Jeden Monat berichtet MetaMask Security Director Luker über die neuesten Krypto-Angriffe und aufkommenden Risiken, die Sie kennen sollten.
Der Dezember 2024 hat eines deutlich gemacht: Betrüger machen keine Weihnachtspause. Hacker begannen damit, KI-Trainingsdaten zu vergiften, um Entwicklern bösartigen Krypto-Code unterzuschieben. Die Lazarus Group nutzte LinkedIn weiterhin wie eine Jobbörse aus der Hölle, und die @solana/web3.js-Bibliothek von Solana wurde Opfer eines Supply-Chain-Angriffs, der auf Private Keys abzielte. Unterdessen überstiegen die Verluste durch den LastPass-Datenschutzverstoß die Marke von 250 Millionen US-Dollar – zwei Jahre nach dem ursprünglichen Vorfall – und WallStreetBets verlor 2,2 Millionen US-Dollar in Meme Coins, nachdem ihr X-Konto kompromittiert worden war. Auf der proaktiven Sicherheitsseite startete Immunefi den Ethereum Protocol Attackathon mit einem Preisgeld von 1,5 Millionen US-Dollar, und Luker betrat die Bühne der Devcon SEA, um zu erläutern, wie Social Engineering auf allen Bedrohungsebenen funktioniert. Die vollständigen Details unten, aber zuerst...
MINT-Pionierin im Rampenlicht: Clifford Stoll, der verrückte Wissenschaftler, der das Buch über die Jagd auf Hacker geschrieben hat
Clifford Stoll, auch bekannt als „der verrückte Wissenschaftler, der das Buch darüber geschrieben hat, wie man Hacker jagt," posiert in seinem Workshop in Kalifornien.
Social Engineering bei Krypto-Bedrohungen: Pig Butchering, Wallet Drainer, Job-Scams und mehr
Falls Sie es verpasst haben: Luker gab einen Überblick darüber, wie Social Engineering von Script Kiddies, Verbrecherkartellen und Advanced Persistent Threats gleichermaßen eingesetzt wird. Erfahren Sie, wie Nutzer bestohlen werden, auf welche Weise Krypto-Unternehmen und Entwickler hinters Licht geführt werden, und lernen Sie die hinterhältigen Praktiken hinter dem Pig Butchering kennen, die ihr den Schlaf rauben. Viel Spaß! (PS – Pig Butchering ist ein seit Langem verbreiteter Krypto-Betrug, bei dem Angreifer über Wochen oder Monate eine Beziehung zum Opfer aufbauen, Vertrauen gewinnen, Intimität vortäuschen und sogar gefälschte Renditen vorspiegeln, bevor sie das Opfer davon überzeugen, seine Gelder auf eine Plattform zu transferieren, die die Betrüger kontrollieren. Der Begriff bezieht sich auf die Idee, das Ziel vor dem eigentlichen Diebstahl „zu mästen". Es werden keine Schweine geschädigt. Die Ziele dieser Betrugsmaschen sind Menschen.)
Same-Origin Realms und Realms-Initialization-Control für mehr Sicherheit bei Browser-Erweiterungen
Same-Origin Realms sind eine Methode für Browser, Skripte sicher auszuführen und verschiedene Webseiten, die aus derselben Quelle stammen, voneinander zu isolieren. Sie sind besonders nützlich zur Verbesserung der Sicherheit beim Umgang mit eingebetteten Inhalten wie iFrames oder beim Laden nicht vertrauenswürdiger Skripte.
Gal Weizmans Artikel untersucht, wie Entwickler diese Realms nutzen können, um sicherere und effizientere Webanwendungen zu erstellen. Er hebt Realms-Initialization-Control (RIC) hervor, das Entwicklern ermöglichen würde, die Initialisierung von Skripten zu steuern und so eine zusätzliche Sicherheitsebene hinzuzufügen. Dies kann dazu beitragen, gängige Web-Schwachstellen zu verhindern und Anwendungen robuster zu machen. Die Herausforderung besteht darin, Sicherheit und Entwicklungskomfort in Einklang zu bringen, aber Fortschritte wie diese ebnen den Weg für ein sichereres Web.
Lazarus Group nutzt LinkedIn-Jobangebote und gefälschte Personas, um 2 Millionen US-Dollar von einem Krypto-Mitarbeiter zu stehlen
Taylor Monahan hat kürzlich aufgezeigt, wie die mit Nordkorea verbundene Lazarus Group ausgefeilte Social-Engineering-Taktiken einsetzt: Sie kontaktiert Mitarbeiter über soziale Medien oder Messaging-Apps, leitet sie unter dem Deckmantel von Jobangeboten oder technischer Unterstützung zu GitHub-Repositories weiter und kompromittiert einzelne Geräte, um Zugang zur Unternehmensinfrastruktur zu erlangen.
