will keine „hat einen Nutzer an Russland verraten"-Erzählung in den Akten.

Als Nächstes jede andere zentralisierte Exchange mit globalem Fußabdruck. Coinbase, Kraken, OKX, Bybit, Bitget. Deren Compliance-Teams beantworten bereits dieselbe Frage, die am Montagmorgen von ihren Vorständen kommt: „Hätten wir das getan, was Binance getan hat?" Die unbequeme Antwort: Die meisten haben keine klare schriftliche Richtlinie, die mit Nein geantwortet hätte. Anfragen aus autoritären Jurisdiktionen werden danach sortiert, ob es sich um eine „zuständige Behörde in einem Land handelt, in dem wir tätig sind" – und die Antwort ist oft mechanisch ja, auch wenn die moralische Antwort offensichtlich nein ist.

Dann die Nutzer. Jeder, der jemals über eine KYC-pflichtige Exchange an Wallets zur Unterstützung des ukrainischen Militärs, belarussische Oppositionswallets, iranische Protestfonds oder Hongkonger Demokratiekampagnen gespendet hat, sollte nun davon ausgehen, dass diese Historie auffindbar ist. Bilenkys offengelegte Transfers beliefen sich auf 742 $. Das ist weniger als eine monatliche Datadog-Rechnung für ein mittelgroßes Team – und es reichte aus, um einen Terrorismusfinanzierungsfall mit 15 Anklagepunkten auszulösen. Die Schwelle für materielles Risiko liegt praktisch bei null.

Schließlich iGaming- und Fintech-Plattformen, die von der Seitenlinie zuschauen. Wenn Ihr Krypto-On-Ramp-Partner eine globale CEX ist, sind die Transaktionsgraphen Ihrer Nutzer derselben rechtlichen Reichweite ausgesetzt. Payments-Teams, mit denen ich gearbeitet habe, behandeln Exchange-Partner als undurchsichtige Compliance-Oberflächen. Sie sind nicht undurchsichtig. Sie sind vorladungstransparent.

Playbook für Krypto und DeFi

Konkrete Maßnahmen für diese Woche.

Wenn Sie eine zentralisierte Exchange oder ein verwahrtes Krypto-Produkt betreiben, schreiben Sie Ihre Richtlinie zur Beantwortung von Strafverfolgungsanfragen öffentlich nieder. Fügen Sie eine Whitelist von Jurisdiktionen ein, von denen Sie direkte Anfragen akzeptieren. Alles andere wird über MLAT abgewickelt oder abgelehnt. Veröffentlichen Sie einen Transparenzbericht mit Anfragezahlen nach Land. Nutzer brauchen ein Signal – und „wir halten uns ans Gesetz" ist keines.

Wenn Sie auf Ethereum oder Solana bauen und Ihr Produkt Spenden, Aktivismus oder politisch exponierte Geldflüsse berührt, hören Sie auf anzunehmen, dass eine öffentliche Adresse ein sicherer Endpunkt ist. Rotieren Sie Einzahlungsadressen pro Spender mit Stealth-Address-Mustern. Das Tooling existiert. Das EIP-Register enthält ERC-5564 Stealth-Adressen, die genau für dieses Muster entwickelt wurden. Das ist kein Datenschutztheater. Es unterbricht den trivialen SQL-Join, der Bilenky in ein russisches Gefängnis gebracht hat.

Wenn Sie ein Fintech- oder iGaming-Stack mit einer KYC-pflichtigen Krypto-Schiene betreiben, prüfen Sie Ihre Datenaufbewahrungsfristen für ehemalige Marktnutzer. Wenn Sie Russland, Belarus oder den Iran verlassen haben, stellen Sie Ihrem Rechtsbeistand eine schwierige Frage: Halten wir noch Datensätze, die eine feindliche Behörde erreichen könnte? Wenn ja, wann laufen sie ab? „Niemals" ist keine Antwort, die ein DSGVO-Audit übersteht.

Für DeFi-Entwickler ist die Lektion älter als dieser Fall. Nicht-verwahrende Schienen, selbst gehostete Wallet-Spenden und datenschutzwahrende Mixer unter legitimen Rechtsrahmen sind die einzigen Architekturen, bei denen der Aktivismus eines Nutzers nicht in einer Compliance-Datenbank sitzt und auf die falsche Vorladung wartet. Entsprechend gestalten.

Wichtigste Erkenntnisse

• Binance hat dem russischen Untersuchungskomitee eine vollständige KYC- und Transaktionshistorie einschließlich Pass- und bulgarischer Aufenthaltstitel-Scans wegen 742 $ an Transfers zu ukrainischen Militär-Wallets offengelegt.
• Der Marktaustritt 2023 hat die Daten nicht gelöscht. Historische Datensätze bei der Onboarding-Einheit blieben bis 2025 erreichbar.
• Aus der offengelegten Historie wurden neun weitere Transfers ermittelt, was die Anklagepunkte von 6 auf 15 Transaktionen ausweitete. Kleine Compliance-Offenlegungen schaffen große rechtliche Risiken.
• Die EU-Rechtsfrage ist real: Die Übermittlung personenbezogener Daten eines bulgarischen Aufenthaltsberechtigten an russische Behörden ohne MLAT-Verfahren könnte DSGVO Artikel 48 verletzen.
• Veröffentlichen Sie eine jurisdiktionsbezogene Strafverfolgungsrichtlinie, verkürzen Sie Aufbewahrungsfristen für ehemalige Marktnutzer und gestalten Sie Spendenflüsse mit Stealth-Adressen. Öffentliche Wallets plus KYC-Exchanges ergeben ein Vorladungsziel.