An den Ermittlungen waren Behörden aus elf Ländern in Europa, Amerika und Asien beteiligt, unterstützt von Europol und Eurojust. Laut Europol wurde der Zugriff durch die Festnahme eines mit AudiA6 verbundenen ukrainischen Staatsangehörigen in Polen im September 2025 möglich. Die forensische Auswertung seiner Geräte half den Ermittlern nach Behördenangaben dabei, zentrale Personen hinter der Operation zu identifizieren und schließlich in Georgien festzunehmen.

Bei der Aktion vom Vortag wurden zwei Personen festgenommen, ein ukrainischer und ein russischer Staatsangehöriger. Sie gelten den Ermittlern als Administratoren von AudiA6 sowie des Untergrundforums „Dark2Web“, über das Cyberkriminelle illegale Dienste beworben haben sollen. Die Webseiten von AudiA6 und Dark2Web zeigen Besuchern inzwischen einen Beschlagnahmehinweis.

Das US-Justizministerium nennt die beiden als Ruslan Igorevich Tkachuk, 37, und Alexander Vladimirovich Ledenev, 25. Beide befinden sich derzeit in Gewahrsam der georgischen Behörden. Ihnen drohen wegen der Unterstützung von Geldwäscheoperationen im Umfeld der Cyberkriminalität Freiheitsstrafen von bis zu 20 Jahren.

Nach Angaben des US-Justizministeriums gingen auf der Plattform rund 10.333 Bitcoin ein. Davon stammten etwa 393,39 BTC, zum Zeitpunkt der Transaktionen im Wert von rund 19.234.331 US-Dollar, direkt von bekannten Darknet-Märkten, Ransomware-Organisationen, Cybercrime-Diensten und anderen illegalen Quellen. Weitere Gelder seien indirekt aus rechtswidrigen Quellen in Wallets von AudiA6 eingezahlt worden.

Neben den beiden mutmaßlichen Administratoren sicherten die Behörden auch 6.000 KYC-Datensätze, die mit Geldkurier-Konten verknüpft sind. Europol zufolge wurden diese Konten unter Verwendung gestohlener oder gekaufter Identitäten angelegt. Viele davon stünden mit russischsprachigen Vermittlern in Verbindung, die die Konten gezielt für diesen Zweck rekrutiert hätten.

Europol zufolge nutzte dieses weit verzweigte Netzwerk von Geldkurieren mehrere Domains, um Konten bei Kryptobörsen zu registrieren. Die Behörde veröffentlichte diese Domains, um das Bewusstsein für die Methode zu schärfen und Plattformen beim Blockieren entsprechender Registrierungen zu unterstützen.