Glossar / Privatsphäre und Sicherheit
SIM-Swap
Auch bekannt als SIM-Swapping, SIM-Jacking, SIM Tausch.
- Was ist SIM-Swap?
- Bei einem SIM-Swap wird Ihre Telefonnummer auf die SIM-Karte eines Kriminellen übertragen, wodurch dieser jeden SMS-Code und jede Passwort-Zurücksetzung erhält, auf die Ihr Börsenkonto und Ihre E-Mail angewiesen sind.
Ihr Mobilfunkanbieter, nicht Ihre Kryptobörse, ist der schwache Punkt: Ein getäuschter oder bestochener Mitarbeiter kann eine Nummer in Minuten portieren. Das FBI verzeichnete 1.611 SIM-Swap-Beschwerden im Jahr 2021 mit Verlusten von über 68 Millionen Dollar, gegenüber 320 Beschwerden in den drei vorangegangenen Jahren zusammen. Wenn irgendein Konto, das Ihren Bitcoin berührt, per Textnachricht wiederhergestellt werden kann, ist Ihr Telefonanbieter faktisch Ihr Verwahrer.
Wie es funktioniert
Ein SIM-Swap ist eine Kundendiensttransaktion, ausgeführt von jemandem, der nicht der Kunde ist.
Angreifer beginnen mit Aufklärung. Geleakte Datenbanken liefern den Namen, die Adresse, das Geburtsdatum und die letzten vier Ziffern einer Karte. Soziale Medien liefern den Rest der wissensbasierten Antworten, die die Anbieter noch immer abfragen. Öffentliches Prahlen mit Kryptobeständen liefert das Motiv, weshalb jeder, der Portfolio-Screenshots veröffentlicht, irgendwo auf einer Liste steht.
Dann kommt die Portierung. Es gibt drei Wege, und alle drei sind noch in Gebrauch: mit einem überzeugenden gefälschten Ausweis in ein Ladengeschäft zu gehen, die Support-Hotline anzurufen und die Verifizierungsfragen zu bestehen oder einen Insider zu bezahlen. Strafverfahren in den USA haben wiederholt Mitarbeiter von Mobilfunkanbietern oder autorisierten Händlern betroffen, die ein paar hundert Dollar pro Swap nahmen, weshalb „mein Anbieter würde das nie tun“ kein Sicherheitsmodell ist.
In dem Moment, in dem die Nummer wechselt, verliert Ihr Smartphone den Dienst und das Telefon des Angreifers beginnt zu empfangen. Die Reihenfolge der Operationen, die folgt, ist immer ähnlich. Zuerst die E-Mail, weil die meisten Anbieter ein Zurücksetzen per SMS erlauben, und die E-Mail ist der Generalschlüssel zu allem anderen. Dann die Kryptobörse, wo ein Passwort-Reset plus ein SMS-Einmalcode oft ausreicht. Dann die Auszahlung, um drei Uhr morgens nach Ihrer Zeit.
SMS wurde nie für diese Aufgabe entwickelt, und die Standardisierungsgremien haben das auch so gesagt. Das NIST klassifiziert in seiner im Jahr 2017 veröffentlichten SP 800-63B Einmalcodes, die über das öffentliche Telefonnetz übermittelt werden, als „eingeschränkten“ Authenticator, was bedeutet, dass Implementierer das Risiko genau dieses Angriffs akzeptieren und offenlegen müssen.
Warum das beim Bitcoin-Kauf zählt
Jede große Kryptobörse, die diese Website bewertet, bietet etwas Besseres als SMS, und fast niemand aktiviert es.
Kraken unterstützt FIDO2-Sicherheitsschlüssel und eine Global Settings Lock, die Änderungen an den Sicherheits- und Auszahlungseinstellungen einfriert, bis Sie sie bewusst entsperren. Coinbase unterstützt Sicherheitsschlüssel und Passkeys. Binance, Bitstamp und Bitpanda unterstützen mindestens Codes aus Authenticator-Apps. Ein Hardware-Sicherheitsschlüssel ist der stärkste davon, weil er an die Domain der Website gebunden ist, was sowohl Phishing als auch SIM-Swapping abwehrt, und er kann nicht über eine Telefonleitung ausgelesen werden.
Der Schritt, den die Leute übersehen, ist der zweite. Eine Authenticator-App zu aktivieren hilft nicht, wenn das Konto trotzdem per SMS wiederhergestellt werden kann. Entfernen Sie daher die Telefonnummer als Wiederherstellungsmethode, nicht nur als Anmeldefaktor. Prüfen Sie die Seite zur Kontowiederherstellung, nicht die Zwei-Faktor-Seite.
