Tornado Cash: Vierzig Monate im Zwielicht, als der Staat Code wie einen Menschen sanktionieren wollte

Der Tag, an dem Code auf die Sanktionsliste gesetzt wurde

Am 8. August 2022 tat das Office of Foreign Assets Control des US-Finanzministeriums etwas, das es zuvor noch nie getan hatte. Es fügte eine Reihe von Ethereum-Smart-Contract-Adressen zur Liste der Specially Designated Nationals hinzu. Nicht eine Person, nicht ein Unternehmen, nicht eine Stiftung und keine Wallet, die von einem bekannten Betreiber kontrolliert wurde, sondern ein bereitgestelltes, unveränderliches Softwarestück namens Tornado Cash. Von diesem Morgen an war jede US-Person, die mit diesen Verträgen interagierte, theoretisch dem gleichen Sekundärsanktionsregime ausgesetzt, das gegen Waffenhändler und staatliche Terrorismussponsoren eingesetzt wird. Die Begründung lautete, Tornado Cash habe nach Zählung des Finanzministeriums seit 2019 mehr als sieben Milliarden Dollar gewaschen, darunter rund 455 Millionen Dollar, die von der nordkoreanischen Lazarus-Gruppe gestohlen worden waren. Die Abhilfe bestand darin, den Code selbst als sanktionierte Einheit zu behandeln.

Was folgte, war eine vierzigmonatige Debatte, die gleichzeitig in zwei Bundesgerichten, einem niederländischen Strafgericht und den Kommentarbereichen jedes Krypto-Politik-Blogs mit Puls geführt wurde, über eine Frage, die zuvor nie beantwortet werden musste: Kann eine Regierung Software so sanktionieren wie einen Menschen?

Was OFAC tatsächlich tat

Die ursprüngliche Einstufung listete Dutzende Vertragsadressen und drei zugehörige Domains auf. Innerhalb von Stunden reagierte der große US-Compliance-Apparat. Circle fror noch am selben Tag rund 75.000 USDC auf sanktionierten Adressen ein. GitHub deaktivierte die Repositories der Tornado-Cash-Maintainer, einschließlich des persönlichen Kontos von Roman Semenov. Infura und Alchemy blockierten den RPC-Zugriff auf die Vertragsadressen. Coinbase, das stillschweigend einen Teil der Coin-Center-Klage finanziert hatte, mit der die Maßnahme später angefochten werden sollte, verhielt sich vorsichtiger; mehrere seiner Nutzer wurden Kläger in der Klage, die schließlich zu Van Loon v. Treasury führte.

Die praktischen Auswirkungen auf gewöhnliche Nutzer waren seltsam und weitreichend. Jeder, der jemals bei Tornado Cash eingezahlt hatte, auch Jahre vor einem nordkoreanischen Hack, wachte am 9. August auf und musste feststellen, dass seine Wallets potenziell kompromittiert waren. Eine Handvoll Scherzbolde schickte kleine Beträge von gemischtem ETH an Prominenten-Adressen, um zu testen, ob sich die Sanktionen durch unaufgeforderte Transfers selbst waffnen ließen. Das konnten sie nicht, zumindest nicht in strafrechtlich verfolgbarer Hinsicht, aber der abschreckende Effekt war sofort spürbar. Privatsphäre auf Ethereum, für den durchschnittlichen Menschen, der das Protokoll aus nicht-kriminellen Gründen genutzt hatte, wurde zu etwas, aus dem man sich herausjuristen musste.

Der Pertsev-Fall

Zwei Tage nach der SDN-Einstufung, am 10. August 2022, verhaftete der niederländische Fiskalische Informations- und Ermittlungsdienst Alexey Pertsev in seinem Haus außerhalb von Amsterdam. Pertsev war einer der namentlich genannten Entwickler des Protokolls und seit der Bereitstellung 2019 daran beteiligt. Er verbrachte die meisten der folgenden zwanzig Monate in Untersuchungshaft.

Am 27. April 2024 verurteilte ihn das Bezirksgericht von Ostbrabant in 's-Hertogenbosch wegen Geldwäsche und verhängte eine Freiheitsstrafe von fünf Jahren und vier Monaten. Die Theorie des niederländischen Gerichts war wichtig und verdient sorgfältige Lektüre, denn sie stützt sich überhaupt nicht auf das US-Sanktionsrecht. Das Gericht stellte fest, Pertsev habe das Protokoll weiter gewartet, aktualisiert und beworben, nachdem klar geworden war, dass ein erheblicher Teil des Durchsatzes aus gestohlenen Geldern bestand, und dass diese aktive Wartung nach niederländischem Strafgesetzbuch eine Geldwäscheoperation darstellte. Das Urteil entschied nicht, dass das Schreiben des Protokolls illegal war. Es entschied, dass sein Betrieb, sobald man es wusste, illegal war.

