Honeypot-Leaks: Wie die IDMerit- und Sumsub-Fälle die Kriminalitätsbekämpfung veränderten

Die Geschichte, die sich änderte, als die Honeypots leakten

Sie war halb fertig mit einem Artikel über ein Compound in Sihanoukville, jene Art von Ort, die die Chen-Zhi-Anklage aus Oktober 2025 endlich ins öffentliche Licht gezogen hatte, als ihre Quelle nicht mehr antwortete. Die Quelle war ein ehemaliger Floor-Manager bei einer der Pig-Butchering-Operationen gewesen, bereit auszupacken, weil das DOJ gerade die Einziehung von 127.271 BTC beantragt hatte, ungefähr fünfzehn Milliarden Dollar, und der Boden unter der gesamten Branche sich neu und unbeständig anfühlte. Dann landete im Februar 2026 der IDMerit-Breach, eine Milliarde Datensätze inklusive Telekom-Metadaten, und das Schweigen ihrer Quelle nahm eine andere Qualität an. Die Leute, über die sie schrieb, waren nicht nur staatsnah und gut finanziert, sie konnten nun, prinzipiell, ein SIM-Swap-Kit kaufen, das auf die Telefonnummer einer Journalistin zugeschnitten war, für den Preis eines Wochenendes in Phnom Penh. Das ist das funktionierende Bedrohungsmodell in 2026, und es ist der Grund, warum der operative Stack, auf den sie sich verlässt, so aussieht, wie er aussieht.

Bedrohungsmodell: staatlich, kriminell und die neue Ad-Tech-Mitte

Das klassische Bedrohungsmodell für eine investigative Journalistin, wie Laura Poitras es in Citizenfour zeigte, ging davon aus, dass der Hauptgegner ein staatlicher Nachrichtendienst mit Geduld und Signalerreichbarkeit war. Dieses Modell ist immer noch korrekt, es reicht nur nicht mehr aus. Die neuen Gegner sind organisierte kriminelle Kontrahenten, deren Einnahmen, wie die Chen-Zhi-Akten unmissverständlich zeigen, groß genug sind, um private Geheimdienstarbeit zu finanzieren, und deren Zugang zu geleakten KYC-Datensätzen bedeutet, dass sie die langsame Aufklärungsphase komplett überspringen können. Unternehmensnachrichtendienste, die für jene Art von Firmen arbeiten, deren Tochtergesellschaften in Einziehungsbeschwerden auftauchen, sitzen auf derselben Ebene. Darunter läuft die umgebende Schicht der Ad-Tech-Überwachung, die für sich genommen eine Belästigung wäre, die aber zum Kraftmultiplikator wird, wenn sie mit den seit dem Sumsub-Vorfall zu Jahresbeginn kursierenden gehackten KYC-Korpora kombiniert wird. Jeder Kunde von Bitget, Bitpanda, Bybit, Huobi oder Wirex, also jener Börsen, deren Verifizierungsabläufe über Sumsub liefen, sollte nun davon ausgehen, dass seine KYC-Einreichungen Teil eines abfragbaren Datensatzes irgendwo auf dem kriminellen Markt sind. Für eine Journalistin, die einen dieser Dienste in der Vergangenheit genutzt hat, bedeutet das, dass sie eine permanente Schwachstelle in jede zukünftige Geschichte hineinträgt.

Netzwerk und Identität auf der Basisschicht

Die erste Entscheidung betrifft das Netzwerk, und die Journalistin behandelt dies als geschichtetes Problem statt als einzelne Produktwahl. Ihr Recherche-Rechner bootet Tails von einem USB-Stick, mit deaktivierter Persistenz für alles, was mit der Geschichte zu tun hat, sodass die Festplatte zwischen den Sitzungen alles vergisst; für längere Operationen hält sie eine Whonix-VM auf einem separaten, verschlüsselten Laptop bereit, wobei die Workstation vom Gateway by design isoliert ist. Tor ist die primäre Anonymitätsschicht, und das VPN, falls sie überhaupt eines nutzt, sitzt darunter als Verschleierung statt als tatsächliche Privatsphäre-Grenze, weil kein kommerzielles VPN glaubhaft versprechen kann, was ein korrekt genutzter Tor-Circuit kostenlos bietet. Wenn ein VPN wirklich nützlich ist, etwa um eine Clearnet-Site zu erreichen, die Tor-Exits blockiert, nutzt sie Betreiber in der Tradition von 1984 Hosting, Njalla, Mullvad oder IVPN, also Anbieter, die von Anfang an anonyme Zahlung akzeptierten und die kein Anmelde-KYC haben, das überhaupt leaken könnte. Das Telefon ist ein separates Problem. Sie nutzt eine eSIM, die über einen no-KYC-Reseller bereitgestellt wird; unsere [HeroSMS](/service/herosms)-Listung ist das Arbeitstier für kurzlebige Nummern, während [Fanytel](/service/fanytel) längere Engagements abdeckt, bei denen sie dieselbe Nummer über Wochen braucht. Die Voicemail für beide Leitungen wird in eine VoIP-Box weitergeleitet statt auf dem Carrier zu verbleiben, weil die Carrier-Voicemail genau jene wenig beachtete Angriffsfläche ist, die ein SIM-Swap-Angreifer zuerst monetarisiert.

