Krypto-Ermittler warnt: So können Anleger alles verlieren

Ein kompromittierter Mitarbeiter-Laptop soll den Diebstahl von Kryptowährungen im Wert von 6,3 Milliarden US-Dollar ermöglicht haben. Das zeigt: Selbst große Krypto-Börsen wie Binance sind angreifbar. Im Interview mit BTC-ECHO erklärt Albert Querenberger, CEO von AIQ Forensics und ehemaliger Nachrichtendienstmitarbeiter, wie Hacker solche Angriffe durchführen und warum die Rückholung gestohlener Gelder häufig scheitert. Zudem warnt er vor einer Gefahr, die viele Krypto-Anleger bei der Verwahrung ihrer Bitcoin unterschätzen. Warum Binance ein attraktives Ziel ist BTC-ECHO: Was zeigt der Binance Hack über die Sicherheitsrisiken zentralisierter Krypto-Börsen? Albert Querenberger: Der Angriff zeigt vor allem, dass die größte Schwachstelle häufig nicht die Blockchain selbst ist, sondern die Infrastruktur und die Menschen, die den Zugriff auf digitale Vermögenswerte kontrollieren. Zentralisierte Krypto-Börsen verwahren Milliardenwerte und müssen täglich eine enorme Anzahl von Transaktionen abwickeln. Für Angreifer sind sie deshalb besonders attraktive Ziele. Selbst ausgefeilte Sicherheitsarchitekturen bieten keinen ausreichenden Schutz, wenn es Tätern gelingt, interne Systeme zu kompromittieren, Berechtigungen zu übernehmen oder sicherheitsrelevante Abläufe zu manipulieren. Ein wesentlicher Punkt ist die Trennung von Verantwortlichkeiten: Wer eine Transaktion vorbereitet, sollte diese nicht eigenständig autorisieren und ausführen können. Bei besonders hohen Beträgen müssen mehrere voneinander unabhängige Sicherheitsmechanismen greifen. Die Sicherheit einer Krypto-Börse bemisst sich daher nicht allein daran, wie gut private Schlüssel geschützt werden. Ebenso wichtig ist die Frage, wie viele Systeme und Personen ein Angreifer überwinden muss, bevor er tatsächlich Vermögenswerte bewegen kann. Wie ein einzelner Laptop Milliardenwerte gefährden kann Ein kompromittierter Mitarbeiter-Laptop soll den Diebstahl von 6,3 Milliarden US-Dollar ermöglicht haben. Wie kann ein einzelnes Gerät dafür ausreichen? Ein kompromittierter Laptop ist zunächst ein möglicher Einstiegspunkt in die Unternehmensinfrastruktur. Der eigentliche Schaden entsteht, wenn es den Angreifern gelingt, von diesem Gerät aus weitere Systeme zu erreichen und ihre Berechtigungen auszuweiten. Nach den bisher veröffentlichten Erkenntnissen wurden mehrere Systeme kompromittiert. Die Täter nutzten unter anderem gestohlene Zugangsdaten und interne Entwicklungswerkzeuge, um Zugriff auf sicherheitskritische Prozesse zu erlangen. Besonders gefährlich wird es, wenn Angreifer die Abläufe manipulieren können, mit denen Transaktionen vorbereitet oder freigegeben werden. In solchen Fällen müssen sie unter Umständen nicht einmal unmittelbar Zugriff auf die privaten Schlüssel erhalten. Aus meiner früheren Tätigkeit im Nachrichtendienst kenne ich das Need-to-know-Prinzip. Mitarbeiter erhalten ausschließlich Zugriff auf jene Informationen und Systeme, die sie für ihre Aufgaben tatsächlich benötigen. Dieses Prinzip muss auch bei Krypto-Börsen konsequent umgesetzt werden. Ein kompromittiertes Gerät darf niemals ausreichen, um eine Sicherheitsarchitektur zu überwinden, hinter der Vermögenswerte in Milliardenhöhe liegen. Nordkorea unter Verdacht: Was Blockchain-Analysen beweisen können