Eine Einzahlungsadresse, die du von einer Webseite kopierst, kann auch nach dem Einfügen gefälscht sein. Das ist keine Panikmache, sondern eine echte Methode, die SlowMist am 27. Oktober offengelegt hat. Jeder, der noch Geld auf eine Kryptobörse einzahlt, sollte sich das ansehen.
Der Angriff versteckte sich in einer Ecke, die viele kaum beachten: im Chatfenster des Kundendienstes unten rechts auf der Webseite. SlowMist untersuchte zwei Samples und stellte fest, dass in ein Skript, das eigentlich dem Kundendienst dienen sollte, ein zusätzlicher Loader eingebaut worden war. Dieser lud dann eine zweite Datei von einer Adresse herunter, deren Domain der offiziellen sehr ähnlich sah: In „global“ war das „g“ durch ein „q“ ersetzt worden – beim flüchtigen Hinsehen leicht zu übersehen. Sobald das Skript lief, konnte es auf Cookies zugreifen, die für JavaScript im Browser zugänglich sind, sowie auf Inhalte in localStorage und sessionStorage. Außerdem konnte es Anmeldeformulare und Login-Anfragen überwachen und die eingegebenen Zugangsdaten nach außen übermitteln. Cookies, die durch HttpOnly geschützt sind, kann es nicht auslesen. Das muss klar gesagt werden: Es kann nicht alle Anmeldedaten abgreifen.
Für Privatanleger lag die unmittelbarere Gefahr auf der Einzahlungsseite. Laut SlowMist durchsuchte der Schadcode auf den Einzahlungsseiten der drei Börsenwebseiten MGBX, Biking Exchange und BitxEX alle 200 Millisekunden die Seite und ersetzte die angezeigte Einzahlungsadresse durch eine Adresse der Angreifer. Betroffen waren Bitcoin, Ethereum-kompatible Chains, Tron, Solana, Litecoin und Dogecoin. Auch die Kopierfunktion wurde manipuliert: Der Code änderte die Kopierschaltfläche und fing den Kopiervorgang ab. Das heißt, die Adresse auf der Seite und die eingefügte Adresse konnten von Anfang an dieselbe gefälschte Adresse sein. Bisher lautete der übliche Rat, die kopierte Adresse noch einmal mit der auf der Seite abzugleichen. Bei dieser Methode könnte genau dieser Schritt dazu führen, dass man die gefälschte Adresse bestätigt.
Zunächst sollte man die Grenzen des Bekannten klar benennen, damit sich die Geschichte nicht mit jeder Weitergabe verändert. SlowMist hat weder bestätigt, wie viele Nutzer tatsächlich betroffen waren, noch ob sich jemand dadurch in Konten einloggen konnte. Auch wurde kein gestohlener Betrag genannt. Wie das Skript eingeschleust wurde, ist ebenfalls noch nicht geklärt. Das bedeutet auch nicht, dass jede Webseite, die dieses Kundendienstsystem nutzt, kompromittiert wurde. Ich beschreibe, was die untersuchten Samples laut SlowMist tun können – nicht, dass jedes Kundendienstfenster, das du geöffnet hast, ein Problem darstellt.
Für die eigene Wallet kannst du jetzt drei Dinge tun. Erstens: Vergleiche die Einzahlungsadresse nicht nur mit der, die gerade auf der Seite angezeigt wird. Prüfe sie zunächst anhand einer Adresse, bei der eine frühere Einzahlung erfolgreich angekommen ist, oder anhand des Verlaufs in der offiziellen App der Plattform. Überweise erst, wenn sämtliche Zeichen übereinstimmen, denn sowohl die Seite als auch die Zwischenablage könnten manipuliert worden sein. Zweitens: Überweise größere Beträge nicht auf einmal. Sende zunächst einen kleinen Betrag und überweise den Rest erst, wenn die Einzahlung angekommen ist. Sollte die Adresse falsch sein, bleibt der Verlust so zunächst auf diesen kleinen Betrag begrenzt. Drittens: Wenn du dich kürzlich auf einer Webseite mit einem Kundendienst-Popup angemeldet hast und dir Sorgen machst, ändere dein Passwort in einem sauberen Browser, beende die Anmeldesitzungen anderer Geräte und aktiviere die Zwei-Faktor-Authentifizierung. Ändere dein Passwort nicht auf derselben Seite, die möglicherweise bereits kompromittiert wurde.
Letztlich wurde bei dieser Methode weder die Blockchain noch die Wallet angegriffen, sondern die Ecke einer Webseite, auf die du und ich täglich klicken. Eine halbe Minute mehr für die Überprüfung vor einer Einzahlung ist hilfreicher, als hinterher überall dem Kundendienst hinterherzulaufen.
Überprüfst du vor einer Einzahlung die ersten und letzten Zeichen der Adresse – oder kopierst du sie einfach und überweist direkt?
#钱包安全 #防骗提醒 #SlowMist #Sicherheit_der_Kryptobörsen
—— web3 Xiaokai
Dieser Beitrag gibt ausschließlich meine persönliche Meinung wieder und fasst öffentlich zugängliche Informationen zusammen. Er stellt keine Anlageberatung dar. Zum weiteren Verlauf des Vorfalls und zum Umfang der Auswirkungen gelten die späteren Angaben von SlowMist und den betroffenen Plattformen.