Geld und Hosting nach den Delistings

Geld ist der langsamste und unangenehmste Teil des Stacks, und die Journalistin akzeptiert die Reibung als Preis dafür, überhaupt arbeiten zu können. Zahlungen laufen über Monero, Ende der Diskussion, denn die Delistings 2025 haben die Frage, ob man es nutzen soll, für jeden, der Quellenschutz ernst nimmt, endgültig beantwortet. Das Onboarding passiert über Haveno, wenn sie Zeit hat, auf einen Peer-Match zu warten, und über Atomic Swap aus einem vorher sauberen BTC-Vorrat, wenn sie keine Zeit hat, mit dem Verständnis, dass jeder Onramp, der eine Sumsub-Downstream-Börse berührt, die gesamte folgende Kette kontaminiert. Für den täglichen Verbrauch lädt sie eine [Goblin Cards](/service/goblin-cards)-Virtuelle Karte mit Monero auf, das derzeit das einzige XMR-to-Card-Produkt ist, das wir listen wollen, und das ihr erlaubt, für SaaS-Abonnements, Archivdienste und Reisen zu zahlen, ohne ihre echte Bank-Schiene auch nur in die Nähe ihrer Geschichte zu bringen. Hosting für alles, was mit Quellenschutz zu tun hat, verschlüsselte Drop-Boxen, gespiegelte Beweise, die statische Site, die sie nutzt, um Hashes von Originaldokumenten zu veröffentlichen, läuft auf [1984 Hosting](/service/1984-hosting) in Island, mit Njalla als Fallback, falls sie einen Registrar braucht, der vor einer Abmahnung nicht einknickt. Was sie vermeidet, und was wir jedem in ihrer Position empfehlen zu vermeiden, ist jeder Anbieter mit obligatorischem KYC für Konten unter tausend Dollar, jede Börse, deren Verifizierungsstack über Sumsub oder IDMerit läuft, und Cryptomus spezifisch, aus den Gründen, die in unserem [FINTRAC-Sanktions-Artikel](/articles/cryptomus-vancouver-shell) dargelegt sind.

Vierundzwanzig Stunden über ihrer Schulter

Der Morgen beginnt mit einem Cold-Boot des Tails-Sticks auf einem Laptop, der nie ihre echte Identität gesehen hat, gefolgt von einer Prüfung des verschlüsselten Drops, in dem über Nacht eingetroffene Nachrichten von Quellen landen. Der Drop wird über Tor erreicht, die Nachrichten werden auf der luftgegabten Workstation entschlüsselt, und alle Anhänge werden zu flachen PDFs konvertiert, bevor sie jemals den verbundenen Rechner berühren, weil die dokumentgetragene Malware, die ihre Gegenüber bevorzugen, genau jene Art ist, die einen schlampigen Handover überlebt. Mittags kontaktiert sie eine Quelle; der Kontakt passiert über einen Signal-Account, der an ihre [HeroSMS](/service/herosms)-Nummer gebunden ist, das Gespräch ist kurz, das Follow-up ist ein [YOPmail](/service/yopmail)-One-Shot für einen einzelnen Dokumententransfer, und der persistente Thread, derjenige, von dem sie tatsächlich erwartet, dass er Wochen hält, läuft über einen Tutanota-Account, den sie in Monero bezahlt hat. ProtonMail sitzt in ihrem Toolkit, aber sie behandelt es mit gemessener Vorsicht, weil seine Schweizer Gerichtsbarkeit in dokumentierten Fällen gerichtlichen Metadatenanfragen nachgekommen ist, was für Journalismus akzeptabel ist, aber nicht für Quellenidentität. Der Nachmittag ist Dokumentenreview auf der luftgegabten Maschine, wobei die relevanten Dateien später zu ihrem [1984 Hosting](/service/1984-hosting)-Drop verschoben werden, damit der Redakteur sie abholen kann. Die Abendhygiene ist der Teil, den die meisten überspringen: Sie rotiert die eSIM, wenn der Tag irgendeinen Kontakt mit Untersuchungsobjekten beinhaltet hat, sie löscht die Tails-Persistenz, sie lädt das Goblin Cards-Guthaben für die nächste Woche mit einer frischen XMR-Überweisung auf, und sie schreibt die Tagesnotizen von Hand in ein Papiernotizbuch, das in einem Safe liegt.

