Blockchain/Niveau IV · Tiefer ins Protokoll/4.3 Verwahrung und Privatsphäre/Lektion 5
Operative Sicherheit und gängige Betrugsmaschen
Die Kryptografie hält stand, der Mensch nicht
MaterialienEine Hardware-Wallet mit eigenem, unabhängigem DisplayEin separates Air-Gapped-Gerät für die langfristige AufbewahrungDer Jahresbericht des Internet Crime Complaint Center (IC3) des US-amerikanischen FBI zu Kryptobetrug
Neugier
- Warum kann man auch mit einer Hardware-Wallet Guthaben an eine Phishing-Seite verlieren?
- Wie kann eine mit einem legitimen Schlüssel signierte Transaktion an die Adresse eines Angreifers gehen, ohne dass der Nutzer es bemerkt?
- Warum entstehen die meisten Verluste durch Täuschung und nicht durch gebrochene Kryptografie?
Erkunden
- Die Protokollsicherheit von Bitcoin beruht auf der Elliptische-Kurven-Kryptografie secp256k1; es ist keine Methode bekannt, sie zu brechen. Dennoch gehen die meisten erheblichen Verluste auf Social Engineering zurück, nicht auf mathematisches Versagen. Das Hauptbuch ist unveränderlich, das heißt, eine bestätigte Transaktion kann von keiner Instanz rückgängig gemacht werden. Diese Finalität schützt das Netzwerk, setzt einzelne Inhaber aber irreversiblen Fehlern und Täuschungen aus.
- Phishing ist einer der häufigsten Wege zum Diebstahl. Angreifer setzen täuschend ähnliche Domains oder gefälschte Wallet-Apps ein, die legitime Oberflächen nachahmen. Opfer geben in diesen gefälschten Umgebungen Seed-Phrasen oder private Schlüssel ein und verschaffen den Angreifern damit die volle Kontrolle. Das Internet Crime Complaint Center des US-amerikanischen FBI meldet Jahr für Jahr konstant hohe Zahlen von Kryptobetrug, wobei Anlagebetrug gemessen an den Verlusten die größte Kategorie ist.
- Clipboard-Malware arbeitet unbemerkt im Hintergrund und ersetzt kopierte Adressen durch vom Angreifer kontrollierte. Nutzer kopieren eine legitime Adresse aus ihrer Wallet oder ihren Kontakten, fügen sie beim Erstellen einer Transaktion ein und senden ahnungslos Guthaben an ein anderes Ziel. Address Poisoning verschärft dieses Risiko: Angreifer senden kleine Dust-Beträge von einer Adresse, die einer Adresse aus dem eigenen Verlauf des Nutzers optisch ähnelt, in der Hoffnung, dass das Opfer den ähnlich aussehenden Eintrag aus seinem Transaktionsverlauf kopiert.
- Social Engineering reicht bis zu Identitätsbetrug und langfristig angelegten Betrugsmaschen. Falsche Support-Mitarbeiter kontaktieren Nutzer, behaupten Probleme mit dem Konto oder bieten die Wiederherstellung gestohlener Guthaben an; keine seriöse Stelle fragt nach Seed-Phrasen. Beim „Pig Butchering“ wird monatelang eine Beziehung aufgebaut, bevor die Opfer auf betrügerische Anlageplattformen gelenkt werden. Im Juli 2020 kaperten Hacker prominente Twitter-Konten, darunter solche bekannter Tech-Manager, um für einen Giveaway-Betrug zu werben, der die Verdopplung eingezahlter Bitcoin versprach.
- SIM-Swapping zielt auf Börsenkonten ab, indem Mobilfunkanbieter dazu gebracht werden, die Telefonnummer des Opfers auf ein vom Angreifer kontrolliertes Gerät zu übertragen. Sobald sie die Nummer kontrollieren, empfangen Angreifer SMS-basierte Login-Codes und verschaffen sich Zugang zu Börsen-Wallets. Physische Nötigung, bekannt als „Wrench Attack“, bedeutet, Hardware-Geräte an sich zu bringen oder die Herausgabe der Seed-Phrase durch Drohung oder Gewalt zu erzwingen, wodurch sämtliche digitalen Sicherheitsmaßnahmen vollständig umgangen werden.
- Operative Praktiken verringern diese Risiken, ohne sie zu beseitigen. Nutzer prüfen Empfängeradressen vor dem Signieren auf dem unabhängigen Bildschirm einer Hardware-Wallet, um sicherzustellen, dass das Ziel ihrer Absicht entspricht. Viele nutzen getrennte Geräte für alltägliche Transaktionen und die langfristige Aufbewahrung, um das Malware-Risiko zu verringern. Wer über seine Bestände schweigt, wird seltener zum Ziel; öffentlich zur Schau gestellter Reichtum zieht sowohl Betrüger als auch physische Bedrohungen an.
Kernfakten
- Verluste bei Bitcoin entstehen durch Täuschung, Nutzerfehler und das Versagen von Diensten, nicht durch gebrochene Kryptografie.
- Clipboard-Malware ersetzt kopierte Adressen in der Zwischenablage und leitet Transaktionen auf vom Angreifer kontrollierte Konten um.
- Beim Address Poisoning wird Dust von einer ähnlich aussehenden Adresse gesendet, damit Opfer diese aus ihrem Transaktionsverlauf kopieren.
- Bei der Kaperung von Twitter-Konten im Juli 2020 wurden gekaperte prominente Konten genutzt, um deren Followern ein gefälschtes Bitcoin-Giveaway zu präsentieren.
- Beim SIM-Swapping empfangen Angreifer SMS-basierte Login-Codes, indem sie die Telefonnummer des Opfers auf ihr eigenes Gerät übertragen.
- Hardware-Wallets zeigen Empfängeradressen auf ihrem eigenen physischen Bildschirm an und ermöglichen so eine Überprüfung unabhängig vom Host-Computer.
Übung neun, sechs, drei, eins
9SammelnListen Sie 9 verschiedene Arten von Krypto-Betrug oder Social-Engineering-Angriffen auf, die in aktuellen Berichten von Strafverfolgungsbehörden oder Sicherheitswarnungen beschrieben werden. Notieren Sie jeweils den zentralen Täuschungsmechanismus und ob er auf Self-Custody-Wallets, Börsenkonten oder beides abzielt.
6GruppierenGruppieren Sie die 9 Betrugsarten nach ihrem operativen Angriffsvektor in 6 Kategorien: direkte Schlüsselextraktion, Umleitung von Transaktionen, Kontoübernahme über sekundäre Faktoren, langfristige Beziehungsmanipulation, physische Nötigung oder Ausnutzung auf Protokollebene. Begründen Sie jede Gruppierung mit dem konkreten technischen Schritt, an dem die Täuschung stattfindet.
3VerdichtenReduzieren Sie die 6 Cluster auf 3 grundlegende menschliche Schwachstellen, die Betrüger unabhängig von der jeweiligen Betrugsart ausnutzen.
1KristallisierenSchreiben Sie einen Satz, der erklärt, warum die Finalität, ein Kernelement der Blockchain-Sicherheit, zugleich das Protokoll schützt und die individuelle Anfälligkeit für Betrug maximiert.
Faktcheck
Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.