Die Serie brisanter Sicherheitsvorfälle im Bitcoin- und Finanzumfeld reißt nicht ab. Nach dem schweren Exploit des von Blockstream entwickelten Liquid Network und der eskalierenden Datenpanne bei Revolut meldet nun auch Swiss Bitcoin Pay einen möglichen unbefugten Zugriff auf interne Systeme. Der Bitcoin-Zahlungsdienstleister hat seine Server vorsorglich abgeschaltet.
Besonders heikel: Nach Angaben von Swiss Bitcoin Pay könnten Angreifer Zugriff auf E-Mail-Adressen, Bitcoin-Adressen, IBANs, Transaktionsverläufe und gehashte Passwörter erhalten haben. Ob darüber hinaus weitere Informationen kompromittiert wurden, ist bislang noch unklar.
Die Gelder der Nutzer seien dagegen sicher. Swiss Bitcoin Pay versichert außerdem, sämtliche noch an Kunden geschuldeten Beträge vollständig zu erstatten. Einen Termin für die Wiederaufnahme des Dienstes gibt es bisher nicht. Auch andere Medien berichteten inzwischen über die vorsorgliche Abschaltung nach dem mutmaßlichen Sicherheitsvorfall.
Drei Vorfälle in wenigen Tagen – doch die Angriffswege unterscheiden sich deutlich
Der Zeitpunkt fällt auf. Innerhalb von gut einer Woche sorgen gleich mehrere Sicherheitsfälle mit direktem Bezug zu Bitcoin, Finanzdaten oder Krypto-Infrastruktur für Schlagzeilen.
Den Anfang machte am 6. September der massive Angriff auf das Liquid Network. Durch eine Schwachstelle in der von Liquid verwendeten Elements-Software konnten nahezu 4.000 nicht gedeckte L-BTC erzeugt und anschließend gegen echte Bitcoin aus der Federation-Reserve eingelöst werden.
3.400 BTC wurden später von den Angreifern zurückgegeben. Rund 598,5 BTC befinden sich jedoch weiterhin außerhalb der Kontrolle der Liquid Federation. Blockstream lehnt eine von den Verantwortlichen geforderte Zahlung ab und bezeichnet das Zurückhalten der Bitcoin als Diebstahl. Beim derzeitigen Bitcoin-Kurs von rund 77.200 US-Dollar entsprechen 598,5 BTC einem Wert von ungefähr 46 Millionen US-Dollar.
Nur wenige Tage später rückte Revolut in den Mittelpunkt. Dort wurden die Systeme nach Angaben des Unternehmens zwar nicht direkt gehackt. Stattdessen gelang es einem nicht autorisierten Akteur offenbar, betrügerische Informationsanfragen über eine tatsächlich existierende Regierungsdomain zu versenden. Revolut hielt diese zunächst für legitime Behördenanfragen und übermittelte sensible Kundendaten.
Zu den möglicherweise betroffenen Informationen gehören unter anderem Namen, Adressen, Ausweisdokumente, IBANs und vollständige Transaktionshistorien. Bei einigen Kunden können diese auch Bitcoin-Aktivitäten enthalten. Inzwischen behaupten die Verantwortlichen zudem, Daten prominenter beziehungsweise vermögender Kunden veröffentlicht zu haben und Revolut damit unter Druck zu setzen. Eine unabhängige Bestätigung dieser veröffentlichten Datensätze liegt bislang allerdings nicht vor.
Der Fall Swiss Bitcoin Pay unterscheidet sich wiederum von beiden Vorfällen. Das Unternehmen geht derzeit davon aus, dass ein bösartiger Nutzer möglicherweise Zugriff auf interne Systeme erlangt hat. Ob tatsächlich Daten kopiert oder weitergegeben wurden und wie weit der Zugriff reichte, ist Gegenstand der laufenden Untersuchung.
Die drei Fälle stehen nach bisherigem Kenntnisstand nicht miteinander in Verbindung. Ihre Häufung macht jedoch deutlich, wie unterschiedlich die Angriffsflächen rund um Bitcoin inzwischen geworden sind: Softwarefehler, Social Engineering und der Zugriff auf zentrale Kundensysteme können völlig unterschiedliche Folgen haben.
