Code ist nicht der schwächste Punkt bei Kryptodiebstählen
Bei Kryptowährungen wird Sicherheit meist als technisches Problem betrachtet. Sie werden gebeten, Ihre privaten Schlüssel zu schützen, sich auf eine Hardware-Wallet zu verlassen und sich von Phishing-Links fernzuhalten. Doch ein prominenter Fall im Vereinigten Königreich zeigt, dass die tatsächliche Schwachstelle in diesem Fall möglicherweise nichts mit Code zu tun hatte.
Ein derzeit vor dem Obersten Gerichtshof des Vereinigten Königreichs anhängiger Fall dreht sich um den mutmaßlichen Diebstahl von 2.323 Bitcoin (BTC), im Wert von etwa 176 Millionen US-Dollar. Der gemeldete Diebstahl war nicht auf Hacking oder Malware zurückzuführen. Stattdessen begann es mit einem Seed-Phrase wird freigelegtwas zum Single Point of Failure bei der Selbstverwaltung wurde.
Im Mittelpunkt des Streits steht Ping Fai Yuen, der behauptet, dass seine entfremdete Frau Fun Yung Li und ihre Schwester sich Zugang zu seinen Bitcoin verschafft hätten, indem sie seine Bitcoins heimlich aufgezeichnet hätten Informationen zur Wiederherstellung der Brieftasche.
Die Vermögenswerte wurden in einer Hardware-Wallet aufbewahrt, die für die Aufbewahrung konzipiert ist private Schlüssel völlig offline und vor Remote-Bedrohungen geschützt. Dennoch kam es zu dem Diebstahl, und es war kein Verstoß gegen die Verschlüsselung erforderlich.
Gerichtsdokumente deuten darauf hin, dass für den Diebstahl lediglich die Entdeckung der Seed-Phrase erforderlich war.
Angeblicher Zeitplan des Kryptodiebstahls
Die Vorwürfe beschreiben Ereignisse, die eher auf Überwachung als auf digitales Eindringen schließen lassen.
-
Den betreffenden Personen wird vorgeworfen, eine Kamera oder ein Aufnahmegerät verwendet zu haben, um die Seed-Phrase und die zugehörigen Codes zu erfassen.
-
Der Kläger erfuhr später von dem Plan, nachdem er von seiner Tochter eine Warnung erhalten hatte.
-
Anschließend stellte er ein Audioaufzeichnungsgerät auf, mit dem seiner Aussage nach Gespräche über die Überweisung der Gelder aufgezeichnet wurden.
-
Anschließend wurde der Bitcoin an 71 separate Wallet-Adressen übertragen.
Es sind keine weiteren Bewegungen erschienen auf der Blockchain seit dem 21. Dezember 2023, was darauf hinweist, dass die Vermögenswerte seit der gemeldeten Übertragung inaktiv geblieben sind.
Im Rahmen der Ermittlungen sollen die Behörden Geräte und Cold Wallets beschlagnahmt haben, obwohl das Verfahren noch läuft.
Wussten Sie? In mehreren Fällen der Vergangenheit waren versteckte Kameras und nicht Hacker das schwächste Glied in der Kryptosicherheit. Die physische Überwachung ist stillschweigend zu einer der am meisten unterschätzten Bedrohungen für selbstverwaltete digitale Vermögenswerte geworden.
Warum die Seed-Phrase beim britischen Krypto-Diebstahl eine Rolle spielte
Um den Fall zu verstehen, müssen Sie ein Grundprinzip der Kryptowährung verstehen: Wer Zugriff auf die Seed-Phrase hat, hat die volle Kontrolle über die Gelder.
Eine Hardware-Wallet schützt private Schlüssel vor Online-Risiken. Aber die Startphrase, die normalerweise 12 bis 24 Wörter umfasst, dient als vollständige Sicherung des gesamten Wallets.
Das Finden der Startphrase ermöglicht es jedem:
-
Erstellen Sie die Brieftasche auf einem anderen Gerät neu
-
Greifen Sie auf alle zugehörigen Fonds zu
-
Verschieben Sie die Assets, ohne jemals die Originalhardware zu berühren
Einfach ausgedrückt: Sobald die Seed-Phrase bekannt wird, verliert das physische Gerät jegliche Relevanz.
Das Überwachungselement: Eine ungewöhnliche Form des Kompromisses
Was in dieser Angelegenheit auffällt, ist die gemeldete Methode, mit der der Verstoß durchgeführt wurde.
Anstatt sich darauf zu verlassen Phishing oder SchadsoftwareIm Mittelpunkt der Vorwürfe stehen Bild- oder Tonaufnahmen, möglicherweise durch eine versteckte Kamera oder verdeckte Aufzeichnungen.
