Vermögenswerte aus etwa 8.000 Wallets gestohlen – hauptsächlich mobiler Wallet-Benutzer von Phantom und Slope

[datensicherheit.de, 06.08.2022] Laut Medienberichten sollen Krypto-Währungen und andere Token im Wert von mehreren Millionen US-Dollar aus mit dem Internet verbundenen sogenannten Wallets auf der „Solana“-Blockchain entwendet worden sein: Vermögenswerte aus etwa 8.000 Wallets seien gestohlen worden – hauptsächlich mobiler Wallet-Benutzer von „Phantom“ und „Slope“. Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, kommentiert diesen Vorfall in seiner aktuellen Stellungnahme:

Foto: Tenable

Satnam Narang: Solana-Hack, der zum Diebstahl von über fünf Millionen Dollar führte, war das Ergebnis eines Lecks von Seed-Phrasen

Seed-Phrasen helfen, auf Kryptowährungs-Wallets zuzugreifen oder wiederherzustellen

„Der Solana-Hack, der zum Diebstahl von über fünf Millionen Dollar führte, war das Ergebnis eines Lecks von Seed-Phrasen, einer Gruppe zufälliger Wörter, die verwendet werden, um Benutzern zu helfen, auf ihre Kryptowährungs-Wallet zuzugreifen oder sie wiederherzustellen, indem eine Wallet von Slope Finance erstellt wurde“, berichtet Narang.

Benutzer, welche mit verschiedenen Blockchains interagieren möchten, erstellten normalerweise sogenannte Hot Wallets, auf die über Browser-Erweiterungen oder mobile und Desktop-Anwendungen einfach zugegriffen werden könne. „Als Teil der Protokollierungsfunktion seiner Anwendung speicherte Slope Finance die Seed-Phrasen der Benutzer im Klartext in diesen Protokollen, was als Quelle des Verstoßes ermittelt wurde.“

Betroffen seien Benutzer, welche Wallets mit „Slope Wallet“ erstellt oder ihre Wallets aus anderen Wallets wie „Phantom“ in „Slope“ importiert haben.

Empfehlung, Cold Wallets in Betracht zu ziehen

Jeder, der eine Seed-Phrase oder eine mnemonische Phrase besitzt, könne die Kontrolle über die Krypto-Währung und die NFTs (Non-Fungible Tokens) der Benutzer übernehmen, „weshalb der herkömmliche Rat, die eigene Seed-Phrase niemals zu teilen, so prominent ist“. Allerdings seien die Benutzer in diesem Fall nicht schuld, und die Speicherung ihrer Seed-Phrasen im Klartext habe zum Diebstahl ihrer Gelder geführt.

Narang: „Enthusiasten von Krypto-Währungen, die mit verschiedenen Blockchains interagieren möchten, empfehlen wir dringend, eigene Nachforschungen anzustellen, um zu überprüfen, ob ein Projekt Drittanbieter-Audits oder Pentests seiner Anwendungen oder Infrastruktur durchgeführt hat, bevor Menschen diesen Anwendungen ihr Geld anvertrauen.“

Darüber hinaus werde den Benutzern dringend empfohlen, die Verwendung einer sogenannten Cold Wallet in Betracht zu ziehen, zu der Hardware-Wallets, Papier-Wallets oder Offline-USB/CD-Wallets gehörten, „die nicht so leicht zugänglich sind, um ihre Krypto-Währungen langfristig zu speichern“.

Weitere Informationen zum Thema:

CRYPTO BRIEFING, Mike Dalton, 04.08.2022
Solana and Slope Confirm Wallet Security Breach

datensicherheit.de, 25.01.2022
Check Point Research warnt vor Token-Betrug: Wie Hacker damit Geld abzocken / Im Oktober 2021 hatte CPR bereits den Diebstahl von Krypto-Geldbörsen auf OpenSea, dem weltweit größten Marktplatz für Non-Fungible Token aufgedeckt

Schaden für Ronin soll bei über 550 Millionen Euro liegen

[datensicherheit.de, 30.03.2022] Laut Medienberichten soll es zu einem bemerkenswerten Diebstahl von Krypto-Währungen während eines virtuellen Einbruchs bei der Blockchain-Firma Ronin gekommen sein. Es handelt sich demnach um einen Wert von rund 555 Millionen Euro – wohl einer der größten Diebstähle dieser Art bislang. Check Point hat sich nach eigenen Angaben den Fall angesehen und gibt in einer aktuellen Stellungnahme eine technische Einschätzung der Sicherheitsabteilung.

