Alter Krypto-Wallet-Bug gefährdet 2,1 Milliarden US-Dollar: entschlüsselt

Das Krypto-Cybersicherheitsunternehmen Unciphered hat einen jahrzehntealten Krypto-Wallet-Fehler entdeckt, der browserbasierte Wallets betrifft, die zwischen 2011 und 2015 erstellt wurden.

Der Fehler kann es schändlichen Akteuren ermöglichen, bis zu 2,1 Milliarden US-Dollar aus Wallets verschiedener Netzwerke zu stehlen, darunter Bitcoin (BTC), Dogecoin (DOGE), Litecoin (LTC) und Zcash (ZEC).

Entdeckung eines uralten Käfers

In einem Interview mit dem Wall Street Journal erklärte das Unciphered-Team, dass sie den Fehler versehentlich bei einem fehlgeschlagenen Versuch entdeckt hatten, die verlorenen Bitcoin (BTC) eines frühen Investors in Höhe von 600.000 US-Dollar zurückzugewinnen.

Der Unternehmer Nick Sullivan erstellte sein Bitcoin-Wallet bereits 2014 über die Website Blockchain.info (inzwischen umbenannt in Blockchain.com). Später verlor er versehentlich den Zugriff auf seine Münzen, nachdem er den Speicher seines Computers gelöscht hatte, ohne daran zu denken, den privaten Schlüssel seiner Brieftasche aufzuzeichnen.

Auf Anfrage von Sullivan begann Unciphered im Januar 2022 mit der Suche nach Sullivans Münzen. Obwohl ihnen letztendlich genügend Informationen fehlten, um sie zurückzubekommen, erkannten sie dabei, dass der Code von Blockchain.info zum Erstellen zufälliger Wallet-Schlüssel – BitcoinJS – nicht alles schaffte seiner Wallets zufällig genug.

„BitcoinJS ist bis März 2014 fürchterlich kaputt“, sagte Unciphered-Mitbegründer Eric Michaud. „Jeder, der es direkt nutzt, ist einem sehr hohen Risiko eines Angriffs ausgesetzt.“

Eine andere Wallet-Site, Dogecoin.info, nutzte ebenfalls BitcoinJS, wodurch viele alte Dogecoin-Benutzer der gleichen Sicherheitslücke ausgesetzt waren.

Entschlüsselte Behauptungen, dass vor März 2012 erstellte Geldbörsen Vermögenswerte in Höhe von 100 Millionen US-Dollar enthalten, die von einem Heimcomputerbenutzer leicht gehackt werden könnten. Weitere 50 Milliarden US-Dollar befinden sich in Wallets, die zwischen diesem Zeitpunkt und 2015 erstellt wurden, von denen mindestens 500 Millionen US-Dollar gefährdet sind.

Kryptographen entdeckten bereits 2014 Mängel in der Zufälligkeit der Wallet-Generierung und haben seitdem ihre Methoden verbessert. Unciphered sagte, es habe keine nach 2016 generierten Wallets entdeckt, die unter schwacher Zufälligkeit litten.

Wie kann man es den Opfern sagen?

Unciphered hat die Sicherheitslücke diese Woche öffentlich gemacht, warnt betroffene Benutzer jedoch seit Monaten stillschweigend, dass ihre Vermögenswerte gefährdet sind.

Die Herausforderung bestand darin, Millionen von Opfern davon zu überzeugen, ihre Gelder zu bewegen, ohne die Verwundbarkeit für Diebe zu offenbaren, die sie andernfalls zum Diebstahl von Münzen nutzen würden.

Unciphered entschied sich schließlich dafür, die größte Website aufzusuchen, die für die Erstellung solcher Wallets verantwortlich ist und möglicherweise in der Lage ist, betroffene Benutzer diskret zu benachrichtigen. Letztendlich war es die Website, die Sullivan nutzte: Blockchain.com.

Die Website verschickte E-Mails an Inhaber von über 1,1 Millionen betroffenen Geldbörsen und fand eine Möglichkeit, die Geldbörsen aller Besucher der Website automatisch zu aktualisieren.

„Bei Krypto muss man ziemlich skeptisch gegenüber Leuten sein, die mit etwas dramatisch klingendem Anruf anrufen, weil es so viele Betrüger gibt“, sagte Lane Kasselman, Präsident von Blockchain.com, in Bezug auf die Warnung von Unciphered. „Es war unklar, wer sie waren und welchen Umfang sie hatten.“

Viele betroffene Benutzer wurden immer noch nicht direkt gewarnt, da die Websites, auf denen sie ihre Wallets erstellt haben, inzwischen nicht mehr verfügbar sind.

Der Beitrag Old Crypto Wallet Bug bringt 2,1 Milliarden US-Dollar in Gefahr: Unciphered erschien zuerst auf CryptoPotato.