In einem realen Beispiel wurde das Gerät eines Mitarbeiters kompromittiert, nachdem dieser mit einer gefälschten Persona auf LinkedIn interagiert hatte. Der Angreifer hielt die Kommunikation aufrecht und entlohnte den Mitarbeiter sogar mit Kryptowährung, um Vertrauen aufzubauen, bevor er den Zugang schließlich ausnutzte, um über 2 Millionen US-Dollar zu stehlen.
Als Nachbereitung veröffentlichte MetaMask eine leicht verständliche Liste mit Dingen, auf die man achten sollte, wenn man online von jemandem kontaktiert wird.
Sicherheitsmodelle für Dark-Web-Marktplätze und Zero-Trust-Praktiken für Krypto-Nutzer
Evan Boehs beschreibt, wie das Dark Web Anonymität und legitime Nutzungsmöglichkeiten bietet, aber auch voller Risiken steckt – Betrug, Malware und Vertrauensprobleme sind dort an der Tagesordnung. Anonyme Verkäufer können mitten in einer Transaktion verschwinden, bösartige Links lauern überall, und ein einziger Fehler kann Ihre Identität preisgeben.
Um sicher zu bleiben, sollten Sie Tools wie Tor verwenden, eine gute Krypto-Hygiene praktizieren und eine Zero-Trust-Mentalität beibehalten.
Ethereum Protocol Attackathon startet mit einem Preisgeld von 1,5 Millionen US-Dollar
Immunefis Attackathon ist offiziell gestartet. Dieser bis zum 20. Januar 2025 laufende, groß angelegte Crowdsourcing-Sicherheitsaudit-Wettbewerb zielt darauf ab, die Sicherheit des Ethereum-Protokolls zu stärken. Die Veranstaltung lädt Teilnehmer ein – von professionellen Prüfungsunternehmen bis hin zu unabhängigen Sicherheitsforschern –, um ein Preisgeld von 1.500.000 US-Dollar zu konkurrieren.
Solana @solana/web3.js-Bibliothek in Supply-Chain-Angriff auf Private Keys kompromittiert
Was ist passiert
Solana erlitt einen Supply-Chain-Angriff auf die weit verbreitete npm-Bibliothek @solana/web3.js, mit dem Ziel, Private Keys zu kompromittieren und Gelder abzuschöpfen. Die als 1.95.6 und 1.95.7 identifizierten Schadversionen waren am 2. Dezember 2024 kurzzeitig verfügbar, bevor sie schnell aus dem Verkehr gezogen wurden.
Es wird angenommen, dass die Angreifer durch Phishing-Techniken Zugang erlangt und erfolgreich Schadcode in die Bibliothek eingeschleust haben. Dieser Code war darauf ausgelegt, Private Keys an einen Server unter der Kontrolle der Angreifer zu exfiltrieren, der als sol-rpc[.]xyz identifiziert wurde und bezeichnenderweise erst wenige Tage vor dem Angriff registriert worden war. Der Cloud-Sicherheitsforscher Christophe Tafani-Dereeper entdeckte eine Backdoor-Funktion namens „addToQueue" innerhalb des Pakets, die gezielt auf schlüsselsensible Operationen abzielte.
Wie Nutzer sich schützen können
Als Reaktion auf den Angriff haben Solana Labs gemeinsam mit Sicherheitsexperten Empfehlungen für Entwickler herausgegeben, die möglicherweise von den kompromittierten Bibliotheksversionen betroffen sind. Dazu gehören die Durchführung gründlicher Audits der Abhängigkeiten, um jegliche Nutzung der Schadversionen zu identifizieren, die sofortige Aktualisierung auf die sichere Version 1.95.8 sowie die Rotation von Schlüsseln, bei denen eine Kompromittierung vermutet wird.
KI-Code-Vergiftung: Betrüger schleusen bösartigen Krypto-Code in KI-Trainingsdaten ein
Was ist passiert
Betrüger nehmen nun KI-Trainingsdaten ins Visier und betten bösartigen Krypto-Code ein, um Nutzer auszunutzen. In diesem Fall umfasste der Code das Senden eines Private Keys über eine von @OpenAI empfohlene API. Der Betrug wurde schnell ausgeführt, und die Vermögenswerte des Nutzers wurden innerhalb von 30 Minuten nach der Nutzung der API in die Wallet eines Diebes transferiert.