Der Angriff versteckte sich in einer Ecke, die viele kaum beachten: im Chatfenster des Kundendienstes unten rechts auf der Webseite. SlowMist untersuchte zwei Samples und stellte fest, dass in ein Skript, das eigentlich dem Kundendienst dienen sollte, ein zusätzlicher Loader eingebaut worden war. Dieser lud dann eine zweite Datei von einer Adresse herunter, deren Domain der offiziellen sehr ähnlich sah: In „global“ war das „g“ durch ein „q“ ersetzt worden – beim flüchtigen Hinsehen leicht zu übersehen. Sobald das Skript lief, konnte es auf Cookies zugreifen, die für JavaScript im Browser zugänglich sind, sowie auf Inhalte in localStorage und sessionStorage. Außerdem konnte es Anmeldeformulare und Login-Anfragen überwachen und die eingegebenen Zugangsdaten nach außen übermitteln. Cookies, die durch HttpOnly geschützt sind, kann es nicht auslesen. Das muss klar gesagt werden: Es kann nicht alle Anmeldedaten abgreifen.
Für Privatanleger lag die unmittelbarere Gefahr auf der Einzahlungsseite. Laut SlowMist durchsuchte der Schadcode auf den Einzahlungsseiten der drei Börsenwebseiten MGBX, Biking Exchange und BitxEX alle 200 Millisekunden die Seite und ersetzte die angezeigte Einzahlungsadresse durch eine Adresse der Angreifer. Betroffen waren Bitcoin, Ethereum-kompatible Chains, Tron, Solana, Litecoin und Dogecoin. Auch die Kopierfunktion wurde manipuliert: Der Code änderte die Kopierschaltfläche und fing den Kopiervorgang ab. Das heißt, die Adresse auf der Seite und die eingefügte Adresse konnten von Anfang an dieselbe gefälschte Adresse sein. Bisher lautete der übliche Rat, die kopierte Adresse noch einmal mit der auf der Seite abzugleichen. Bei dieser Methode könnte genau dieser Schritt dazu führen, dass man die gefälschte Adresse bestätigt.
Zunächst sollte man die Grenzen des Bekannten klar benennen, damit sich die Geschichte nicht mit jeder Weitergabe verändert. SlowMist hat weder bestätigt, wie viele Nutzer tatsächlich betroffen waren, noch ob sich jemand dadurch in Konten einloggen konnte. Auch wurde kein gestohlener Betrag genannt. Wie das Skript eingeschleust wurde, ist ebenfalls noch nicht geklärt. Das bedeutet auch nicht, dass jede Webseite, die dieses Kundendienstsystem nutzt, kompromittiert wurde. Ich beschreibe, was die untersuchten Samples laut SlowMist tun können – nicht, dass jedes Kundendienstfenster, das du geöffnet hast, ein Problem darstellt.
Für die eigene Wallet kannst du jetzt drei Dinge tun. Erstens: Vergleiche die Einzahlungsadresse nicht nur mit der, die gerade auf der Seite angezeigt wird. Prüfe sie zunächst anhand einer Adresse, bei der eine frühere Einzahlung erfolgreich angekommen ist, oder anhand des Verlaufs in der offiziellen App der Plattform. Überweise erst, wenn sämtliche Zeichen übereinstimmen, denn sowohl die Seite als auch die Zwischenablage könnten manipuliert worden sein. Zweitens: Überweise größere Beträge nicht auf einmal. Sende zunächst einen kleinen Betrag und überweise den Rest erst, wenn die Einzahlung angekommen ist. Sollte die Adresse falsch sein, bleibt der Verlust so zunächst auf diesen kleinen Betrag begrenzt. Drittens: Wenn du dich kürzlich auf einer Webseite mit einem Kundendienst-Popup angemeldet hast und dir Sorgen machst, ändere dein Passwort in einem sauberen Browser, beende die Anmeldesitzungen anderer Geräte und aktiviere die Zwei-Faktor-Authentifizierung. Ändere dein Passwort nicht auf derselben Seite, die möglicherweise bereits kompromittiert wurde.
Letztlich wurde bei dieser Methode weder die Blockchain noch die Wallet angegriffen, sondern die Ecke einer Webseite, auf die du und ich täglich klicken. Eine halbe Minute mehr für die Überprüfung vor einer Einzahlung ist hilfreicher, als hinterher überall dem Kundendienst hinterherzulaufen.
Überprüfst du vor einer Einzahlung die ersten und letzten Zeichen der Adresse – oder kopierst du sie einfach und überweist direkt?
#钱包安全 #防骗提醒 #SlowMist #Sicherheit_der_Kryptobörsen
—— web3 Xiaokai
Dieser Beitrag gibt ausschließlich meine persönliche Meinung wieder und fasst öffentlich zugängliche Informationen zusammen. Er stellt keine Anlageberatung dar. Zum weiteren Verlauf des Vorfalls und zum Umfang der Auswirkungen gelten die späteren Angaben von SlowMist und den betroffenen Plattformen.
