Glossar / Privatsphäre und Sicherheit
Phishing
- Was ist Phishing?
- Phishing ist eine gefälschte Nachricht oder Website, die so gestaltet ist, dass sie wie Ihre Börse, Ihre Wallet oder der Hersteller Ihrer Hardware-Wallet aussieht, damit Sie ein Passwort, einen Code oder Ihre Seed-Phrase herausgeben.
Krypto zahlt Phishern besser als Kartenbetrug, weil es keine Rückbuchung und keinen Kartenherausgeber gibt, den man anrufen kann. Der Kryptowährungs-Betrugsbericht des FBI für 2023 zählte mehr als 69.000 Beschwerden und Verluste über 5,6 Milliarden Dollar, und eine geleakte Kundendatei eines Hardware-Wallet-Herstellers brachte 272.853 Lieferadressen als Zielliste in Umlauf. Alles, was nach Ihren zwölf oder vierundzwanzig Wiederherstellungswörtern fragt, ist Diebstahl, ohne Ausnahme.
Wie es funktioniert
Phishing gegen Bitcoin-Halter hat vier Formen, und sie verlangen unterschiedliche Abwehrmaßnahmen.
Phishing auf Zugangsdaten kopiert eine Börsen-Anmeldeseite auf eine ähnlich aussehende Domain, die meist über eine Suchanzeige, eine gefälschte E-Mail mit dem Hinweis auf eine „ungewöhnliche Anmeldung“ oder eine falsch getippte URL erreicht wird. Die moderne Variante ist eine Live-Weiterleitung: Alles, was Sie eingeben, einschließlich des Codes aus Ihrer Authenticator-App, wird innerhalb von Sekunden an die echte Website weitergeleitet, der korrekte sechsstellige Code beweist also nichts. Nur ein Hardware-Sicherheitsschlüssel übersteht das, weil der Schlüssel die Domain signiert, mit der er tatsächlich spricht, und für eine ähnlich aussehende Seite einfach nichts Verwertbares erzeugt.
Phishing auf die Seed-Phrase überspringt das Konto und zielt auf die Wallet. Es kommt als Formular zur „Wallet-Validierung“, als gefälschtes Firmware-Update, als Support-Mitarbeiter, der „Ihr Gerät synchronisieren“ muss, oder als Browser-Popup, das behauptet, Ihre Bestände seien gefährdet. Die Wiederherstellungswörter sind die Wallet: BIP39 verwandelt diese zwölf oder vierundzwanzig Wörter in jeden privaten Schlüssel, den Sie jemals halten werden, wer sie also liest, kann Ihre gesamte Wallet auf seinem eigenen Rechner wiederherstellen und sie in Ruhe leeren. Kein Hersteller, keine Börse und kein Support-Team hat jemals einen legitimen Grund, sie zu sehen.
Phishing auf Signaturen verlangt von Ihnen, etwas zu genehmigen, das Sie nicht lesen können. Das ist überwiegend ein Ethereum-Problem, wo eine einzige Signatur eine unbegrenzte Ausgabebefugnis für einen Token erteilen kann, doch Bitcoin-Nutzer begegnen einer Variante davon, wenn sie eine unbekannte teilweise signierte Transaktion oder eine beliebige Nachricht signieren sollen.
Vorgetäuschter Support geht in Social Engineering über: eine Antwort auf X oder Telegram von einem Konto mit dem richtigen Logo, die innerhalb von Minuten erscheint, nachdem Sie ein Problem öffentlich geschildert haben. Echter Support meldet sich nie zuerst bei Ihnen.
Warum das beim Bitcoin-Kauf zählt
Die Abwehrmaßnahmen, die Phishing tatsächlich stoppen, sind Konfigurationsentscheidungen, die Sie einmal treffen, nicht eine Wachsamkeit, die Sie dauerhaft aufrechterhalten.
Erreichen Sie Ihre Börse jedes Mal auf demselben Weg. Speichern Sie die Domain als Lesezeichen und nutzen Sie nur dieses Lesezeichen, niemals ein Suchergebnis und niemals einen Link in einer E-Mail. Unsere Bewertungsseiten nennen die offizielle Website für jede der 24 Börsen, die diese Website behandelt, womit Sie eine URL an einer zweiten Stelle abgleichen können.
Versehen Sie das Konto mit einem Hardware-Sicherheitsschlüssel. Kraken und Coinbase unterstützen beide FIDO2-Schlüssel, und sie sind der eine Faktor, den ein Echtzeit-Weiterleitungsangriff nicht weiterreichen kann. Ist ein Schlüssel keine Option, ist eine Authenticator-App immer noch besser als Textnachrichten.