Bei Swiss Bitcoin Pay könnten gerade die verknüpften Daten zum Problem werden
Für Kunden von Swiss Bitcoin Pay liegt das größte unmittelbare Risiko nach aktuellem Stand nicht in gestohlenen Bitcoin.
Das Unternehmen wirbt selbst damit, Bitcoin nicht dauerhaft für seine Kunden zu verwahren. Zahlungen sollen automatisch an die eigene Wallet des Nutzers weitergeleitet werden. Auf der eigenen Website bezeichnet Swiss Bitcoin Pay sein Modell ausdrücklich als auf Selbstverwahrung ausgerichtet und erklärt, dass Nutzer die Kontrolle über ihre Bitcoin behalten sollen.
Das kann erklären, warum Swiss Bitcoin Pay trotz des möglichen Systemzugriffs erklärt, dass Nutzerfonds sicher seien. Datenschutzseitig könnte der Vorfall dennoch erheblich sein. Gerade die mögliche Kombination aus E-Mail-Adresse, IBAN, Bitcoin-Adresse und Transaktionsverlauf ist sensibler als jeder einzelne Datensatz für sich.
Eine Bitcoin-Adresse ist auf der Blockchain öffentlich sichtbar. Wird sie jedoch mit einer realen Identität, Bankverbindung und konkreten Zahlungshistorie verknüpft, könnten Angreifer einzelne Nutzer wesentlich gezielter identifizieren.
Das erhöht unter anderem das Risiko für Phishing und Social Engineering. Denkbar wären beispielsweise gefälschte Nachrichten über eine angebliche Rückerstattung, eine notwendige Wallet-Verifizierung oder ein Sicherheitsupdate.
Auch die möglicherweise betroffenen Passwort-Hashes sollten Nutzer ernst nehmen. Ein gehashtes Passwort bedeutet nicht automatisch, dass der Angreifer das ursprüngliche Passwort kennt. Wie gut ein Passwort geschützt ist, hängt unter anderem vom verwendeten Hash-Verfahren, dessen Konfiguration und der Stärke des Passworts ab. Wer dasselbe Passwort jedoch auch bei anderen Diensten verwendet, sollte es vorsorglich dort ändern.
Das eigentliche Warnsignal geht inzwischen über gestohlene Bitcoin hinaus
Gerade der Vergleich der drei jüngsten Vorfälle zeigt, dass sich das Sicherheitsrisiko im Bitcoin-Ökosystem längst nicht mehr nur um private Schlüssel dreht.
Bei Liquid führte ein Softwarefehler dazu, dass echte Bitcoin im Wert von hunderten Millionen Dollar aus der Federation-Reserve abgezogen werden konnten. Bei Revolut waren offenbar menschliche beziehungsweise organisatorische Prüfprozesse der Schwachpunkt. Und bei Swiss Bitcoin Pay könnte nun die zentrale Infrastruktur des Zahlungsdienstleisters betroffen sein.
Für Bitcoin-Nutzer entsteht damit eine zusätzliche Herausforderung: Selbst wenn die eigenen Coins in einer selbstverwalteten Wallet sicher sind, können Daten bei Zahlungsdiensten, Börsen, Banken oder anderen Finanzunternehmen weiterhin sensible Verbindungen zwischen einer realen Identität und Aktivitäten auf der Blockchain herstellen.
Genau dieser Punkt macht den neuen Vorfall bei Swiss Bitcoin Pay relevant. Denn gestohlene Bitcoin lassen sich auf der Blockchain verfolgen. Ein einmal veröffentlichter Datensatz aus E-Mail-Adresse, Bankverbindung und Bitcoin-Historie lässt sich dagegen kaum wieder zurückholen.
Swiss Bitcoin Pay untersucht derzeit, wie weit der mutmaßliche Zugriff tatsächlich ging, und hat seine Server vorsorglich abgeschaltet. Wann der Dienst wieder verfügbar sein wird, steht noch nicht fest.
Nach Liquid und Revolut folgt damit innerhalb weniger Tage der nächste Sicherheitsfall mit direktem Bezug zu Bitcoin-Nutzern. Entscheidend wird nun sein, ob Swiss Bitcoin Pay den möglichen Zugriff auf die bereits genannten Daten begrenzen kann oder die Untersuchung noch weitere kompromittierte Informationen ans Licht bringt.
