Die Warnungen waren schon draußen, doch das Geld wurde weiterhin Stück für Stück abgezogen
BTCPay Server bestätigte am 2. November, dass Angreifer Server mit Version 2.4.1 oder älter Administratorrechte verschafft und die darauf befindlichen Hot Wallets geleert hatten. Die Blockchain-Analysefirma Bitquery verfolgte insgesamt 682 Transfers, bei denen jeweils das gesamte Guthaben abgezogen wurde: Vom 30. Oktober bis zum Morgen des 2. November wurden 18,38 Bitcoin und 3.405 Litecoin im Wert von rund 1,628 Millionen US-Dollar verschoben. Diese Zahl ist allerdings nur eine Untergrenze, denn zum Zeitpunkt des letzten Datenstands gingen die Transfers noch weiter. Die größte Angriffswelle ereignete sich am 1. November: Innerhalb von etwa acht Stunden entfielen 87 Prozent aller Transfers darauf. Nach der Warnung kamen weitere 267 Transfers im Wert von rund 150.000 US-Dollar hinzu. Anders gesagt: Eine Warnung zu erhalten bedeutet nicht automatisch, dass man sicher ist. Solange die Maschine noch läuft, fließt auch das Geld weiter ab.
Betroffen waren von Händlern selbst eingerichtete Zahlungsserver, nicht die Smartphone-Wallets gewöhnlicher Nutzer. Doch das Prinzip hinter dem Angriff ist dasselbe. Eine Hot Wallet ist mit dem Internet verbunden und kann jederzeit Transaktionen signieren. Auch Smartphone-Wallets und Browser-Erweiterungs-Wallets funktionieren nach diesem Prinzip. Sie sind praktisch, bedeuten aber auch, dass Angreifer das Geld sofort abziehen können, sobald sie sich Zugriff verschafft haben. Besonders beachtenswert ist der Hinweis der Verantwortlichen: Selbst wer eine ältere Version nutzt und keinen Diebstahl bemerkt hat, sollte davon ausgehen, dass der gesamte Rechner und alle Schlüssel kompromittiert wurden, und auf einen neuen Server sowie eine neue Wallet umsteigen. Daraus lässt sich eine Lehre für Privatanleger ziehen: Nur weil noch nichts passiert ist, sollte man nicht annehmen, dass man die Aktualisierung einer veralteten Version noch eine Weile aufschieben kann. Angreifer haben es gerade auf solche alten, nie aktualisierten Versionen abgesehen. Der Patch war bereits in Version 2.4.2 vom 7. August enthalten. Als am 1. November der Hauptangriff lief, waren Server mit Version 2.4.1 schon seit mehr als 86 Tagen nicht aktualisiert worden.
Drei Dinge lassen sich sofort umsetzen. Erstens: Bewahre in einer Hot Wallet nur kleine Beträge auf, die du im Alltag brauchst, und verschiebe den Großteil in eine Wallet, deren Signaturschlüssel nicht auf einem internetfähigen Gerät liegen. Sollte die Hot Wallet kompromittiert werden, geht so nur der kleine Betrag verloren. Zweitens: Aktualisiere Wallet-Apps und Erweiterungen, sobald ein Update verfügbar ist, und installiere immer die neueste Version. Überprüfe vor dem Update die Versionsnummer auf der offiziellen Website und klicke nicht auf Update-Links, die dir per Direktnachricht oder in einer Gruppe weitergeleitet werden. Drittens: Sieh dir regelmäßig deine Transfer- und Berechtigungsprotokolle an. Wenn du eine Transaktion entdeckst, die du nicht selbst veranlasst hast, oder ein Administratorkonto beziehungsweise einen API-Schlüssel, den du nicht eingerichtet hast, dann ändere nicht einfach nur dein Passwort. Verschiebe das verbleibende Geld sofort in eine ganz neue Wallet und ersetze anschließend alle Schlüssel.
Wann hast du zuletzt überprüft, ob deine Wallet-App auf dem neuesten Stand ist?
#钱包安全 #防骗 #热钱包 #Cold Wallet
—— Xiaokai, der Web3-Lauch
Das ist lediglich meine persönliche Meinung und stellt keine Anlageberatung dar.