Dies lenkt die Aufmerksamkeit auf ein selten erwähntes Risiko: die Seitenkanalexposition.
Startphrasen werden während der Einrichtung häufig aufgeschrieben, gesprochen oder getippt. Wenn einer dieser Momente angesehen oder aufgezeichnet wird:
-
Der Satz lässt sich zusammensetzen.
-
Das Wallet kann woanders kopiert werden.
-
Vermögenswerte können ohne unmittelbare Spuren verlagert werden.
In Umgebungen voller intelligenter Geräte, Kameras und gemeinsam genutzter Räume nimmt diese Art von Risiko weiter zu.
Die frühe Haltung des britischen Obersten Gerichtshofs
Die Angelegenheit wurde vor dem Obersten Gerichtshof des Vereinigten Königreichs verhandelt, wo Richter Cotter die vorgelegten Beweise prüfte.
Obwohl dies keine endgültige Entscheidung in diesem Fall darstellt, wies der Richter darauf hin, dass der Kläger eine sehr hohe Erfolgswahrscheinlichkeit nachgewiesen habe.
Zu den berücksichtigten Elementen gehörten:
Das Gericht betonte außerdem die Notwendigkeit eines schnellen Handelns und verwies auf Sicherheitsbedenken und die Preisschwankungen von Bitcoin.
Wussten Sie? Einige Wallets bieten mittlerweile Lock-Wallets an, die unterschiedliche PINs verwenden. Diese Funktion ermöglicht es Benutzern, unter Zwang ein geringeres Guthaben anzuzeigen und bietet so eine Schutzebene gegen physische Nötigung und überwachungsbasierte Angriffe.
Warum die Vermögenswerte auf 71 Adressen verteilt waren
Die Behauptung besagt, dass die Bitcoin auf 71 Wallet-Adressen verteilt waren.
Dieser Schritt hat mehrere Auswirkungen:
-
Dies erschwert die Nachverfolgung und Wiederherstellung.
-
Dadurch wird vermieden, dass die Aufmerksamkeit auf eine einzelne große Übertragung gelenkt wird.
-
Dadurch werden die Bestände fragmentiert, was die rechtlichen und ermittlungstechnischen Bemühungen verzögern kann.
Obwohl die Transparenz der Blockchain die Rückverfolgung von Bewegungen ermöglicht, erhöht die Verteilung der Gelder den Wiederherstellungsprozess um ein Vielfaches an Komplexität und Zeit.
Die Sorge um den Staubangriff
Der Kläger äußerte außerdem Bedenken hinsichtlich eines möglichen Dusting-Angriffs auf die betroffenen Adressen.
Unter Dusting versteht man das Senden winziger Kryptomengen an Wallets, um:
-
Überwachen Sie nachfolgende Aktivitäten
-
Verknüpfen Sie Adressen mit echten Identitäten
-
Identifizieren Sie wertvolle Ziele für zukünftige Angriffe
Wenn Wallet-Adressen öffentlich werden, können sie eine zusätzliche Prüfung nach sich ziehen, selbst wenn keine weiteren Aktivitäten stattfinden.
Warum diese Angelegenheit über einen einzelnen Konflikt hinausgeht
Einerseits bleibt dieser Fall ein privater Rechtsstreit. Andererseits dient es als Fallstudie zu den umfassenderen Risiken von Kryptoverwahrung.
Es zeigt, dass:
-
Hardware-Wallets begrenzen digitale Bedrohungen, lassen aber menschliche Faktoren unberührt.
-
Bedrohungen durch Personen, die dem Eigentümer nahe stehen, können die Bedrohungen durch externe Angreifer überwiegen.
-
Die Offenlegung der Seed-Phrase kann zu einem vollständigen Kontrollverlust führen.
Dies zeigt vor allem, dass Kryptosicherheit weit mehr als nur Geräte betrifft; Es hängt stark von der Umgebung, dem Verhalten, dem Vertrauen und den Beziehungen ab.
Sicherheitslehren aus dem Fall
Dieses Beispiel untermauert mehrere einfache Richtlinien:
-
Halten Sie die Seed-Phrase vollständig vor Kameras, Telefonen und angeschlossenen Geräten verborgen.
-
Vermeiden Sie es, Wiederherstellungsinformationen an Orten zu speichern, auf die andere zugreifen können.
-
Trennen Sie nach Möglichkeit die persönliche Identität von der Brieftaschenkontrolle.
-
Nutzen Sie für große Bestände mehrere Schutzebenen.
Anspruchsvollere Vereinbarungen können zusätzliche Passphrasen, geteilte Backups oder Multisignatur-Setups umfassen. Jede dieser Methoden ist darauf ausgelegt, die Abhängigkeit von einem einzelnen anfälligen Element zu verringern.
