Binance-Hack zeigt Schwächen der Krypto-Branche im Kampf gegen Hacker
Der 6,3-Milliarden-Dollar-Diebstahl bei Binance zeigt: Ein einziger kompromittierter Mitarbeiter kann ausreichen, um einer Krypto-Börse massiven Schaden zuzufügen.
Der Diebstahl von 6,3 Milliarden Dollar durch eine Elite-Hackergruppe aus Nordkorea bei der Kryptobörse Binance lenkt den Blick auf einen seit Langem bestehenden Schwachpunkt der Branche: Hacker müssen womöglich nur einen einzigen Mitarbeiter kompromittieren, um Zugang zu erlangen. Inkonsistente Sicherheitspraktiken können es Angreifern dann ermöglichen, diesen Fuß in der Tür in einen massiven Diebstahl umzumünzen. Der am 29. Oktober verübte Raubüberfall, den Experten als den größten Kryptowährungsdiebstahl aller Zeiten beschreiben, vollzog sich nach Angaben der ersten Untersuchung von Binance innerhalb weniger Minuten – nachdem er über Monate hinweg geplant und vorbereitet worden war.
Cybersicherheitsexperten zufolge wirft der Angriff nicht nur die Frage auf, wie Börsen ihre Mitarbeiter vor ausgeklügeltem Social Engineering schützen. Er berührt auch die Frage, ob sie über angemessene interne Kontrollen verfügen, um zu begrenzen, was ein Angreifer tun kann, sobald der Computer oder die Zugangsdaten eines Mitarbeiters kompromittiert sind.
Social Engineering sei eine im Sektor gut verstandene Bedrohung, sagte Jonathan Alexander, Chief Technology Officer von S&P Global's OpenZeppelin, einem Anbieter von Blockchain-Sicherheitslösungen. Die größere Frage sei jedoch, warum Börsen keine stärkeren internen Schutzvorkehrungen und Schutzschalter (Circuit Breakers) haben, um zu verhindern, dass ein Angreifer seinen Zugriff ausweitet und Vermögenswerte abtransportiert. Genau das sei bei Binance geschehen, nachdem ein Angreifer den Computer eines Ingenieurs kompromittiert hatte.
Ein einziger kompromittierter Mitarbeiter kann ausreichen
Die unterschiedlichen Cybersicherheitspraktiken in der Branche verschärfen das Problem, so Alexander. Hinzu kommt eine seit Langem bestehende Abneigung einiger Krypto-Befürworter gegenüber Kontrollen, die sie als unvereinbar mit dem dezentralen Ethos der Blockchain ansehen. Limits für Transaktionsbeträge und automatische Überprüfungen von Ausgabenmustern gelten in dieser Sichtweise mitunter als Verletzung inhärenter Privatsphärenrechte.
„Ich glaube, dass dies manche fälschlicherweise dazu gebracht hat, zu denken, dass Dinge wie Schutzschalter oder mehr Kontrollen bei Konten inakzeptabel wären oder absolut im Widerspruch zu diesem Bedürfnis stehen würden, Zensur zu vermeiden“, sagte Alexander. „Meiner Ansicht nach lassen sich Sicherheitskontrollen und Schutzmaßnahmen dagegen sehr wohl implementieren.“
Seit 2021 wurden mehr als 22,3 Milliarden Dollar gestohlen
Der Angriff auf Binance ist die jüngste in einer Reihe großer Krypto-Hacks. Laut der Blockchain-Intelligence-Firma Chainalysis haben diese seit 2021 zu gestohlenen Geldern in Höhe von mehr als 22,3 Milliarden Dollar geführt. Das Ausmaß der Verluste hat die Debatte darüber verschärft, ob Börsen konsistentere Standards für den Zugang, Transaktionskontrollen und andere Verteidigungsmechanismen benötigen.
