Glossar / Privatsphäre und Sicherheit
Angriff auf die Lieferkette
- Was ist ein Angriff auf die Lieferkette?
- Ein Angriff auf die Lieferkette erreicht Sie über etwas, dem Sie bereits vertrauen: das installierte Wallet-Update, die darin enthaltene Codebibliothek oder das Gerät, das ein Wiederverkäufer versandt hat.
Es gibt keinen Moment, in dem Sie einen Fehler machen, und genau das macht diese Kategorie schwer abzuwehren. Im November 2018 wurde ein weit verbreitetes npm-Paket namens event-stream an einen freiwilligen Maintainer übergeben, der Code hinzufügte, der gezielt auf eine Bitcoin-Wallet namens Copay zielte und dort speziell auf Seed-Phrasen, die mehr als 100 Bitcoin kontrollierten. Direkt zu kaufen und zu prüfen, was Sie installieren, sind die beiden Gewohnheiten, die wirklich helfen.
Wie es funktioniert
Ein Angriff auf die Lieferkette fügt Schadcode oder manipulierte Hardware vor der eigentlichen Übergabe an das Opfer ein, an einer Stelle, an der Vertrauen bereits gewährt wurde.
Die Abhängigkeit. Moderne Wallet-Software bezieht Hunderte Pakete von Drittanbietern. Im Fall von event-stream übertrug der ursprüngliche Autor, der die Pflege leid war, die Veröffentlichungsrechte an einen Fremden, der sich freiwillig meldete. Der neue Maintainer fügte eine harmlos wirkende Abhängigkeit hinzu und veröffentlichte dann eine Version, deren Schadcode nur innerhalb von Builds der Copay-Wallet von BitPay aktiv wurde, die Seed-Phrase entschlüsselte und sie weiterschickte. Die Copay-Versionen 5.0.2 bis 5.1.0 wurden damit ausgeliefert.
Der Vertriebskanal. Am 14. Dezember 2023 wurde das npm-Konto eines ehemaligen Ledger-Mitarbeiters per Phishing angegriffen und genutzt, um schädliche Versionen der Bibliothek Connect Kit von Ledger zu veröffentlichen. Mehrere Stunden lang lieferten Anwendungen, die sie von einem Content Delivery Network luden, den Nutzern einen Wallet-Drainer aus, der Überweisungen umleitete. Rund 600.000 Dollar wurden Personen entzogen, die eine vertraute Seite geöffnet und nichts Ungewöhnliches angeklickt hatten.
Die Hardware. Gefälschte oder mit einer vorbereiteten Seed-Phrase versehene Geräte, die über Angebote auf Marktplätzen und über Drittanbieter verkauft werden. Das Erkennungsmerkmal ist einfach und eindeutig: Eine echte Hardware-Wallet erzeugt ihre Wiederherstellungswörter bei der Einrichtung einmalig auf dem Gerät selbst. Alles, was mit bereits auf eine Karte gedruckten Wörtern ankommt oder mit der Anweisung, eine mitgelieferte Phrase einzugeben, ist ein Diebstahl-Set in guter Verpackung.
Der Build. Die Abwehr besteht hier in Reproduzierbarkeit. Bitcoin Core verwendet Guix seit Version 22.0 im September 2021 für bootstrappable, deterministische Builds, sodass unabhängige Mitwirkende die Version aus dem Quellcode kompilieren und das Ergebnis signieren. Stimmen ihre Bestätigungen überein, ist die Binärdatei auf der Downloadseite diejenige, die der veröffentlichte Quellcode erzeugt, und ein kompromittierter Build-Rechner kann sich nicht verstecken.
Wo Sie damit konfrontiert werden
Vier Stellen in einer normalen Bitcoin-Einrichtung sind einer Vertrauensentscheidung eines anderen nachgelagert.
Software-Downloads. Laden Sie Installationsprogramme von einer Seite herunter, die Sie selbst aufgerufen haben, und prüfen Sie dann die Signatur der Version, oder zumindest den Hash, gegen die eigenen Signaturschlüssel des Projekts. Wallet-Projekte veröffentlichen beides genau deshalb, damit dieser Schritt möglich ist.
Browser-Erweiterungen. Erweiterungen aktualisieren sich selbst still und wechseln leise den Eigentümer, daher verdient eine Erweiterung, die Schlüssel oder Adressen berührt, das Misstrauen, das Sie einer unsignierten ausführbaren Datei entgegenbringen würden.
Hardware-Käufe. Kaufen Sie im eigenen Shop des Herstellers oder bei einem namentlich genannten autorisierten Wiederverkäufer, niemals über ein Angebot auf einem Marktplatz, bei einer Auktion oder bei einem Verkäufer gebrauchter Geräte. Die Hardware-Wallet-Bewertungen auf dieser Website verlinken genau deshalb den offiziellen Shop für jedes Gerät.
Firmware und Updates. Aktualisieren Sie über die eigene Anwendung des Herstellers, von Ihnen angestoßen, und niemals über einen Link in einer E-Mail oder ein Popup, das behauptet, Ihr Gerät sei gefährdet.
Hinter allen vier steht die Kontrolle, die den Schaden begrenzt, wenn eine davon versagt: Bestätigen Sie die Zieladresse und den Betrag auf dem Bildschirm der Hardware-Wallet selbst, bevor Sie zustimmen. Ein kompromittierter Computer kann alles umschreiben, was er anzeigt, aber er kann nicht umschreiben, was ein separates Gerät Ihnen zeigt.
Angriff auf die Lieferkette vs. Clipboard-Malware
Clipboard-Malware ist eine Nutzlast; ein Angriff auf die Lieferkette ist ein Übertragungsweg, und beide werden so benannt, als wären sie Alternativen. Malware, die Adressen austauscht, kommt meist daher, dass etwas von der falschen Stelle heruntergeladen wurde, daher hilft die übliche Vorsicht bei Quellen dagegen. Ein Angriff auf die Lieferkette kommt in etwas, das genau von der richtigen Stelle heruntergeladen wurde, daher hilft Vorsicht bei Quellen nicht. Was beide besiegt, ist dieselbe Gewohnheit, weshalb sie wichtiger ist als das Wissen, woher ein bestimmter Code stammt: Prüfen Sie die Adresse auf dem signierenden Gerät, nicht auf dem Bildschirm, der Sie zum Signieren aufgefordert hat.