Aktivieren Sie eine Positivliste für Auszahlungsadressen, damit eine gestohlene Sitzung kein Ziel erfinden kann.
Behandeln Sie die Wiederherstellungswörter als einmalig niedergeschrieben. Sie kommen während der Einrichtung auf Papier oder Metall und werden nie in ein Smartphone, einen Computer, ein Foto, einen Passwort-Manager oder ein Formular eingetippt. Eine Hardware-Wallet fragt sie während der Einrichtung oder Wiederherstellung auf ihrem eigenen Bildschirm ab, zu keinem anderen Zeitpunkt. Fragt irgendeine Software danach, ist diese Software feindselig, so überzeugend das Logo auch sein mag.
Schließlich gilt: Werden Sie langsam bei allem, was mit einer Frist eintrifft. Dringlichkeit ist die eine Zutat, die jede Phishing-Nachricht teilt, denn wer Zeit hat, die Adressleiste zu prüfen, wird kein Opfer mehr.
Die Ledger-Kundenliste, Jahre später noch ausgewertet
Im Juli 2020 gab Ledger bekannt, dass seine E-Commerce- und Marketing-Datenbank kompromittiert worden war, wodurch rund eine Million E-Mail-Adressen sowie ein kleinerer Satz detaillierter Kundendatensätze offengelegt wurde.
Im Dezember 2020 wurde der vollständige Datensatz offen veröffentlicht: 272.853 Bestelldatensätze mit Namen, Telefonnummern und physischen Lieferadressen von Personen, die eine Hardware-Wallet gekauft hatten. Das ist eine Liste von Haushalten, von denen bekannt ist, dass sie Kryptowährungen halten, samt ihrer Wohnorte.
Was danach geschah, ist der Grund, warum diese Seite den Vorfall nennt. Opfer erhielten noch Jahre später Phishing-E-Mails und -Textnachrichten im Stil von Ledger-Sicherheitshinweisen. Im Jahr 2021 erhielten einige Pakete mit gefälschten Ledger-Geräten, dazu eine Notiz, die behauptete, das Original werde aus Sicherheitsgründen ersetzt, und Anweisungen, die vorhandene Wiederherstellungsphrase in die neue Hardware einzugeben. Andere erhielten Erpressernachrichten, die ihre Wohnadresse nannten.
Die Lehre gilt über ein einzelnes Unternehmen hinaus. Daten aus den Marketing-Systemen eines Anbieters genügen, um Phishing persönlich und glaubwürdig zu machen, und sie verfallen nicht. Gehen Sie davon aus, dass ein Unternehmen, von dem Sie Bitcoin-Hardware oder -Dienstleistungen gekauft haben, Ihre Daten irgendwann preisgeben wird, und richten Sie alles so ein, dass dieses Leck peinlich statt teuer ist.
Phishing vs. Social Engineering
Phishing ist eine Technik innerhalb der weiter gefassten Praxis des Social Engineering. Social Engineering bezeichnet jeden Angriff, der einen Menschen dazu bringt, gegen sein eigenes Interesse zu handeln; Phishing ist die massenhaft versandte, nachrichtenbasierte Variante davon, verschickt an Tausende Menschen in der Hoffnung, dass ein Bruchteil reagiert. Der Unterschied zählt bei der Wahl der Abwehrmaßnahmen. Phishing lässt sich weitgehend mit Technik lösen, denn Sicherheitsschlüssel, Lesezeichen und Positivlisten funktionieren, ob Sie aufmerksam sind oder nicht. Weiter gefasstes Social Engineering, besonders ein auf Sie zugeschnittener Telefonanruf, braucht stattdessen Verfahrensregeln: Verschieben Sie niemals Guthaben, weil ein eingehender Kontakt Sie darum gebeten hat.
Phishing vs. Betrugsmasche namens „Pig Butchering“
Phishing will einen Zugang innerhalb der nächsten sechzig Sekunden; die Betrugsmasche namens „Pig Butchering“ will eine Beziehung über die nächsten sechs Monate. Eine Phishing-Nachricht täuscht einen Dienst vor, den Sie bereits nutzen, und ist darauf ausgelegt, sofort befolgt zu werden, bevor Sie nachdenken. Die Betrugsmasche namens „Pig Butchering“ baut über Wochen gewöhnlicher Gespräche Vertrauen auf und führt dann eine Investmentplattform ein, die gefälschte Gewinne zeigt und eine frühe Auszahlung erlaubt, um zu beweisen, dass sie funktioniert. Die Verluste aus der zweiten Variante sind in der Regel weit höher, weil das Opfer sie freiwillig finanziert, wiederholt und mit Geld, das es erst beschafft hat.