Bitten Sie Ihren Anbieter um eine Portierungs-PIN oder eine Nummerntransfersperre. In den USA verlangen die im Jahr 2023 erlassenen FCC-Regeln von den Anbietern, Kunden zu authentifizieren, bevor eine Nummer portiert oder eine SIM geändert wird, und Sie zu benachrichtigen, wenn eines von beidem beantragt wird. Diese Benachrichtigung ist die Alarmglocke: Wenn Ihr Telefon ohne Grund den Dienst verliert, behandeln Sie es als laufenden Angriff und gehen Sie an einen Computer.
Dann gibt es den Teil, den keine Einstellung einer Kryptobörse beheben kann. Ein SIM-Swap kann nur Bitcoin erreichen, die ein Unternehmen für Sie hält. Bitcoin, die auf einer Hardware-Wallet liegen, haben keine Telefonnummer, keinen Kontowiederherstellungsablauf und keinen Support-Mitarbeiter, der überzeugt werden kann. Kaufen Sie bei einer Kryptobörse und zahlen Sie die Bitcoin dann aus. Diese eine Gewohnheit nimmt die gesamte Angriffsklasse vom Tisch, für alles außer Ihrem Handelsguthaben.
Terpin gegen Truglia, ein Telefonanruf über 24 Millionen Dollar
Der Fall von Michael Terpin ist der mit einem Papierpfad, und die Zahlen darin sind öffentliche Gerichtsakten.
Am 7. Januar 2018 übernahmen Angreifer Terpins Telefonnummer und leerten rund 24 Millionen Dollar in Kryptowährungen. Im Mai 2019 erließ ein Gericht in Kalifornien ein Urteil über 75,8 Millionen Dollar gegen Nicholas Truglia wegen des Diebstahls. Truglia wurde später auf Bundesebene strafrechtlich verfolgt und im Dezember 2022 zu 18 Monaten Gefängnis verurteilt und zur Zahlung von etwa 20,4 Millionen Dollar Wiedergutmachung verpflichtet. Terpin verklagte AT&T separat auf 224 Millionen Dollar mit der Begründung, ein Mitarbeiter des Anbieters selbst habe den Swap ermöglicht.
Lesen Sie das Ende aufmerksam, denn darin liegt die Lehre. Jahre des Rechtsstreits brachten Urteile hervor, keine Bitcoin. Eine Wiedergutmachungsanordnung ist eine Forderung gegen die Vermögenswerte, die eine verurteilte Person noch hat, und Bitcoin, die bewegt und vermischt wurden, sind nicht in diesem Haufen. Die Wiederherstellungsquote bei gestohlenen Kryptowährungen ist nicht die Wiederherstellungsquote bei einer gestohlenen Kreditkarte.
SIM-Swap vs. Phishing
Ein SIM-Swap und ein Phishing-Angriff enden beide damit, dass sich jemand anderes in Ihr Konto einloggt, und sie verlangen Unterschiedliches von Ihnen. Phishing braucht einen Fehler Ihrerseits: ein angeklickter Link, ein in das falsche Feld eingegebener Code, ein geglaubter falscher Support-Mitarbeiter. Ein SIM-Swap braucht überhaupt nichts von Ihnen und geschieht typischerweise, während Sie schlafen und Ihr Telefon mit dem Display nach unten auf dem Nachttisch liegt und kein Signal zeigt. Sensibilisierungsschulungen helfen beim ersten und sind gegen den zweiten nutzlos.
SIM-Swap vs. Zwei-Faktor-Authentifizierung
Die Zwei-Faktor-Authentifizierung ist die Verteidigung; ein SIM-Swap ist der Angriff, der eine schwache Version davon besiegt. Die drei gängigen Umsetzungen sind nicht gleichwertig. Codes per SMS hängen davon ab, dass ein Mitarbeiter eines Telefonunternehmens seine Arbeit tut, und sind hier das spezifische Ziel. Codes aus Authenticator-Apps liegen auf Ihrem Gerät und überstehen einen SIM-Swap, können aber trotzdem an eine überzeugende gefälschte Anmeldeseite weitergeleitet werden. Ein Hardware-Sicherheitsschlüssel signiert die tatsächliche Domain, mit der Sie sprechen, und widersteht daher beiden. Wenn Sie „2FA ist aktiviert“ als Antwort wählen, überspringen Sie die einzige Frage, die zählt, nämlich welche Art.