Er schlief eine Runde, machte morgens die Augen auf – und auf seiner Rechnung standen 400 Dollar mehr.
Keine einzige Zeile Code geschrieben. Den Computer nicht einmal eingeschaltet. Die 400 Dollar hatten andere über sein Konto ausgegeben, während er schlief.
Am späten Abend des 17. Oktober begann ein Unternehmen, das Open-Source-Programmierwerkzeuge entwickelt, E-Mails an alle zu schicken, die das Tool genutzt hatten. Der Betreff war kurz. Die Aufforderung: sofort handeln. Die Zugangsschlüssel eines Drittanbieters könnten offengelegt worden sein.
Die zweite E-Mail kam in den frühen Morgenstunden und nannte die betroffenen Anbieter: OpenAI, Anthropic und Google.
Betroffen waren 1,4 Prozent der Konten im Online-Dashboard. Keine große Zahl. Aber für jeden Einzelnen bedeutete es: alles.
Das Problem lag an einer Stelle: Die Angreifer drangen in ein altes System ein, das gerade außer Betrieb genommen wurde. Die frühesten Spuren reichen bis in die späte Nacht des 16. Oktober zurück. Die Betroffenen erhielten die erste E-Mail erst 22 Stunden später. 22 Stunden – genug Zeit, um wie viele API-Aufrufe abzusetzen, das gesamte Guthaben aufzubrauchen und alles zu erledigen, bevor du überhaupt die Augen aufmachst.
Wo lag das Problem? In einer Ecke, von der alle glaubten, sie sei längst abgeschaltet. Warum? Weil sie auf keiner Liste stand und im Ernstfall niemand als Erstes an sie dachte.
Viele glauben, Zugangsschlüssel würden erraten oder durch Ausprobieren geknackt. Nein. Bei den meisten Sicherheitslecks muss überhaupt nichts geknackt werden. Die Daten liegen einfach an einem Ort, den niemand mehr im Blick hat – und die Tür steht noch offen. Du verlegst sie aus dem Hauptsystem, markierst es zur Ausmusterung und vergisst, dass es noch läuft.
Warum dieses alte System so lange unbeachtet blieb, dazu hat das Unternehmen keine klare Auskunft gegeben.
Ein Entwickler sagte, er habe zuerst eine Warnung von Anthropic über sein verbrauchtes Guthaben erhalten und erst danach die Mitteilung des Tool-Anbieters. Die Reihenfolge war verkehrt herum. Derjenige, der das Geld ausgab, bemerkte es früher als derjenige, der dafür zahlte. Bei jemandem wurden 200 Euro über Google Cloud abgerechnet, und sein Projekt wurde wegen Missbrauchs gesperrt. Andere berichteten, ihr monatliches Guthaben von 20 Dollar sei aufgebraucht.
Ob das Geld zurückerstattet wird, dazu sagte das Unternehmen nur, man spreche mit den drei Anbietern. Das klingt jedenfalls nicht wie ein Versprechen. Auch ob die Daten zum Training anderer Modelle verwendet wurden, ist unklar. Das Unternehmen nennt es einen groß angelegten Destillationsangriff. Ob diese Bezeichnung zutrifft, muss die Untersuchung zeigen.
Die Sache kommt Leuten aus der Kryptoszene bekannt vor.
In deiner Wallet sind jede Menge Berechtigungen hinterlegt. 2021 hatte irgendeine Website eine unbegrenzte Berechtigung eingerichtet. Damals ging es darum, sich einen Platz auf einer Whitelist zu sichern. Du hast geklickt und dich gefreut, dass du so schnell warst. Am nächsten Tag hattest du schon vergessen, wie die Seite hieß. Aber die Vertragsadresse liegt noch immer unter deiner Wallet-Adresse und wartet darauf, dass jemand anklopft. Damals kam dir gar nicht in den Sinn, die Berechtigung zu widerrufen.