„Ich erwarte, dass wir mehr Klarheit und Standardisierung bei den Erwartungen an die Cybersicherheit und hoffentlich auch bei den Anforderungen an den Anlegerschutz und das Vertrauen sehen werden“, sagte Alexander. „Diese Vorfälle zeigen, warum sich etwas ändern muss.“
Kryptobörsen stellen ungewöhnlich attraktive Ziele dar, weil Hacker Wallets identifizieren können, die enorme Summen leicht übertragbarer digitaler Vermögenswerte halten – und in einigen Fällen auch die Mitarbeiter, die Zugriff auf die Systeme haben, die diese kontrollieren. Das hat Ingenieure und IT-Mitarbeiter zu primären Zielen für aufwendige Social-Engineering-Operationen gemacht.
Alex Pruden, CEO der Blockchain- und Digital-Asset-Sicherheitsfirma Project Eleven, sagte, Verteidiger stünden einem fundamentalen Nachteil gegenüber Angreifern gegenüber, die nur einmal erfolgreich sein müssen. „Das ist ein extrem schwieriges Problem“, sagte Pruden. „Die Best Practices in der Cybersicherheit, die wir bis zu diesem Zeitpunkt hatten, sind einfach nicht in der Lage, den Herausforderungen unserer Welt gerecht zu werden, wenn man den Charakter der Bedrohung betrachtet.“ Cybersicherheitsmitarbeiter in der Branche lebten, so fügte er hinzu, „in einer Welt des ständigen Krieges. Wir sind ständigen Angriffen ausgesetzt.“
Pruden erwartet, dass der Diebstahl bei Binance zu größeren Investitionen in die Cybersicherheit führen wird – einschließlich Schutzmaßnahmen für interne KI-Tools und Agenten, die selbst die Fähigkeiten eines Angreifers erweitern könnten, falls sie kompromittiert werden. „Wir befinden uns am Anfang dieser Entwicklung, aber ich denke, wie der Binance-Hack gezeigt hat, können diese Tools sehr, sehr schnell gegen Sie verwendet werden, und es kann sehr schwer sein, den angerichteten Schaden rückgängig zu machen.“ Kryptobörsen haben bereits begonnen, ihre Verteidigungslinien zu stärken und den Informationsaustausch zu erhöhen, berichtete Reuters am 30. Oktober nach dem Hack bei Binance.
In den USA fehlt ein einheitliches Cybersicherheitsregime
Die von Experten festgestellten uneinheitlichen Sicherheitspraktiken spiegeln sich in einem fragmentierten US-Regulierungssystem wider. Anders als Banken unterliegen US-Kryptobörsen keinem einzigen bundesweiten Cybersicherheitsregime. Stattdessen variieren die Anforderungen je nachdem, wo die Unternehmen tätig sind und welche staatlichen Lizenzen sie besitzen.
New York stellt einige der strengsten Anforderungen der Branche. Das Finanzministerium des Staates verlangt von lizenzierten Unternehmen, Cybersicherheitsprogramme zu unterhalten, eine Multi-Faktor-Authentifizierung zu nutzen und einen Chief Information Security Officer zu benennen. Andernorts können Krypto-Unternehmen hauptsächlich den Geldüberweisungsregeln der Bundesstaaten unterliegen. Diese Regime verlangen in der Regel, dass Unternehmen Aufsichtsbehörden Informationen über ihre Cybersicherheitsprogramme bereitstellen und Prüfungen über sich ergehen lassen, schreiben jedoch oft keine bestimmten technischen Kontrollen vor, etwa Verschlüsselungsstandards.
Viele Börsen sind nicht in den USA tätig und unterliegen daher nicht diesen staatlichen Aufsichtsregimen, obwohl sie an separaten Anforderungen dort beteiligt sein können, wo sie Geschäfte machen. Banken unterliegen hingegen bundesweiten Vorgaben, die Bereiche wie Risikobewertungen, Überwachung und Incident Response abdecken, während die größten Institute fortlaufenden Prüfungen durch dedizierte Aufsichtsbehörden unterliegen. Für deutsche Anleger, die über ausländische Plattformen handeln, bedeutet das vor allem eines: Der Schutz hängt stark davon ab, welche Lizenz eine Börse besitzt und welcher Aufsicht sie damit unterliegt.