Foto: Check Point

Oded Vanunu: Hacker verdoppeln Anstrengungen, um jede einzelne Schwachstelle im Blockchain-Ökosystem auszunutzen!

Oded Vanunu von Check Point kommentiert Ronin-Vorfall

„Aufgrund der inhärenten Anonymität der Blockchain-Technologie stellt sie ein relativ harmloses und darum lohnendes Ziel für Cyber-Kriminelle dar. Deshalb sehen wir, dass Hacker ihre Anstrengungen verdoppeln, um jede einzelne Schwachstelle im Blockchain-Ökosystem auszunutzen“, kommentiert Oded Vanunu, „Head of Products Vulnerability“ bei Check Point Software Technologies.

Attacke auf Ronin zeigt: Unternehmen können es sich nicht leisten, nachlässig zu werden!

Die Blockchain-Technologie sei zwar dezentralisiert, was es extrem schwierig mache, ihre Kernfunktionen auszunutzen, doch Unternehmen könnten es sich nicht leisten, deshalb nachlässig zu werden. Vanunu: „Ein so großes Netzwerk wie Ronin, welches als Blockchain-Netzwerk das Spiel ,Axe Infinity‘ des Entwicklers Sky Mavis antreibt, nutzte nur neun Validierer. Wir erwarten viel mehr, denn: Obwohl sie nur fünf davon attackierten, konnten die Angreifer einen der bisher größten Krypto-Raubzüge durchführen, da sie NFT-Transaktionen schlicht fälschten.“

Validierungsknoten der Ronin-Brücke am 23. März 2022 geknackt

Die Validierungsknoten der Ronin-Brücke seien am Mittwoch, dem 23. März 2022, geknackt worden – „aber Sky Mavis meldete, den Einbruch erst eine Woche später, am Dienstag, dem 29. März 2022, entdeckt zu haben“. Der Angreifer habe geknackte „Private Schlüssel“ benutzt, um lediglich zwei Abhebungstransaktionen zu fälschen, was zu einem Diebstahl von rund 555 Millionen Euro (615 Millionen US-Dollar) geführt habe.

Weitere Informationen zum Thema:

Neue Zürcher Zeitung, Philipp Gollmer, 30.03.2022
Hacker stiehlt Kryptowährungen im Wert von über 600 Millionen Dollar: Was genau ist passiert? / Betroffen ist ein Blockchain-Netzwerk, das mit dem beliebten Online-Videospiel Axie Infinity verknüpft ist

[datensicherheit.de, 02.03.2022] Die Technologien, welche unsere globale Kommunikation und Interaktion ermöglichten, entwickelten sich ständig weiter – was den Nutzern enorme Vorteile biete, gleichzeitig eröffne es aber auch neue Angriffsflächen für Bedrohungsakteure, so KnowBe4 in einer aktuellen Stellungnahme. „Social Engineering“ stelle dabei eine Bedrohung dar, welche es praktisch auf jede, Menschen miteinander verbindende Technologie abgesehen habe. Die aktuelle Analyse der Sicherheitsforscher von Microsoft eines Phishing-Angriffs habe das Bedrohungspotenzial bestätigt und betone die Bedeutung umfassender Sicherheitsarchitekturen.

Mehrere Arten von Phishing-Angriffen in der web3-Welt

Microsoft warnt demnach vor einer neuen Art von blockchain-zentrierten Angriffen, welche auf „web3“ (die auf der Blockchain geschaffene dezentrale Umgebung) abzielten. In diesem Zusammenhang habe das „Microsoft 365 Defender Research Team“ den jüngsten „Badger DAO“-Angriff analysiert, bei dem im November und Dezember 2021 mehr als 120 Millionen US-Dollar von Blockchain-Nutzern gestohlen worden seien.

Die Sicherheitsexperten befürchten, dass diese Angriffe auf dem Vormarsch sind: „Es gibt mehrere Arten von Phishing-Angriffen in der ,web3‘-Welt“, so Christian Seifert, Mitglied des „Microsoft 365 Defender Research Teams“. Diese Technologie sei noch aufkeimend und es könnten neue Arten von Angriffen entstehen.