Der amerikanische Verfahrensstrang

Der amerikanische Fall nahm eine andere Form an. Sechs Tornado-Cash-Nutzer, organisiert und teilweise finanziert von Coin Center und der Blockchain Association, verklagten das Finanzministerium in Texas. Sie verloren am Bezirksgericht. Sie legten Berufung beim Fünften Circuit ein. Am 26. August 2024 hob ein Drei-Richter-Gremium das Urteil auf.

Die Meinung, verfasst von Richter Don Willett, ging nicht auf die Frage des Ersten Verfassungszusatzes ein, für die die Amicus-Briefe von EFF, a16z, Coin Center und der Blockchain Association seit Jahren geworben hatten. Stattdessen entschied sie auf der engeren und verheerenderen gesetzlichen Grundlage, dass der International Emergency Economic Powers Act einfach nicht autorisiere, was OFAC getan hatte. Der Grund war definitionslogisch. IEEPA erlaubt dem Präsidenten, "Vermögen" zu blockieren, an dem ein Ausländer ein Interesse hat. Tornado Cashs unveränderliche Smart Contracts, so das Gericht, seien kein Vermögen. Sie könnten von niemandem, einschließlich ihrer ursprünglichen Bereitsteller, besessen, übertragen oder kontrolliert werden. Wie das Gremium es ausdrückte, war OFAC über den Wortlaut des Statuts hinausgegangen und hatte versucht, Software direkt zu sanktionieren, "as opposed to the rogue persons and entities who abuse it."

Was das Gericht ausdrücklich nicht entschied, ist ebenso wichtig wie das, was es entschied. Es entschied nicht, ob Code unter dem Ersten Verfassungszusatz als Rede gilt. Es entschied nicht, ob das Finanzministerium einen aktualisierbaren Smart Contract, ein Multisig-kontrolliertes Protokoll oder eine DAO mit funktionierendem Governance-Token sanktionieren könnte. Es entschied nicht, ob Roman Storm, der damals in SDNY auf eine Verschwörungsanklage wartete, strafrechtlich für das Schreiben desselben Codes haftbar war. Das Urteil war ein klarer gesetzlicher Sieg auf einer engen Frage, genau die Art von Urteil, die eine Überprüfung durch den Gesamtsenat und die Aufmerksamkeit des Supreme Court übersteht.

Die Streichung und die November-2025-Richtlinie

OFAC brauchte sieben Monate, um auf das Urteil zu reagieren. Am 21. März 2025 entfernte das Finanzministerium Tornado Cash von der SDN-Liste und vermerkte stillschweigend, dass es Transaktionen weiter überwachen werde, die böswilligen Cyberakteuren zugutekommen könnten. Die Streichung war kein Eingeständnis eines Fehlers. Sie war eine administrative Bereinigung.

Die wirkliche Rücknahme kam acht Monate später. Am 18. November 2025 erließ das Finanzministerium eine formelle auslegende Richtlinie, wonach unveränderliche Smart Contracts, definiert als Smart Contracts, deren Code von keiner Partei geändert werden kann, kein "Vermögen" im Sinne von IEEPA seien und daher nicht als solches sanktioniert werden könnten. Die Richtlinie wendet die Van-Loon-Begründung prospektiv auf alle OFAC-Programme an, nicht nur auf die Tornado-Cash-Akte. Sie lässt die Befugnis der Behörde über aktualisierbare Verträge, Signaturschlüssel, Frontends, Bereitstelleradressen und jeden menschlichen Akteur, der mit einem Protokoll in Verbindung steht, unberührt.

Für Code-Autoren, die Privacy-Software schreiben, ist die Änderung bedeutsam. Für Nutzer eines bestimmten Mixers ist sie weit geringer. Das Pertsev-Urteil besteht in den Niederlanden fort. Die Roman-Storm-Verfolgung, die am 7. August 2025 mit einer nicht einstimmigen Jury und einem Fehlurteil endete, kann neu aufgerollt werden, und das Justizministerium hat signalisiert, dass es dies beabsichtigt. Jeder, der Tornado Cash heute nutzt, unterliegt weiterhin der Bankgeheimnis-Meldung, Verdachtsanzeigen von jeder großen Börse und der anhaltenden sozialen Vermutung, dass gemischtes ETH schmutziges ETH ist.

