Cryptopia-Hack: Schaden deutlich größer als angenommen

Christopher Klee

von Christopher Klee

Am · Lesezeit: 3 Minuten

Christopher Klee

Christopher Klee hat Literatur- und Medienwissenschaften sowie Informatik an der Universität Konstanz studiert. Seit 2017 beschäftigt sich Christopher mit den technischen und politischen Auswirkungen der Krypto-Ökonomie.

Teilen

Quelle: Shutterstock

ETH339.63 $ -0.32%

Offenbar konnten die Hacker bei ihrem Angriff auf Cryptopia ein Vielfaches der ursprünglich angenommenen Schadenssumme erbeuten. Eine Analyse von Elementus kommt zu dem Ergebnis, dass ETH, DCN und weitere ERC20-Token im Gegenwert von rund 16 Millionen US-Dollar entwendet wurden. 

Der Artikel wurde zuletzt aktualisiert am 26. Mai 2019 05:05 Uhr von Tanja Giese

Eine neue Analyse von Elementus bringt Licht ins Dunkel um den Hack der neuseeländischen Bitcoin-Börse Cryptopia. Mithilfe einer hauseigenen Software (Elementus query engine) verfolgte Elementus die gestohlenen Funds auf der Ethereum Blockchain. Dabei kam unter anderem heraus, dass die Schadenssumme in der Causa Cryptopia mindestens rund 16 Millionen US-Dollar beträgt. Vorangegangene Schätzungen beliefen sich auf drei bis 13 Millionen US-Dollar.

Offenbar begannen die verdächtigen Wallet-Bewegungen bereits am Sonntag, dem 13. Januar – und damit einen Tag früher als von Cryptopia ursprünglich angegeben. Bei den betroffenen Wallets handelt es sich um zentrale Wallets der Krypto-Börse. Eine der Wallets enthielt Ether, die andere ERC20-Token.


Nur wenig später begannen auch Funds aus den über 76.000 Kunden-Wallets zu verschwinden. Am Folgetag, dem 14. Januar, schloss Cryptopia den Betrieb und ging in den „Wartungsmodus“. Am 15. Januar informierte Cryptopia schließlich die Öffentlichkeit über die Sicherheitslücke.

Die Diebe haben einen Teil der Beute auf diversen Krypto-Börsen verstaut. So lagern  ETH und ERC20-Token im Wert von umgerechnet rund einer Million US-Dollar auf insgesamt 13 verschiedenen Exchanges. Der Löwenanteil entfällt dabei auf Bibox (326.581 US-Dollar), Binance (279.525 US-Dollar) und Huobi (147.715 US-Dollar).

Ein Teil der übrigen Beute lagert indes auf drei Wallets, die offenbar im Besitz der Hacker sind.

Die Rohdaten postete Elementus auf Github. Anbei ein Auszug der Liste der gestohlenen Coins:

Der etwas andere Hack

Der Cryptopia-Hack unterscheidet sich nach Einschätzungen in zwei Hauptpunkten von „konventionellen“ Angriffen auf Bitcoin-Börsen. Demnach sei zum einen die Zahl der betroffenen Wallets mit über 76.000 ungewöhnlich hoch:

„Die Funds wurden aus mehr als 76.000 verschiedenen Wallets entnommen, von denen keine Smart Contracts waren. Die Diebe müssen Zugang nicht nur zu einem sondern zu tausenden Private Keys erhalten haben.“

Zweitens machte der Umstand, dass die Attacke auch nach ihrer Entdeckung fortgesetzt werden konnte, die Analysten stutzig:

„Nachdem Cryptopia den Hack entdeckt hatte, beobachteten sie, wie das Geld noch vier weitere Tage lang aus ihren Wallets floss, scheinbar machtlos, es zu stoppen. Da es sich bei diesen Wallets nicht um Smart Contracts handelte, hätte es keine technischen Komplikationen geben sollen, die Cryptopia daran hindern, die Gelder zu sichern.“

Das deute wiederum darauf hin, dass Cryptopia alle Private Keys auf einem einzigen zentralen Server verwahrte – eine Todsünde in Sachen Exchange-Sicherheit.

„Eine mögliche Erklärung ist, dass Cryptopia ihre Private Keys ohne Redundanz auf einem einzigen Server gespeichert hat. Wenn es den Dieben gelang, sich Zugang zu diesem Server zu verschaffen, hätten sie die Private Keys herunterladen und vom Server löschen können, sodass Cryptopia nicht auf ihre eigenen Wallets zugreifen konnte.“

Darüber hinaus laufen derzeit noch rund 2.000 Wallets Gefahr, ausgeräumt zu werden. Diese beherbergen ETH im Gegenwert von insgesamt rund 46.000 US-Dollar.


Der Bericht schließt mit einerAufforderung an alle betroffenen Krypto-Börsen, Funds, die aus dem Cryptopia-Hack stammen, einzufrieren.

Teilen

Die aktuellsten News kostenlos per E-Mail

Ich stimme zu, dass meine E-Mail-Adresse für den Versand des Newsletters gespeichert und verarbeitet wird. Weitere Hinweise
BTC-ACADEMY

Kryptowährungen einfach kaufen und verkaufen

Ein Bankkonto, Krypto-Wallets und Trading vereint

  • Einfach, sicher und zuverlässig
  • Kontoeröffnung in nur 5 Minuten
  • Nur 1% Handelsgebühr
  • Made in Germany