Ice-Phishing-Angriff korrumpiert gängige Transaktionsart

Während beim Eisfischen ein Loch in ein gefrorenes Gewässer geschnitten werde, um Fische zu fangen, werde beim „Ice Phishing“ (wie es das Defender-Team nennt) ein Benutzer durch „Social Engineering“ dazu verleitet, eine Transaktion zu unterzeichnen, welche die Genehmigung der Token des Benutzers an den Angreifer delegiere, „ohne dass dabei die privaten Schlüssel gestohlen werden“. Dieser Angriff korrumpiere eine gängige Transaktionsart, welche Interaktionen mit „DeFi-Smart Contracts“ ermögliche, da diese verwendet würden, um mit den Token des Nutzers zu interagieren (z.B. „Swaps“). Bei einem „Ice-Phishing“-Angriff müsse der Angreifer lediglich die Adresse des Spenders in die Adresse des Angreifers ändern.

Dies könne sehr effektiv sein, da auf der Benutzeroberfläche nicht alle relevanten Informationen angezeigt würden, „die darauf hinweisen, dass die Transaktion manipuliert wurde“. Sobald die Genehmigungstransaktion unterzeichnet, eingereicht und abgebaut sei, könne der Spender auf das Geld zugreifen. Im Falle eines „Ice-Phishing“-Angriffs könne der Angreifer über einen gewissen Zeitraum Genehmigungen sammeln und dann alle Geldbörsen der Opfer schnell leeren.

Weitere Phishing-Methoden der Bedrohungsakteure:

1. Spear Phishing
Der Cyber-Kriminelle habe sich entweder über die Gruppe informiert oder Daten von Social-Media-Plattformen gesammelt, um Nutzer zu täuschen. Eine Spear-Phishing-E-Mail gehe in der Regel an eine Person oder eine kleine, diesen Dienst nutzende Gruppe von Personen. Sie enthalte eine Form der Personalisierung – vielleicht den Namen der Person oder den Namen eines Kunden.

2. Executive Whaling
Diese Art ziele vor allem auf leitende Angestellte und Verwaltungsangestellte ab, um Geld von Konten abzuschöpfen oder vertrauliche Daten zu stehlen. Diese Art von Betrug zeichne sich durch Personalisierung und detaillierte Kenntnis der Führungskraft und des Unternehmens aus.

3. Social Engineering
Der Einsatz psychologischer Manipulation, um Menschen dazu zu bringen, vertrauliche Informationen preiszugeben oder Zugang zu Geldern zu gewähren. Die Kunst des „Social Engineering“ könne auch darin bestehen, Informationen von Social-Media-Plattformen zu sammeln. „LinkedIn“, „facebook“ und andere Plattformen böten eine Fülle von Informationen über die Mitarbeiter eines Unternehmens.

Effektiver Schutz gegen Phishing: Security Awareness Training

Eine Schulung zum Thema Sicherheit könne die Nutzer und Mitarbeiter in den Unternehmen in die Lage versetzen, diese vielfältigen Arten von Betrug besser zu erkennen. Die effektivste Maßnahme zur Vorbeugung solcher Angriffe sei, ein umfassendes „Security Awareness Training“ für die Mitarbeiter anzubieten und umzusetzen. Grundsätzlich werde hierbei versucht, mithilfe von simulierten Phishing-Mails zu testen, wie aufmerksam die Mitarbeiter sind.

Das Ziel solcher Trainings sei es, eine gesteigerte Sensibilisierung bezüglich der Gefahren und dem Erkennen solcher Attacken zu erreichen. Die Anzahl der erfolgreichen Phishing-Angriffe auf das Unternehmen könne durch ein solches Training sehr stark reduziert werden und neben den technischen Sicherheitsoptionen könnten die Mitarbeiter somit als „menschliche Firewall“ geschult und eingesetzt werden.

Weitere Informationen zum Thema:

datensicherheit.de, 24.01.2022
Phishing-Versuche: DHL meist imitierte Marke im 4. Quartal 2021 / Q4 Brand Phishing Report von Check Point Research zeigt die am häufigsten von Hackern nachgeahmten Marken auf

datensicherheit.de, 10.11.2021
Köder-Angriffe: Hacker werfen ihre Phishing-Netze aus / Dr. Klaus Gheri benennt Best Practices zum Schutz vor Köder-Angriffen

datensicherheit.de, 19.10.2021
Check Point: Warnung vor Social Media als Phishing-Falle / Q3 Brand Phishing Report von Check Point veröffentlicht

Blockchain im Einsatz für eine sichere elektronische Kommunikation

Von unserem Gastautor Marcel Mock, CTO und Mitgründer von totemo

[datensicherheit.de, 12.03.2021] Von Revisionssicherheit und Authentizität in der E-Mail-Kommunikation konnte bisher keine Rede sein. Das dazu nötige Bestätigen des Nachrichteneingangs und der Identität des Absenders verspricht der Ansatz, die Distributed-Ledger-Technologie (DLT) und eine öffentliche Blockchain in eine E-Mail-Lösung einzubinden. Wie das praxistauglich gelingt, zeigen die Schweizer Unternehmen totemo und sein Partner, das Blockchain-Start-up Vereign.

