Zwei jüngste Vorfälle bei D’CENT und Trezor zeigen, dass die Sicherheit von Hardware-Wallets bestehen kann, während die umgebende Software, Dienstleister und Kundendaten neue Wege zu den Geldern der Nutzer eröffnen. D’CENT untersucht unautorisierte Transfers aus seiner App Wallet, während ein Angriff auf den Marketingdienstleister von Trezor 347.149 Kunden-E-Mail-Kontakte offenlegte. Keines der beiden Unternehmen hat eine Beeinträchtigung der Sicherheit seiner Hardware-Wallets gemeldet.
Warum das wichtig ist
Die Untersuchung von D’CENT konzentriert sich auf Nutzer, die Wiederherstellungsphrasen in seine Software-Wallet eingegeben und Transaktionen mit Versionen vor 8.1.0 signiert haben. Eine auf einem Hardware-Gerät erzeugte Phrase kann dieselben privaten Schlüssel an anderer Stelle wiederherstellen. Wird sie in eine Wallet auf dem Smartphone importiert, reicht das Risiko damit über die sichere Signierumgebung des Geräts hinaus. Potenziell betroffen sind Bitcoin, Ethereum, XRP Ledger, Tron und EVM-kompatible Netzwerke.
Der Vorfall bei Trezor zeigt einen anderen Angriffsweg. Angreifer nutzten eine Schwachstelle in der SAML-Single-Sign-on-Lösung des Marketingdienstleisters Brevo aus, exportierten Kontakte aus 43 Kundenkonten und verwendeten sechs Konten, um Phishing-E-Mails über eine vertrauenswürdige Infrastruktur zu versenden. Die von Trezor offengelegte Liste umfasste 347.149 Kontakte. Rund 2.500 Empfänger gelangten auf eine schädliche Domain, nachdem sie eine gefälschte Warnung vor einer Hardware-Schwachstelle erhalten hatten, die Sicherungskopien der Wallet anforderte.
Auswirkungen auf den Markt
Allein das Anklicken des Trezor-Links legte keine Gelder offen. Die Gefahr entstand, als Nutzer eine Wiederherstellungsphrase in die schädliche Anwendung eingaben und Angreifer dadurch Wallets an anderer Stelle rekonstruieren konnten. Auch D’CENT erklärte, dass beim Verbinden eines Hardware-Geräts mit seiner App normalerweise keine Phrase auf das Smartphone übertragen wird, beim manuellen Import jedoch schon.
Die Vorfälle erhöhen die Sicherheitsanforderungen an Anbieter von Self-Custody-Lösungen. Wallet-Unternehmen müssen nicht nur sichere Chips und Systeme zur Transaktionssignierung schützen, sondern auch Kundendatenbanken, Software-Abläufe und externe Dienstleister. Nutzern, die D’CENTs Kriterien erfüllen, wird empfohlen, die App zu aktualisieren, eine Wallet mit einer neuen Wiederherstellungsphrase zu erstellen und betroffene Vermögenswerte zu übertragen. Beide Fälle bekräftigen dieselbe Regel: Wiederherstellungsphrasen müssen offline bleiben und dürfen niemals in Software oder Phishing-Formulare eingegeben werden.
Häufig gestellte Fragen
-
Was geschah bei dem Vorfall mit der D’CENT-Wallet?
D’CENT untersucht unautorisierte Transfers aus seiner App Wallet. Im Fokus stehen Wallets, deren Wiederherstellungsphrasen in die App eingegeben wurden und die Transaktionen mit Versionen vor 8.1.0 signiert haben.
-
Wurde bei einem der Vorfälle eine Hardware-Wallet kompromittiert?
Weder D’CENT noch Trezor hat eine Beeinträchtigung der Sicherheit seiner Hardware-Wallet gemeldet. Die berichteten Risiken betrafen Software-Abläufe, Phishing und Infrastruktur von Drittanbietern.
-
Wie setzte der Trezor-Angriff Nutzer dem Phishing aus?
Angreifer drangen in den Marketingdienstleister Brevo von Trezor ein, exportierten 347.149 E-Mail-Kontakte und versendeten eine gefälschte Warnung vor einer Hardware-Schwachstelle über eine vertrauenswürdige E-Mail-Infrastruktur. Rund 2.500 Empfänger gelangten auf die schädliche Domain.
-
Warum ist die Eingabe einer Wiederherstellungsphrase in Software riskant?
Eine Wiederherstellungsphrase kann dieselben privaten Schlüssel auf einem anderen Gerät wiederherstellen. Wird sie in Software importiert oder in eine Phishing-Anwendung eingegeben, können Angreifer daher die Kontrolle erlangen, ohne die Hardware-Wallet überwinden zu müssen.
-
Welche Schritte werden betroffenen D’CENT-Nutzern empfohlen?
D’CENT empfiehlt Nutzern, die seine Kriterien erfüllen, die App zu aktualisieren, eine Wallet mit einer neuen Wiederherstellungsphrase zu erstellen und betroffene Vermögenswerte zu übertragen. Wiederherstellungsphrasen sollten offline bleiben und nicht in Software oder Phishing-Formulare eingegeben werden.
WuBlockchain
CoinTelegraph
Lookonchain