Blockchain-Analysten machen nordkoreanische Hacker für den Angriff verantwortlich, Nordkorea dementiert die Vorwürfe jedoch. Wie zuverlässig lässt sich die Herkunft der Angreifer aus forensischer Sicht nachweisen? Die Blockchain liefert uns wertvolle Hinweise auf mögliche Täterstrukturen. Wenn eine Wallet-Adresse bereits einer nordkoreanischen Hackergruppe zugeordnet und entsprechend gelabelt wurde, können Transaktionen mit dieser Adresse Rückschlüsse auf eine mögliche Verbindung zur bekannten Täterinfrastruktur ermöglichen. Allerdings ist ein solches Label für sich genommen noch kein Beweis dafür, wer tatsächlich hinter einem Angriff steckt. Wir müssen wissen, auf welchen Erkenntnissen die ursprüngliche Attribution beruht und wie belastbar die festgestellten Transaktionsverbindungen sind. Um die Informationslage zu verdichten, benötigen wir zusätzliche Offchain-Daten. Dazu zählen beispielsweise IP-Adressen, Zugriffsprotokolle, Geräteinformationen, verwendete Schadsoftware, Kommunikationsdaten und Informationen von Kryptohandelsplattformen wie etwa KYC-Daten. Erst durch die Zusammenführung der Onchain-Analyse mit diesen zusätzlichen Erkenntnissen lässt sich eine Täterzuordnung fundiert bewerten. Täglich sehe ich, wie wichtig es ist, Informationen aus unterschiedlichen, möglichst unabhängigen Quellen abzugleichen. Eine gelabelte Wallet kann eine wertvolle Ermittlungs- und Erkenntnisspur liefern. Für eine belastbare Identifizierung der verantwortlichen Personen braucht es jedoch mehr als Blockchain-Daten. Warum gestohlene Kryptowährungen kaum zurückzuholen sind Du hältst die Chancen auf eine Rückholung der gestohlenen Kryptowährungen für äußerst gering. Warum ist das so schwierig? Die Nachverfolgung gestohlener Kryptowährungen funktioniert häufig ausgesprochen gut. Das eigentliche Problem beginnt bei der Sicherstellung. Eine einmal bestätigte Blockchain-Transaktion kann grundsätzlich nicht rückgängig gemacht werden. Solange die Täter über ihre privaten Schlüssel verfügen, können sie die Vermögenswerte jederzeit weitertransferieren. Innerhalb weniger Minuten lassen sich enorme Summen über dezentrale Handelsplattformen tauschen, auf andere Blockchains übertragen oder durch Verschleierungsdienste bewegen. Dabei spielt die verwendete Kryptowährung eine wesentliche Rolle. Bei Stablecoins wie USDT und USDC verfügen die jeweiligen Emittenten über technische Möglichkeiten, bestimmte Tokenbestände einzufrieren. Bei Bitcoin oder Ether ist das auf Protokollebene grundsätzlich nicht möglich. Stablecoins einfrieren: Warum bei Bitcoin andere Regeln gelten Beim Binance Hack konnten nach den veröffentlichten Informationen erhebliche Vermögenswerte gesichert werden. Die Täter schafften es jedoch, Teile der gestohlenen Stablecoins in andere Kryptowährungen umzuwandeln und damit dem unmittelbaren Zugriff der Emittenten zu entziehen. Ein weiterer Punkt ist die internationale Zusammenarbeit. Selbst wenn wir gestohlene Gelder auf einer Krypto-Börse identifizieren, benötigen wir einen Ansprechpartner, der rechtzeitig reagiert. Die Plattform muss den Sachverhalt prüfen und gegebenenfalls Vermögenswerte sichern. Für eine dauerhafte Beschlagnahme und spätere Rückführung sind meist behördliche oder gerichtliche Maßnahmen notwendig. Eine erfolgreiche Sicherstellung und Rückholung ist immer Teamwork. Aus unserer eigenen