Kennen Sie eine Person, die weder eine berufliche noch eine private E-Mail-Adresse hat? Auf dem elektronischen Postweg erreicht man fast jeden, weil die E-Mail nach wie vor stark verbreitet ist. Darin liegt der große Vorteil der gut 50 Jahre alten Kommunikationsform, die auf Ray Tomlinson zurückgeht. Trotz seiner langen Geschichte behauptet sich die E-Mail heute gegen Messenger. Sie bleibt unverzichtbar, wenn wir uns austauschen wollen. Allerdings gibt es auch Schwachstellen, da es der E-Mail an Nachweisbarkeit fehlt.

Marcel Mock, CTO und Mitgründer von totemo, Bild: totemo

Den ersten Punkt, das nötige Vertrauen herzustellen, erfüllt man leicht mit Verschlüsselung. Ob ein Absender jedoch authentisch ist oder dieses nur vortäuscht, lässt sich oft nicht sofort und sicher sagen. Allzu plumpes Phishing fällt auf. Vor professionellen Betrugsversuchen, bei der Cyberkrimineller persönliche Daten abgreifen wollen, schützen den Empfänger digitale Signaturen. Wer hingegen seine Kommunikation nachweisen muss, kann maximal belegen: Der eigene Mailserver hat die E-Mail übergeben. Ein revisionssicherer Beleg, wie ihn Fax und Einschreiben liefern, ist das nicht. Mit der Distributed-Ledger-Technologie lässt sich nun Rückverfolgbarkeit und Echtheitsprüfung für den E-Mail-Verkehr realisieren. Genau das verspricht die Lösung, welche die Unternehmen totemo und Vereign gemeinsam entwickelt haben. Die Kooperation resultiert in totemomail Verified, deren Herzstück ein E-Mail-Gateway ist, das alle nötigen DLT- und E-Mail-Funktionen koordiniert und ausführt.

Eine dezentrale Datenbank im Hintergrund

Die Blockchain ist eine DLT-Technologie, die vor allem durch die Digitalwährung Bitcoin bekannt wurde, deren Transaktionen sie vor Manipulation schützt. Neben Finanztransaktionen kommt die Technologie heute bei Lieferketten oder Smart Contract zum Einsatz, wobei folgendes Grundprinzip greift: Ein Nutzer erzeugt einen Datensatz, einen Block, den bis zu Tausende oder mehr Rechner im Netzwerk verifizieren und speichern. Der so verifizierte Block wird kryptografisch verschlüsselt an eine Kette von Datensätzen angehängt. Jeder Datensatz verfügt über eine nachvollziehbare Historie. Hinter DLT, dem „verteilten Kontenbuch“, steht ebenso eine dezentrale Datenbank. In einem Netzwerk erhalten Nutzer hier eine gemeinsame Schreib- und Leseberechtigung. Damit ein neuer Eintrag validiert wird und für alle bereitsteht, greift ein Konsensmechanismus.

Adaptieren des DLT-Ansatzes

Die Schweizer IT-Sicherheitsspezialisten adaptieren den DLT-Ansatz, indem sie eine Key-Value-Datenbank verwenden, die in der Cloud läuft. In diese schreibt das Gateway den Versandstatus der E-Mail sowie die Anzahl Anhänge. Das Gateway speichert dort alle Informationen einschließlich E-Mail-Meta-Daten in chronologisch aufgebauten Blöcken und schützt sie per Hash-Bäume vor Manipulation. Im nächsten Schritt schreibt die Lösung die gesicherten Daten in eine öffentliche Blockchain, wo sie fälschungssicher und für Dritte verifizierbar verankert sind. Bevor das Gateway die E-Mail verschickt, versieht sie diese mit einem QR-Code. Sobald die Nachricht raus ist, aktualisiert die Lösung den Status in der Datenbank auf „versendet“.