BTCPay Server bestätigte am 2. November, dass Angreifer Server mit Version 2.4.1 oder älter Administratorrechte verschafft und die darauf befindlichen Hot Wallets geleert hatten. Die Blockchain-Analysefirma Bitquery verfolgte insgesamt 682 Transfers, bei denen jeweils das gesamte Guthaben abgezogen wurde: Vom 30. Oktober bis zum Morgen des 2. November wurden 18,38 Bitcoin und 3.405 Litecoin im Wert von rund 1,628 Millionen US-Dollar verschoben. Diese Zahl ist allerdings nur eine Untergrenze, denn zum Zeitpunkt des letzten Datenstands gingen die Transfers noch weiter. Die größte Angriffswelle ereignete sich am 1. November: Innerhalb von etwa acht Stunden entfielen 87 Prozent aller Transfers darauf. Nach der Warnung kamen weitere 267 Transfers im Wert von rund 150.000 US-Dollar hinzu. Anders gesagt: Eine Warnung zu erhalten bedeutet nicht automatisch, dass man sicher ist. Solange die Maschine noch läuft, fließt auch das Geld weiter ab.
Betroffen waren von Händlern selbst eingerichtete Zahlungsserver, nicht die Smartphone-Wallets gewöhnlicher Nutzer. Doch das Prinzip hinter dem Angriff ist dasselbe. Eine Hot Wallet ist mit dem Internet verbunden und kann jederzeit Transaktionen signieren. Auch Smartphone-Wallets und Browser-Erweiterungs-Wallets funktionieren nach diesem Prinzip. Sie sind praktisch, bedeuten aber auch, dass Angreifer das Geld sofort abziehen können, sobald sie sich Zugriff verschafft haben. Besonders beachtenswert ist der Hinweis der Verantwortlichen: Selbst wer eine ältere Version nutzt und keinen Diebstahl bemerkt hat, sollte davon ausgehen, dass der gesamte Rechner und alle Schlüssel kompromittiert wurden, und auf einen neuen Server sowie eine neue Wallet umsteigen. Daraus lässt sich eine Lehre für Privatanleger ziehen: Nur weil noch nichts passiert ist, sollte man nicht annehmen, dass man die Aktualisierung einer veralteten Version noch eine Weile aufschieben kann. Angreifer haben es gerade auf solche alten, nie aktualisierten Versionen abgesehen. Der Patch war bereits in Version 2.4.2 vom 7. August enthalten. Als am 1. November der Hauptangriff lief, waren Server mit Version 2.4.1 schon seit mehr als 86 Tagen nicht aktualisiert worden.
Drei Dinge lassen sich sofort umsetzen. Erstens: Bewahre in einer Hot Wallet nur kleine Beträge auf, die du im Alltag brauchst, und verschiebe den Großteil in eine Wallet, deren Signaturschlüssel nicht auf einem internetfähigen Gerät liegen. Sollte die Hot Wallet kompromittiert werden, geht so nur der kleine Betrag verloren. Zweitens: Aktualisiere Wallet-Apps und Erweiterungen, sobald ein Update verfügbar ist, und installiere immer die neueste Version. Überprüfe vor dem Update die Versionsnummer auf der offiziellen Website und klicke nicht auf Update-Links, die dir per Direktnachricht oder in einer Gruppe weitergeleitet werden. Drittens: Sieh dir regelmäßig deine Transfer- und Berechtigungsprotokolle an. Wenn du eine Transaktion entdeckst, die du nicht selbst veranlasst hast, oder ein Administratorkonto beziehungsweise einen API-Schlüssel, den du nicht eingerichtet hast, dann ändere nicht einfach nur dein Passwort. Verschiebe das verbleibende Geld sofort in eine ganz neue Wallet und ersetze anschließend alle Schlüssel.
Wann hast du zuletzt überprüft, ob deine Wallet-App auf dem neuesten Stand ist?
#钱包安全 #防骗 #热钱包 #Cold Wallet
—— Xiaokai, der Web3-Lauch
Das ist lediglich meine persönliche Meinung und stellt keine Anlageberatung dar.
