Ein neuer Phishing-Angriff zeigt, wie gefährlich gefälschte Suchanzeigen für Bitcoin-Nutzer werden können. Über eine bei Google geschaltete Anzeige gelangte ein Nutzer auf eine täuschend echt aussehende Trezor-Webseite. Nachdem er dort seine Wiederherstellungsphrase eingegeben hatte, gewannen die Angreifer die volle Kontrolle über seine Wallet und räumten die gesamten Bitcoin-Bestände ab.
Blockchain-Daten zeigen, dass auf der betroffenen Wallet insgesamt 24,04 Bitcoin im Wert von rund 1,6 Millionen US-Dollar eingingen. Die Bestände wurden inzwischen nahezu vollständig weitergeleitet, vermutlich auf weitere Wallets der Täter, sodass auf der ursprünglichen Adresse nur noch ein geringer Restbetrag verblieben ist. Trezor reagierte nach Bekanntwerden des Falls, meldete die betrügerische Seite und erinnerte Nutzer daran, ihre Seed-Phrase niemals auf einer Webseite einzugeben. Die Hardware Wallet selbst war von dem Angriff nicht betroffen.
Bitcoin-Nutzer müssen jetzt handeln
Nur kurze Zeit später veröffentlichte auch das Entwicklerteam von BTCPay Server eine dringende Sicherheitswarnung. Hintergrund ist eine kritische Schwachstelle, die nach Angaben der Entwickler bereits aktiv ausgenutzt wird. Betreiber wurden aufgefordert, ihre Software sofort auf Version 2.4.2 zu aktualisieren oder die Server bis zum Update vorübergehend abzuschalten.
Mit dem Einspielen des Updates allein ist es allerdings nicht getan. Betreiber müssen zusätzlich ihre Macaroons sowie weitere Authentifizierungsdaten erneuern. Wer eine Hot Wallet innerhalb von BTCPay Server nutzt, sollte vorhandene Guthaben auf eine neue Wallet übertragen und anschließend eine neue Wallet einrichten.
Beide Vorfälle zeigen, dass Angreifer nicht das Bitcoin-Protokoll selbst ins Visier nehmen, sondern Anwendungen und das Verhalten der Nutzer. Während im ersten Fall eine gefälschte Webseite das Vertrauen in Suchanzeigen ausnutzte, zielte der zweite Angriff auf eine Sicherheitslücke in einer weit verbreiteten Zahlungssoftware für Händler.
Für Bitcoin-Nutzer bleibt damit vor allem eine Regel entscheidend: die Seed-Phrase sollte niemals auf einer Webseite eingegeben werden, sondern ausschließlich auf dem eigenen Hardware-Wallet.