Der Empfänger scannt mit seinem Smartphone den QR-Code in seiner E-Mail oder klickt auf den Code, der als Alternative verlinkt ist. In beiden Fällen startet eine Browser-App, die alle relevanten Informationen wie Absender, Betreff und Datum sowie Anzahl der Anhänge aus der Blockchain ausliest und den Hashwert prüft. Der Empfänger gleicht ab, ob Status und Anhänge der empfangenen Nachricht übereinstimmen. Ist das der Fall, hat er einen Beleg für die Integrität und Authentizität der E-Mail. Ein Phishing-Versuch fliegt sofort auf, da in einer gefälschten E-Mail der QR-Code fehlt. Der Verdacht eines Man-in-the-Middle-Angriffs liegt nahe, wenn an der empfangenen E-Mail mehr Dateien anhängen als an der ursprünglich verschickten Nachricht. So ist der Empfänger gewarnt.

Nachrichteneingang nachweislich bestätigt

Noch einfacher und sicherer wird das, wenn Sender und Empfänger das Gateway von totemo einsetzen. In der Konstellation codiert die Lösung beim Empfänger den Eingang der Nachricht ebenfalls in der Key-Value-Datenbank und in der Blockchain. Diese Aufgabe kann auch die App von Vereign oder ein Add-on für gängige E-Mail-Programme wie Outlook und Gmail auf Empfängerseite übernehmen. Ein Administrator in der Firma des Absenders sieht über die Verified-Konsole, dass automatisch der E-Mail-Empfang bestätigt wurde. Der Absender hat so seinen revisionssicheren Nachweis, dass die Nachricht angekommen ist.

Schwäche in Stärke umgewandelt

Der Einsatz von DLT und öffentlicher Blockchain im E-Mail-Verkehr erzeugt einen fälschungssicheren Audit-Trail, sodass die Identität vor Missbrauch geschützt wird. Dafür setzt das Konzept von totemo und Vereign beim Absender an, um Phishing und andere Attacken zu verhindern. Ihre gemeinsam entwickelte Lösung sorgt zudem für eine Nachweisbarkeit in der E-Mail-Kommunikation, die mit Fax und Einschreiben leicht mithält.

Weitere Informationen zum Thema:

datensicherheit.de, 29.06.2020
Digitale Identitäten in der Produktion

totemo
Website

[datensicherheit.de, 23.05.2019] Der finanzielle Höhenflug der Kryptowährung „Bitcoin“ im Jahr 2017 habe spätestens dazu geführt, dass auch außerhalb der Fachwelt über die Blockchain diskutiert worden sei. Diese Technologie zur verteilten Datenhaltung bietet laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die Möglichkeit, durch eine dezentrale Struktur die Manipulation von Daten rein technisch zu verhindern, größtmögliche Transparenz zu bieten und Intermediäre in Geschäftsprozessen zu ersetzen.

Umfassende und tiefgehende Analyse der Blockchain-Technologie vorgelegt

Nachdem das BSI bereits im Februar 2018 in einem Eckpunktepapier grundsätzliche Fragestellungen im Zusammenhang mit der Blockchain untersucht hatte, legt die nationale Cyber-Sicherheitsbehörde nun eine umfassende und tiefgehende Analyse der Blockchain-Technologie vor:
Der Schwerpunkt der aktuellen Analyse des BSI habe auf den IT-Sicherheitseigenschaften der Blockchain gelegen. Betrachtet worden seien aber auch weitere Auswirkungen der technischen Grundkonzeption, etwa auf die Effizienz und die Erfüllbarkeit datenschutzrechtlicher Vorgaben. Zudem habe das BSI analysiert, in welchem Maße die Blockchain-Technologie die mit ihr verbundenen Sicherheitserwartungen erfüllen kann und wie sie sich im aktuellen Rechtsrahmen darstellt. Grundsätzlich schnitten Blockchains gegenüber klassischen zentralen Datenbanken in den Punkten Verfügbarkeit und Robustheit gegen Missbrauch gut ab. Dem stünden Nachteile im Bereich der Vertraulichkeit und der Effizienz gegenüber.

Bei Diskussion über die Blockchain den Bezug zu technischen Grundlagen wahren!