Das Projektteam ist längst verschwunden. Die Berechtigung besteht noch. Du erinnerst dich nicht mehr daran. Die Blockchain schon.
Das ist genau dasselbe, wie einen Zugangsschlüssel in einem Backend zu speichern, das längst außer Betrieb ist.
Letztes Jahr wurde eine sehr verbreitete Web-Komponente zur Wallet-Verbindung durch eine manipulierte Version ersetzt. Innerhalb weniger Stunden wurden die Wallets etlicher Leute leergeräumt – sie konnten nicht einmal rechtzeitig Alarm schlagen. Niemand musste etwas knacken. Die Komponente war einfach durch eine andere Version ersetzt worden. Du hättest es überhaupt nicht bemerkt. Als du unterschrieben hast, zeigte dir die Oberfläche noch immer dieselbe Meldung wie zuvor.
Ich denke schon lange über diese Sache nach. Bei der Sicherheitsbilanz sollte es nicht darum gehen, ob etwas neu oder alt ist. Neue Systeme werden ständig überwacht, alte nicht mehr – so einfach ist das. Systeme mitten im Ausmusterungsprozess sind am gefährlichsten: Sie stehen nicht mehr auf der Wartungsliste, sind aber auch noch nicht ganz tot. Alle glauben, sie würden von selbst verschwinden.
Was also tun? Ein konkreter Vorschlag: Öffne deine Wallet und blättere in der Liste der Berechtigungen bis ganz nach unten. Was du nicht wiedererkennst, widerrufst du. Wenn du dich vor drei Jahren bei einer Börse registriert hast und jetzt nicht einmal mehr das Passwort weißt, lösche dort gleich alle API-Schlüssel – besonders solche mit Auszahlungsrechten. Schreib deine Seed-Phrase von Hand auf und fotografiere sie nicht mit dem Handy.
Das dauert keine zehn Minuten.
Zehn Minuten, um einen Zugang zu schließen, den du womöglich längst vergessen hast.
Das lohnt sich wirklich.
$BTC $ETH $BNB
#OpenCode #API密钥 #账户安全 #Krypto
Keine einzige Zeile Code geschrieben. Den Computer nicht einmal eingeschaltet. Die 400 Dollar hatten andere über sein Konto ausgegeben, während er schlief.
Am späten Abend des 17. Oktober begann ein Unternehmen, das Open-Source-Programmierwerkzeuge entwickelt, E-Mails an alle zu schicken, die das Tool genutzt hatten. Der Betreff war kurz. Die Aufforderung: sofort handeln. Die Zugangsschlüssel eines Drittanbieters könnten offengelegt worden sein.
Die zweite E-Mail kam in den frühen Morgenstunden und nannte die betroffenen Anbieter: OpenAI, Anthropic und Google.
Betroffen waren 1,4 Prozent der Konten im Online-Dashboard. Keine große Zahl. Aber für jeden Einzelnen bedeutete es: alles.
Das Problem lag an einer Stelle: Die Angreifer drangen in ein altes System ein, das gerade außer Betrieb genommen wurde. Die frühesten Spuren reichen bis in die späte Nacht des 16. Oktober zurück. Die Betroffenen erhielten die erste E-Mail erst 22 Stunden später. 22 Stunden – genug Zeit, um wie viele API-Aufrufe abzusetzen, das gesamte Guthaben aufzubrauchen und alles zu erledigen, bevor du überhaupt die Augen aufmachst.
Wo lag das Problem? In einer Ecke, von der alle glaubten, sie sei längst abgeschaltet. Warum? Weil sie auf keiner Liste stand und im Ernstfall niemand als Erstes an sie dachte.
Viele glauben, Zugangsschlüssel würden erraten oder durch Ausprobieren geknackt. Nein. Bei den meisten Sicherheitslecks muss überhaupt nichts geknackt werden. Die Daten liegen einfach an einem Ort, den niemand mehr im Blick hat – und die Tür steht noch offen. Du verlegst sie aus dem Hauptsystem, markierst es zur Ausmusterung und vergisst, dass es noch läuft.