Ermittlungspraxis wissen wir, dass schnelles Handeln durchaus zu erfolgreichen Sicherstellungen führen kann. In den letzten Wochen konnten wir beispielsweise in Deutschland 6,33 BTC und in Venezuela 820.000 US-Dollar mit den zuständigen Behörden und Partnerplattformen wie ChangeNOW sichern und zurückholen. Solche Erfolge setzen allerdings voraus, dass gestohlene Gelder rechtzeitig identifiziert werden und eine Plattform erreicht wird, die tatsächlich eingreifen kann. Jede Stunde, in der Täter ungestört Vermögenswerte bewegen können, verringert die verfügbaren Interventionsmöglichkeiten. Krypto-Anleger unterschätzen diese Sicherheitsrisiken Wie können Anleger ihre Bitcoin und andere Kryptowährungen künftig besser vor solchen Angriffen schützen? Eine hundertprozentige Sicherheit gibt es nicht, weder bei Banken noch bei Kryptohandelsplattformen oder Hardware Wallets. Alle diese Verwahrungsformen waren bereits von Sicherheitsvorfällen betroffen. Hardware Wallets können das Risiko bestimmter Angriffe reduzieren, sind aber keineswegs unangreifbar. Manipulierte Transaktionsfreigaben, kompromittierte Software, Sicherheitslücken oder Social Engineering können auch hier zum Verlust der Vermögenswerte führen. Anleger sollten daher vermeiden, ihr gesamtes Vermögen einer einzigen Verwahrungslösung anzuvertrauen. Je nach technischen Kenntnissen und individuellen Anforderungen können regulierte Verwahrungsdienstleister, Hardware Wallets oder Multi-Signature-Lösungen sinnvoll sein. Zur grundlegenden Absicherung gehören phishingresistente Authentifizierungsverfahren, Auszahlungsbeschränkungen, die Verwendung vertrauenswürdiger Geräte und eine sorgfältige Überprüfung sämtlicher Transaktionsfreigaben. „Wer seine Krypto-Bestände öffentlich macht, kann zur Zielscheibe werden“ Besondere Aufmerksamkeit verdient Social Engineering: Angreifer versuchen gezielt, Menschen zu manipulieren, um Sicherheitsmechanismen zu umgehen. Dabei helfen selbst die besten technischen Schutzmaßnahmen wenig, wenn ein Nutzer dazu gebracht wird, eine betrügerische Transaktion eigenständig freizugeben. Eine zunehmend ernst zu nehmende Bedrohung sind auch sogenannte Wrench Attacks, bei denen Täter ihre Opfer durch Gewalt, Bedrohung oder Erpressung zur Herausgabe von Kryptowährungen oder privaten Schlüsseln zwingen. Deshalb sollte man sehr genau überlegen, welche Informationen man in sozialen Netzwerken preisgibt. Wer öffentlich über seine Krypto-Bestände, Gewinne, seinen Lebensstil oder seinen Aufenthaltsort berichtet, kann sich unbeabsichtigt selbst zur Zielscheibe machen. Was ich persönlich für besonders problematisch halte, ist die mangelnde Auseinandersetzung vieler Anleger mit den Sicherheitsrisiken ihrer Investitionen. Während erhebliche Zeit in Marktanalysen und Renditeprognosen investiert wird, bleibt die sichere Verwahrung häufig ein Nebenthema. Sicherheit hängt nicht von einem bestimmten Produkt ab, sondern davon, wie gut technische Schutzmaßnahmen, organisatorische Abläufe und menschliches Verhalten aufeinander abgestimmt sind. Vielen Dank für das Gespräch.

Blockchain-Ermittler Albert Querenberger: “Eine hundertprozentige Sicherheit gibt es nicht”

Bitcoin-Sicherheit: "Landminen" gegen Quanten-Diebe geplant

Bitcoin statt Aktien: Warum Klippsten ein Drittel aufgibt

Krypto-News: Russlands Bitcoin-Wende und Klingbeils Plan