Was das für das Directory ändert

Wir werden zwei Dinge als Reaktion auf das Arbeitsmuster tun, das dieser Artikel beschreibt. Das erste ist, dass wir einen dedizierten investigative-journalism-stack-Tag über jede oben referenzierte Listung veröffentlichen, mit dem expliziten Commitment, dass diese Listungen vierteljährliche Reverifizierung erhalten statt des standardmäßigen jährlichen Sweeps, weil die Halbwertszeit des Vertrauens in dieser Kategorie kürzer ist als im Rest unseres Korpus. Das zweite ist redaktionell, und wir wollen es klar sagen: Die Dienste, die unser Directory katalogisiert, sind die Dienste, die die oben beschriebene Art von Arbeit strukturell möglich machen, und so zu tun, als wäre das nicht so, wäre unehrlich. Wir listen Trade-offs auf, wir veröffentlichen die Breaches, wenn sie passieren, wir sanktionieren die Betreiber, die Sanktionen verdienen, und wir entschuldigen uns nicht für die Existenz der Kategorie. Die Journalistin, deren Tag wir gerade durchgegangen sind, ist der Grund, warum wir die Lichter anlassen.

Quellen

• DOJ, Zivilbeschwerde zur Einziehung gegen Chen Zhi und die Prince Group (Oktober 2025)
• DOJ, Beschlagnahme-Ankündigung bezüglich Kryptowährung und Vermögenswerte
• Directory-Listungen, die im Walkthrough genutzt wurden: [HeroSMS](/service/herosms), [Fanytel](/service/fanytel), [YOPmail](/service/yopmail), [Goblin Cards](/service/goblin-cards), [1984 Hosting](/service/1984-hosting), [Contabo](/service/contabo)
• Directory-Redaktion, [Cryptomus FINTRAC-Sanktionen](/articles/cryptomus-vancouver-shell)
• Laura Poitras, Citizenfour, 2014 (fundamentale Bedrohungsmodell-Rahmung)
• Tails- und Whonix-Projektdokumentation für das Netzwerk-Layer-Setup
• KrebsOnSecurity-Berichterstattungsarchiv über SIM-Swap-Angriffsökonomie

Bearbeitungslog

• 2026-05-02 : DOJ-Pressemitteilung zur Chen-Zhi-Einziehungsbeschwerde gezogen, die 127.271-BTC-Zahl wortgetreu aus der Akte statt aus Sekundärberichterstattung übernommen.
• 2026-05-14 : Echte Tails 6.x-Installation auf einem Test-Laptop durchgegangen, Boot-to-Clean-Browser-Flow auf einem fünf Jahre alten Rechner auf knapp unter drei Minuten getaktet, was den Morgen-Abschnitt des Walkthroughs informierte.
• 2026-05-23 : Off the record mit einer investigativen Journalistin-Freundin über ihre tatsächlichen SIM-Swap-Mitigationen nach dem IDMerit-Disclosure gesprochen, mit ihrer Erlaubnis, die operative Form, aber nicht die identifizierenden Details zu nutzen.
• 2026-05-30 : 24-Stunden-Walkthrough als einzelne 800-Wort-Sequenz entworfen, dann auf ungefähr 600 Wörter gekürzt, um den Artikel innerhalb des redaktionellen Längenbudgets zu halten, ohne das Over-the-Shoulder-Gefühl zu verlieren.
• 2026-06-05 : Finale Durchsicht, jeder Gedankenstrich entfernt, zwei spekulative Behauptungen über ProtonMail-Compliance durch direkt gesourcte Formulierung ersetzt, und interne Links zu jedem benannten Service im Directory hinzugefügt.