„Wie bei vielen Themen mit hoher medialer Aufmerksamkeit ist es wichtig, auch bei den Diskussionen um die Blockchain den Bezug zu den technischen Grundlagen zu wahren. Dies gilt insbesondere für den Aspekt der IT-Sicherheit, da durch die Nutzung von Blockchain häufig ein Sicherheitsgewinn erhofft wird“, so BSI-Präsident Arne Schönbohm. Die Nutzung der Blockchain-Technologie allein löse indes keine IT-Sicherheitsprobleme. Zahlreiche Sicherheitsvorfälle mit Schäden in Millionenhöhe zeigten, dass Maßnahmen zur Herstellung von IT-Sicherheit auch durch Nutzung der Blockchain nicht obsolet würden, betont Schönbohm.
Die aktuelle Analyse des BSI soll Entwickler und potenzielle Nutzer von Blockchain-Lösungen dabei unterstützen, Chancen und Risiken fundiert zu bewerten und IT-Sicherheit von Anfang an zu berücksichtigen. Die dynamische Weiterentwicklung der Blockchain-Technologie eröffne ebenso die Möglichkeit, die Ergebnisse der Analysen als Basis für zukünftige Diskussionen auf nationaler und internationaler Ebene zu verwenden.

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik, 02.02.2018
Blockchain sicher gestalten – Eckpunkte des BSI

Bundesamt für Sicherheit in der Informationstechnik, 23.05.2019
Kryptografie / Blockchain sicher gestalten – Konzepte, Anforderungen, Bewertungen

datensicherheit.de, 26.04.2019
Bitkom: Standortnachteile bremsen deutsche Rechenzentren aus

datensicherheit.de, 08.05.2018
Unsichere Rechenzentren: Zukunftsmodell Blockchain gerät ins Wanken

datensicherheit.de, 01.03.2017
Blockchain als Chance für die IT-Sicherheitsindustrie

[datensicherheit.de, 09.07.2018] Vom derzeitigen Bitcoin- und Blockchain-Hype scheinen auch Cyberkriminelle zu profitieren. So schätzt Kaspersky Lab, dass im vergangenen Jahr mittels neuer und bewährter Social-Engineering-Methoden mehr als 21.000 ETH (Ether) beziehungsweise zehn Millionen US-Dollar erbeutet werden konnten [1]. Eine Analyse der gemessenen Bedrohungen bestätigt den Trend: mehr als hunderttausend Alarme wurden im Zusammenhang mit Kryptowährungen ausgelöst. Derzeit haben es die Cyberkriminellen verstärkt auf Investoren im Krypto-Startup-Bereich abgesehen; sie missbrauchen namhafte Kryptowährungsprojekte und Twitter-Konten prominenter Personen für ihre Betrügereien.

Investoren im Fokus der Cyberkriminellen

Investoren, die an ICO-Optionen (Initial Coin Offering) interessiert sind, stehen laut den Experten von Kaspersky Lab aktuell im Fadenkreuz der Cyberkriminellen. Ein Lockmittel: gefälschte Webseiten interessanter ICO-Projekte sowie Phishing-Mails, die eine E-Wallet-Nummer für Investoren zur Übermittelung der Kryptowährung beinhaltet. Unter den ICO-Fälschungen befinden sich einige namenhafte Projekte. So konnten Cyberkriminelle über ein angebliches über Twitter verbreitetes Angebot von ,Switcheo ICO‘ insgesamt 25.000 US-Dollar von Opfern weltweit erbeuten, über eine Phishing-Seite im Namen des ,OmaseGo ICO‘-Projekts sogar Kryptowährung im Wert von mehr als 1,1 Millionen US-Dollar. Auch stiegen Cyberkriminelle schnell auf Gerüchte einer Telegram ICO ein und erstellten hunderte gefälschter Seiten, die angeblich auf der Suche nach Investoren waren.

Neues Phänomen „Kryptowährung-Giveaway-Betrug“

Ein weiterer Trend: Opfern wird im Tausch gegen eine geringe Summe Kryptowährung eine spätere höhere Auszahlung derselben Währung versprochen. Die Experten von Kaspersky Lab nennen dieses neue Phänomen „Kryptowährung-Giveaway-Betrug“. Dabei setzen die Kriminellen auf gefälschte Social-Media-Konten prominenter und erfolgreicher Geschäftsleute wie Elon Musk oder Pavel Durov (Gründer des Messanger-Diensts Telegram).