Wichtige Daten

• 8. August 2022: OFAC fügt Tornado-Cash-Vertragsadressen zur SDN-Liste hinzu
• 10. August 2022: Alexey Pertsev in den Niederlanden verhaftet
• 27. April 2024: Pertsev vom Bezirksgericht von Ostbrabant wegen Geldwäsche verurteilt
• 26. August 2024: Fünfter Circuit entscheidet Van Loon v. Treasury
• 21. März 2025: OFAC entfernt Tornado Cash von der SDN-Liste
• 7. August 2025: Roman-Storm-Prozess endet mit Fehlurteil in SDNY
• 18. November 2025: Finanzministerium erlässt formelle Richtlinie, wonach unveränderliche Smart Contracts kein sanktionierbares Vermögen sind

Was sich für das Directory ändert

Tornado Cash selbst ist nicht in unserem Directory, und die November-2025-Richtlinie ändert das nicht. Wir listen Dienste auf, die wir überprüfen, kontaktieren und an einem dokumentierten Betriebsstandard messen können. Ein Protokoll ohne Betreiber und ohne Service-Desk ist nichts, das wir prüfen können, unabhängig von seinem rechtlichen Status. Was sich ändert, ist der redaktionelle Rahmen.

Vier Jahre lang war die vorherrschende Annahme in der Privacy-Tooling-Szene, dass jedes Projekt, das einem Regulator genug missfiel, mit einem Federstrich eines OFAC-Stiftes aus dem Internet entfernt werden könnte, und dass diese Entfernung eine permanente architektonische Tatsache war, um die man herumplanen musste. Van Loon und die November-Richtlinie verwandeln diese Annahme in etwas weniger Endgültiges. Sanktionen gegen Code können herausgefordert, eingeschränkt und durch gewöhnliche gesetzliche Klagen rückgängig gemacht werden, in einem Zeitraum von etwa drei Jahren, ohne jemals ein Erstes-Verfassungszusatz-Argument gewinnen zu müssen. Das ist ein anderes Bedrohungsmodell. Es ist näher an der Handelscompliance-Haltung, unter der gewöhnliche Software-Exporteure seit dreißig Jahren leben, und weiter entfernt von der existenziellen Rahmung, die die Privacy-Community seit 2022 verwendet hat. Wir werden entsprechend schreiben. Der Pertsev-Fall bleibt unterdessen die operative Warnung. Die Wartung eines Protokolls, nachdem es materiell von sanktionierten Akteuren übernommen wurde, ist ein persönliches kriminelles Risiko in Rechtsordnungen, die das Vermögensargument nicht gewinnen müssen, um das Wartungsargument zu gewinnen.

Quellen

• US-Finanzministerium Pressemitteilung JY0916, Tornado-Cash-Sanktionen (8. Aug. 2022)
• Van Loon v. Department of the Treasury, Fünfter Circuit (26. Aug. 2024)
• Coin Center, Tornado-Cash-Litigation und -Politik
• Electronic Frontier Foundation, Code-is-Speech-Berichterstattung
• Chainalysis, Tornado-Cash-Sanktionsanalyse

Bearbeitungsprotokoll

• 2025-11-25 : Erster Entwurf nach Verbreitung der November-18-Richtlinie des Finanzministeriums. Die Willett-Meinungssprache direkt aus dem Slip Opinion übernommen, um die übliche Paraphrasenabweichung zu vermeiden. Ein geplantes Samourai-Wallet-Segment gestrichen, weil es einen eigenen Artikel verdient.
• 2025-12-02 : Circle-USDC-Frier-Detail hinzugefügt, nachdem ein Leser darauf hingewiesen hat, dass wir die On-Chain-Compliance-Reaktion vom August 2022 übersprungen hatten. Pertsev-Abschnitt überarbeitet, um klarzustellen, dass die niederländische Theorie Wartung, nicht Autorschaft war, was der Teil ist, den die meisten US-Leser falsch verstehen.
• 2025-12-09 : Etwa 180 Wörter aus dem Van-Loon-Abschnitt gestrichen, nachdem die Rechtsabteilung markiert hatte, dass wir in Erstes-Verfassungszusatz-Territorium abdrifteten, das das Gericht ausdrücklich vermieden hatte. Durch das wörtliche Zitat "rogue persons and entities who abuse it" ersetzt.
• 2025-12-14 : Roman-Storm-Wiederaufnahmesignal hinzugefügt nach DOJ-Einreichung vom 11. Dezember. Namensnennung der Staatsanwälte zurückgehalten, weil das Verfahren noch läuft.
• 2025-12-18 : Letzter Durchgang des Directory-Abschnitts. Bedrohungsparagraph nach interner Meinungsverschiedenheit geschärft, ob die neue Haltung "Handelscompliance" oder "Sanktionsrisiko" genannt werden soll. Handelscompliance beibehalten, weil es genauer und weniger alarmierend ist, was die redaktionelle Position ist, die wir künftig vertreten wollen.