Wie Nutzer sich schützen können
Dieser Vorfall unterstreicht die kritische Notwendigkeit, beim Einsatz von KI-generiertem Code – insbesondere im Krypto-Bereich – Vorsicht walten zu lassen. Überprüfen Sie KI-Empfehlungen stets doppelt, um die Legitimität von Websites und APIs zu verifizieren, die von KI-Diensten vorgeschlagen werden. Wenn Sie mit neuen Tools oder Code experimentieren, verwenden Sie Test-Wallets mit minimalen Guthaben, um potenzielle Verluste bei Fehlern oder Schwachstellen zu begrenzen. Bleiben Sie außerdem über Betrugsmaschen informiert, indem Sie sich über gängige Taktiken und bekannte bösartige Seiten in der Krypto-Community auf dem Laufenden halten.
WallStreetBets X-Konto für 2,2 Millionen US-Dollar in Solana Meme Coins gehackt
Was ist passiert
Bei einem schwerwiegenden Angriff auf das X-Konto von WallStreetBets erbeuteten Hacker Meme Coins im Wert von über 2,2 Millionen US-Dollar auf der Solana-Blockchain. Der Exploit, der vom Blockchain-Detektiv ZachXBT identifiziert wurde, ließ sich auf eine Schwachstelle in der mobilen X-Anwendung zurückführen. Zu den gestohlenen Assets gehörten 1.430.000 PNUT-Token, 400.000 ZEREBRO-Token und 130.000 ALCH-Token. Die Hacker nutzten Passkeys, um die Kontrolle über das WallStreetBets-Konto zu behalten, selbst nachdem WallStreetBets ihnen den Zugang entzogen hatte.
Wie Nutzer sich schützen können
Wenn Sie in sozialen Medien auf Links stoßen, die für eine neue Token-Investition werben, nehmen Sie sich einen Moment Zeit, um die Legitimität zu prüfen, bevor Sie klicken. Diese Links können sehr verlockend sein und erhebliche Renditen sowie exklusive Möglichkeiten versprechen, früh einzusteigen – aber genau so werden Menschen kompromittiert. Überprüfen Sie, wohin diese Links führen, und führen Sie eine Due-Diligence-Prüfung durch, um die Legitimität des Versprochenen zu verifizieren.
LastPass-Datenschutzverstoß geht weiter: 5,36 Millionen US-Dollar aus 40 Wallets gestohlen, Gesamtverluste übersteigen 250 Millionen US-Dollar
Was ist passiert
ZachXBT hat einen bedeutenden Kryptowährungsdiebstahl aufgedeckt, der vom „LastPass-Bedrohungsakteur" orchestriert wurde und zu einem Verlust von rund 5,36 Millionen US-Dollar aus über 40 Opfer-Adressen geführt hat. Dieser Verstoß, der mit einem Vorfall vom Dezember 2022 in Verbindung steht, bei dem LastPass unbefugten Zugriff auf verschlüsselte Vault-Daten meldete, hat nun zu Gesamtverlusten von über 250 Millionen US-Dollar in Kryptowährungen beigetragen. Die Angreifer zielten gezielt auf Nutzer ab, die ihre Private Keys oder Secret Recovery Phrases (SRPs) in LastPass-Vaults gespeichert hatten, und nutzten dabei die Schwachstellen des zentralisierten Speichers aus.
Wie Nutzer sich schützen können
Regelmäßige Audits: Überprüfen Sie regelmäßig, wo und wie Ihre digitalen Assets gespeichert sind. Stellen Sie sicher, dass jede von Ihnen verwendete Speicherlösung den höchsten Sicherheitsstandards entspricht.
Sichere Aufbewahrung: Vermeiden Sie es, Private Keys oder SRPs in zentralisierten Passwort-Managern zu speichern. Erwägen Sie die Verwendung von Hardware Wallets oder anderen sicheren Offline-Speichermethoden für sensible Informationen.
Sofortiges Handeln: Wenn Sie LastPass zur Speicherung kryptobezogener Daten verwendet haben, erwägen Sie, Ihre Assets in eine neue Wallet zu transferieren und die Eigentümerschaft von Contracts oder Multisig-Wallets als Vorsichtsmaßnahme zu ändern.
Informiert bleiben: Folgen Sie renommierten Cybersicherheitsexperten und -plattformen, um über die neuesten Sicherheitsbedrohungen und Best Practices zum Schutz Ihrer Assets auf dem Laufenden zu bleiben.
MetaMasks Krypto-Sicherheitsbericht für Dezember 2024 behandelte KI-Code-Vergiftung, die auf Krypto-Entwickler durch manipulierte Trainingsdaten abzielt, die Lazarus Group, die gefälschte LinkedIn-Jobangebote nutzt, um 2 Millionen US-Dollar zu stehlen, einen Supply-Chain-Angriff auf Solanas @solana/web3.js-Bibliothek sowie LastPass-Verluste, die 250 Millionen US-Dollar übersteigen. Stöbern Sie in früheren Ausgaben des MetaMask Crypto Security Report für weitere Bedrohungen, Trends und Tipps, um im gesamten Ökosystem sicher zu bleiben.
