86 Millionen Datensätze auf YouHodler ungeschützt
Das Forschungsteam von vpnMentor hat ein Datenleck auf der Kryptowährungs-Kreditplattform YouHodler festgestellt. Auf der Plattform waren über 86 Millionen Datensätze für unbefugte Dritte zugänglich. Dabei handelte es sich um vollständige Namen, E-Mail-Adressen, Adressen, Telefonnummern, Geburtstage, Kreditkartennummern, CVV-Nummern, vollständige Bankdaten und in einigen Fällen Krypto-Wallet-Adressen. Das Sicherheitsteam des privaten vpnMentor-Netzwerks teilte die Information zum Datenleck am 22. Juli mit YouHodler. Bereits am nächsten Tag soll das Unternehmen die notwendigen Schritte zur Schließung der Sicherheitslücke unternommen haben.
VpnMentor dazu:
[…] diese Nummern [waren] völlig unverschlüsselt. Hier haben wir nicht die vollständigen Karteninformationen des Benutzers, sondern nur die BIN und die letzten vier Ziffern gefunden. Die restlichen Karten-Daten des Benutzers waren jedoch leicht zu finden. Es war ein kleiner Sprung vom ersten Beispiel, den Rest der Kartendaten dieses Benutzers zu finden. Hier fanden wir die Kartennummer vollständig im Klartext gespeichert sowie das Ablaufdatum, jedoch ohne die CVV-Nummer. Das erste Beispiel zeigt jedoch, dass wir immer noch alle Details – einschließlich der CVV-Nummern – gefunden haben, die erforderlich sind, um die volle Kontrolle über die Karte zu erlangen.
Datenleck: Hat YouHodler ausreichende Sicherheitsvorkehrungen?
Auf der FinTech-Plattform YouHodler können die User ihre Krypto-Bestände in Fiatwährungen umtauschen. Zusätzlich gehören zum YouHodler-Portfolio die Kryptowährungskredite. Insgesamt ist das Angebot in mehr als 35 Ländern verfügbar. Von dem Datenleck waren Kunden aus den USA, Kanada, Großbritannien, Frankreich und Russland betroffen. Problematisch ist dabei, dass die Verknüpfung der Kundendatenfragmente höchst einfach war. Somit hätten Betrüger ohne großen Aufwand auf die Krypto-Wallets der Kunden zugreifen können.
Nicht nur für die Plattform selbst könnte der laxe Umgang mit den Kundendaten weitreichende Folgen haben. Auch für all die Krypto-Besitzer, die sich auf nicht ganz legalem Boden bewegen. VpnMentor dazu:
Obwohl die meisten Regierungen über ihre eigenen Mittel verfügen, um Krypto-Nutzer aufzuspüren, die ihr Vermögen verstecken, könnte diese Datenverletzung ein weiterer Kanal zur Aufdeckung sein. Da genügend Protokolle Benutzer mit ihren Brieftaschen verknüpfen, können Regierungen anhand dieser Informationen feststellen, ob diese Benutzer nicht bezahlte Steuern auf ihre Krypto-Bestände haben.
Bis jetzt ist noch nicht bekannt, ob böswilliger Zugriff auf die Daten stattgefunden hat.