Warum dieses alte System so lange unbeachtet blieb, dazu hat das Unternehmen keine klare Auskunft gegeben.
Ein Entwickler sagte, er habe zuerst eine Warnung von Anthropic über sein verbrauchtes Guthaben erhalten und erst danach die Mitteilung des Tool-Anbieters. Die Reihenfolge war verkehrt herum. Derjenige, der das Geld ausgab, bemerkte es früher als derjenige, der dafür zahlte. Bei jemandem wurden 200 Euro über Google Cloud abgerechnet, und sein Projekt wurde wegen Missbrauchs gesperrt. Andere berichteten, ihr monatliches Guthaben von 20 Dollar sei aufgebraucht.
Ob das Geld zurückerstattet wird, dazu sagte das Unternehmen nur, man spreche mit den drei Anbietern. Das klingt jedenfalls nicht wie ein Versprechen. Auch ob die Daten zum Training anderer Modelle verwendet wurden, ist unklar. Das Unternehmen nennt es einen groß angelegten Destillationsangriff. Ob diese Bezeichnung zutrifft, muss die Untersuchung zeigen.
Die Sache kommt Leuten aus der Kryptoszene bekannt vor.
In deiner Wallet sind jede Menge Berechtigungen hinterlegt. 2021 hatte irgendeine Website eine unbegrenzte Berechtigung eingerichtet. Damals ging es darum, sich einen Platz auf einer Whitelist zu sichern. Du hast geklickt und dich gefreut, dass du so schnell warst. Am nächsten Tag hattest du schon vergessen, wie die Seite hieß. Aber die Vertragsadresse liegt noch immer unter deiner Wallet-Adresse und wartet darauf, dass jemand anklopft. Damals kam dir gar nicht in den Sinn, die Berechtigung zu widerrufen.
Das Projektteam ist längst verschwunden. Die Berechtigung besteht noch. Du erinnerst dich nicht mehr daran. Die Blockchain schon.
Das ist genau dasselbe, wie einen Zugangsschlüssel in einem Backend zu speichern, das längst außer Betrieb ist.
Letztes Jahr wurde eine sehr verbreitete Web-Komponente zur Wallet-Verbindung durch eine manipulierte Version ersetzt. Innerhalb weniger Stunden wurden die Wallets etlicher Leute leergeräumt – sie konnten nicht einmal rechtzeitig Alarm schlagen. Niemand musste etwas knacken. Die Komponente war einfach durch eine andere Version ersetzt worden. Du hättest es überhaupt nicht bemerkt. Als du unterschrieben hast, zeigte dir die Oberfläche noch immer dieselbe Meldung wie zuvor.
Ich denke schon lange über diese Sache nach. Bei der Sicherheitsbilanz sollte es nicht darum gehen, ob etwas neu oder alt ist. Neue Systeme werden ständig überwacht, alte nicht mehr – so einfach ist das. Systeme mitten im Ausmusterungsprozess sind am gefährlichsten: Sie stehen nicht mehr auf der Wartungsliste, sind aber auch noch nicht ganz tot. Alle glauben, sie würden von selbst verschwinden.
Was also tun? Ein konkreter Vorschlag: Öffne deine Wallet und blättere in der Liste der Berechtigungen bis ganz nach unten. Was du nicht wiedererkennst, widerrufst du. Wenn du dich vor drei Jahren bei einer Börse registriert hast und jetzt nicht einmal mehr das Passwort weißt, lösche dort gleich alle API-Schlüssel – besonders solche mit Auszahlungsrechten. Schreib deine Seed-Phrase von Hand auf und fotografiere sie nicht mit dem Handy.
Das dauert keine zehn Minuten.
Zehn Minuten, um einen Zugang zu schließen, den du womöglich längst vergessen hast.
Das lohnt sich wirklich.
$BTC $ETH $BNB
#OpenCode #API密钥 #账户安全 #Krypto