DIEJENIGEN, DIE SIE SCHÜTZEN SOLLTEN.... GENEHMIGTEN DIE TRANSAKTION...
Am 21. Februar 2025 erlitt die Plattform Bybit einen der größten Kryptowährungsdiebstähle der Geschichte. Ziel waren Vermögenswerte, die mit $ETH verbunden waren.
Das wirklich Beunruhigende war nicht nur die Summe: Den Kriminellen gelang es, die eigenen Sicherheitsverantwortlichen dazu zu bringen, eine bösartige Transaktion zu genehmigen.
WIE HABEN SIE DAS GEMACHT?
Bybit verwendete eine Multisignatur-Wallet. Um bestimmte Gelder zu bewegen, waren mehrere Genehmigungen erforderlich.
Die Angreifer kompromittierten die Entwicklungsumgebung eines Entwicklers von Safe, einem Anbieter der Infrastruktur zur Verwaltung dieser Wallet, und schleusten schädlichen JavaScript-Code in dessen Benutzeroberfläche ein.
Als die Verantwortlichen von Bybit sich anmeldeten, um eine Transaktion zu autorisieren, zeigte der Bildschirm scheinbar legitime Informationen an.
Doch die tatsächlichen Transaktionsdaten waren manipuliert worden.
Die Verantwortlichen unterzeichneten schließlich eine Transaktion, die es den Angreifern ermöglichte, die Kontrolle über die Wallet zu übernehmen.
Das Ergebnis: etwa 1,46 Milliarden Dollar gestohlen.
Das FBI schrieb den Angriff offiziell Akteuren mit Verbindungen zu Nordkorea zu.
Und hier kommt etwas ins Spiel, das jedem Sorgen bereiten sollte, der $ETH, Smart Contracts oder digitale Wallets nutzt.
DIE ANGREIFER HABEN DIE KRYPTOGRAFIE NICHT GEBROCHEN. SIE MANIPULIERTEN DAS, WAS DIE MENSCHEN ZU AUTORISIEREN GLAUBTEN.
Sie mussten nicht sämtliche privaten Schlüssel herausfinden.
Sie mussten Ethereum nicht mathematisch knacken.
Sie brachten einen Sicherheitsmechanismus dazu, eine unter Täuschung genehmigte Transaktion auszuführen.
Dieser Fall macht einen grundlegenden Unterschied deutlich: zwischen einer kryptografisch gültigen und einer tatsächlich sicheren Transaktion.
Eine digitale Signatur kann belegen, dass ein Schlüssel eine bestimmte Transaktion autorisiert hat. Sie garantiert jedoch nicht, dass sein Besitzer deren Folgen verstanden hat.
Deshalb ist es vor der Autorisierung von Transaktionen mit $ETH oder anderen digitalen Vermögenswerten besonders bei Smart Contracts entscheidend, die Berechtigungen, Empfänger und die tatsächlichen Transaktionsdaten zu überprüfen.
DIE LEHRE IST UNMISSVERSTÄNDLICH:
Du kannst eine Cold Wallet, Multi-Faktor-Authentifizierung, mehrere Unterzeichner und fortschrittliche Sicherheitssysteme haben.
Doch wenn es jemandem gelingt, das zu manipulieren, was du vor dem Unterzeichnen siehst, kann er deine eigenen Schutzmaßnahmen zum Teil des Angriffs machen.
DIE GRÖSSTE GEFAHR IST NICHT IMMER, DASS JEMAND DEINE SCHLÜSSEL STIEHLT. MANCHMAL BRINGT ER DICH DAZU, DEN DIEBSTAHL SELBST ZU AUTORISIEREN.
#ciberseguridad #Ethereum #Blockchain #hacking #Criptomonedas