„Die Ergebnisse unserer Forschung zeigen, dass Cyberkriminelle stets auf dem neuesten Stand zu bleiben scheinen und Ressourcen entwickeln, um die bestmöglichen Ergebnisse beim Kryptowährungsphishing zu erzielen“, so Nadezhda Demidova, Lead Web Content Analyst bei Kaspersky Lab. „Die neuen Betrugsmodelle basieren auf einfachen Social-Engineering-Methoden, heben sich jedoch von herkömmlichen Phishing-Angriffen ab, da die Cyberkriminellen damit Millionen von Dollars erbeuten können. Ihr Erfolg legt nahe, dass sie wissen, wie sie den menschlichen Faktor, der immer einer der schwächsten Glieder in der Cybersicherheit war, ausnutzen können.“

Verschlüssler oder Miner? Rakhni-Trojaner entscheidet flexibel

Kaspersky Lab warnt derzeit auch vor dem Trojaner ,Rakhni‘ [2], der sehr flexibel in der Infizierungsart seiner Opfer agiert. Dieser wird über kompromittiert E-Mail-Anhänge verbreitet und entscheidet nach dem Öffnen der Datei durch den Nutzer, ob er auf dem System als Verschlüsselungs- oder als Miner-Programm aktiv wird. Rakhni treibt derzeit vor allem in Russland (95,57 Prozent) sein Unwesen, 0,49 Prozent der Infizierungen betreffen deutsche Nutzer.

Kaspersky-Tipps zum Schutz der eigenen Kryptowährung

• Kostenlose Kryptowährung ist meist zu schön, um wahr zu sein. Offizielle Quellen informieren über die kostenlose Verteilung von Kryptowährungen, mögliche kostenlose Angebote solle man hier verifizieren
• Vor der Übertragung von Ersparnissen überprüfen, ob eventuell Dritte mit der Wallet-Transaktion verknüpft sind. Blockchain-Browser wie etherscan.io oder blockchain.info ermöglichen Nutzern, detaillierte Informationen über jede Transaktion mit Kryptowährung anzuzeigen und festzustellen, ob die jeweilige Wallet gefährlich sein könnte.
• Stets die Hyperlink-Adressen und Daten in der Browser-Adressleiste überprüfen und auf Korrektheit achten. Es sollte zum Beispiel „blockchain.info“ und nicht „blackchaen.info“ heißen.
• Die Adresse zum Wallet sollte in einem Tab gespeichert sein und nur von dort aus aufgerufen werden, um Fehler in der Adressleiste zu vermeiden, die auf Phishing-Seiten leiten könnten.

[1] https://securelist.com/in-cryptoland-trust-can-be-costly/86367
[2] https://securelist.com/to-crypt-or-to-mine-that-is-the-question/86307/

Weitere Informationen zum Thema;

securelist.com
Thema Kryptowährungsphishing

datensicherheit.de, 27.06.2018
Cyber-Kriminelle nutzen Hype um Kryptowährungen

datensicherheit.de, 07.04.2018
Illegales Krypto-Mining: Missbrauch von Fußball- und VPN-Apps als neuer Trend

[datensicherheit.de, 08.05.2018] Laut einer aktuellen Stellungnahme von 7Alliance vernachlässigen Betreiber von Rechenzentren „oftmals die physische Sicherheit ihrer Data-Center“. Grund dafür sei die Konzentration auf sichere digitale Services zur Verwaltung der Datenmassen der Blockchain-Technologie.

Architekt Peter Wieczorek beschreibt Gefahrenszenario

„Gerade wenn die Sicherung von wachsendem Datenmaterial erhöhte Aufmerksamkeit fordert, gerät die physische Sicherheit, also der Schutz des Ortes, schnell ins Hintertreffen. Doch was passiert, wenn ein Rechenzentrum dank ungenügender Kühlung mit verformten Festplatten kämpfen muss? Oder es sogar aus der Überhitzung zu Schwelbränden oder zu Feuer in dem IT-System kommt? Oder Unbefugte durch nicht ausreichende physikalische Sicherheit ungehindert Daten manipulieren können?“
Ähnlich wie bei einem Produktionsausfall eines Industrieunternehmens könnten Blockchain-Transaktionen nicht fortgeführt, der Nachweis von Datenverwendungen nicht geführt werden, ganz zu schweigen von den finanziellen Verlusten für den Betreiber, warnt Architekt Peter Wieczorek, Geschäftsführer des Ingenieurbüros Wieczorek, einem Gründungsmitglied der 7Alliance, welche sich für IT-Sicherheit „Made in Germany“ engagiert.

Mehr und mehr Branchen erkennen Vorteile der dezentralen sicheren Automatisierung

Blockchain-Technologie automatisiere und vereinfache Geschäftsprozesse. Dazu würden Informationen in Datenblöcke gebündelt. Anschließend werde die Transaktionskette um den entsprechenden Block erweitert. Mit dem „wachsen“ dieser Kette erhöhe sich automatisch auch die Menge an Informationen.
Die anschwellenden Datenbanken, in denen die kryptographisch geschützten Datentransaktionen verarbeitet werden, würden dezentral verwaltet. Auf diese Art seien Manipulationen so gut wie gar nicht möglich, gleichzeitig seien jegliche Transaktionen unveränderbar in der Blockchain nachzuvollziehen. Eine Software überprüfe die Gültigkeit der Vorgänge.
Bekannt geworden sei das System durch die Verwendung von „Bitcoins“. Doch auch andere Branchen hätten die Vorteile der dezentralen sicheren Automatisierung längst erkannt. Dazu gehörten zum Beispiel Carsharing-Anbieter oder Lieferdienste.

Entwicklung kleinerer und dynamischer Rechenzentren zu erwarten

„Rechenzentren müssen diesem wachsenden Bedarf eine verlässlich sichere Basis geben. Neben der Sicherung der Services gilt diese Verlässlichkeit auch für physikalische Prozesse. Beispielsweise fordern Hundertausende Transaktionen pro Tag schließlich einen immensen Rechen- und damit auch Energieaufwand“, nennt Wieczorek nur einige der Herausforderungen für Rechenzentren in der Blockchain-Zukunft.
Wieczorek geht davon aus, dass Blockchains die Entwicklung kleinerer und dynamischer Rechenzentren begünstigen werden: „Diese sind in der Lage, auf einer funktionierenden wirtschaftlichen Basis eine Kombination aus sicheren Services und einer gesicherten Infrastruktur anzubieten. Physisch sicher müssen diese allerdings auch errichtet werden. Sonst werden keine Blockchains dort einziehen.“

Weitere Informationen zum Thema:

7Alliance
Die Mitglieder der 7 Alliance

datensicherheit.de, 08.10.2012
eco Datacenter Expert Summit 2012: Safety, Security & Strategy für Rechenzentren

[datensicherheit.de, 01.03.2017] Die kryptographische Währung „Bitcoin“ und die als „Blockchain“ bekannte dahinterstehende Technologie sind aktuelle Hype-Themen, jedoch inhaltlich einem breiteren Publikum noch weitgehend unbekannt. Daher hat der Bundesverband IT-Sicherheit e.V. (TeleTrusT) jetzt eine Handreichung zum Umgang mit der sogenannten Blockchain veröffentlicht.

Vertrauenswürdige IT- und Netz-Infrastrukturen entwickeln!

Grundlegend sei, dass Blockchains kryptographische Funktionen verwendeten und als dezentrale Systeme arbeiteten. Sichere IT spiele dabei eine wesentliche Rolle. Schließlich gehe es darum, mit der Blockchain-Technologie vertrauenswürdige IT- und Netz-Infrastrukturen zu entwickeln.
Praktische Anwendungsfälle mit Bezug zu IT-Sicherheit seien daher zentrales Thema der Handreichung.

Elektronische Identitäten und Zugriffskontrollmechanismen

Oftmals werde die Blockchain mit „Bitcoin“ auf eine sehr spezielle Anwendung reduziert. Im Fokus der TeleTrusT-Publikation stehe daher das Potenzial der Blockchain-Technologie insgesamt.
Diese zeige auf, welche Anwendungen von Blockchains profitieren könnten und für wen diese Anwendungen dann praktischen Nutzen entfalteten. Dabei könnten am Ende sowohl komplett offene Anwendungsfälle als auch Anwendungen für geschlossene Nutzergruppen in Betracht kommen. Exemplarisch werde dies im Umfeld von elektronischen Identitäten und Zugriffskontrollmechanismen dargestellt.

Enorme Potenzial der Blockchain-Technologie

Dr. André Kudra, Leiter der TeleTrusT-Arbeitsgruppe „Blockchain“, sieht gute Chancen für eine Verbreitung der Technologie und damit für die IT-Sicherheitswirtschaft:
„Für TeleTrusT ist in Bezug auf die Blockchain insbesondere ,IT Security made in Germany‘ von Bedeutung. Deutschland kann den Ausbau einer sicheren IT-Infrastruktur vorantreiben und nationale und internationale Vertrauensräume mit sicheren IT-Anwendungen schaffen“, so Kudra. Das enorme Potenzial der Blockchain-Technologie biete hierfür interessante Möglichkeiten.

Weitere Informationen zum Thema:

TeleTrusT
TeleTrusT-Positionspapier zu „Blockchain“ / Handreichung zum Umgang mit der Blockchain

datensicherheit.de, 21.03.2017
Manifest zur IT-Sicherheit auf der CeBIT 2017 an BMI und BMWi überreicht