Ledger Leaks – Wie sieht der Datenschutz in der Zukunft aus? | von Lukas Wiesflecker | Die Hauptstadt | Jan. 2021
Seit die Ledger-Datenbank durchgesickert ist, ist das glückliche Fischen für Benutzer an der Tagesordnung.
Immer mehr Bitcoiner haben unerwünschte Anrufe aus Großbritannien, Österreich, Brasilien oder Deutschland erhalten. Dies ist eine der unangenehmen Folgen des Ledger-Lecks, in dem die privaten Daten von 270.000 Bitcoin-Benutzern veröffentlicht wurden. Wir haben gefragt, wie stark die deutsche Kryptoszene betroffen ist – und darüber spekuliert, wie es hätte passieren können.
Spam-E-Mails gehören mittlerweile zum Alltag. Wenn Sie Ihre eigene E-Mail-Adresse nicht selbst im Internet veröffentlicht haben, gab es sicherlich einen Hack Ihres Anbieters oder eines Shops, in dem Sie sie eingereicht haben. Daher haben die meisten Internetnutzer gelernt, E-Mails zu löschen, wenn sie ankündigen, dass man viel Geld gewonnen hat, bei einer Transaktion helfen sollte oder beim Anschauen von schmutzigen Pornos erwischt wurde.
Der Ledger-Hack im letzten Jahr brachte das Spiel jedoch auf ein neues Level. Im vergangenen Sommer wurde die Kundendatenbank des französischen Hardware-Wallet-Herstellers gehackt. Es waren nicht nur die E-Mail-Adressen von rund 270.000 Kunden, sondern auch deren Postanschrift und Telefonnummer.
Kurz vor Weihnachten haben die Hacker diese Datenbank nun in einem Darknet-Forum "abgeladen", d. H. Einfach so veröffentlicht. Warum sie das getan haben, ist immer noch ein Rätsel. Tatsache ist jedoch, dass Kriminelle und Hacker mit diesem Schritt Zugriff auf die privaten Daten von rund 270.000 Besitzern von Bitcoins und anderen Kryptowährungen erhielten.
Die Ledger-Brieftasche ist billig und äußerst beliebt, weshalb fast jeder, der sich mit Bitcoins und anderen Kryptowährungen befasst, eine besitzt. Nach einer kurzen Fanfare in der deutschen Kryptoszene auf Twitter haben mich innerhalb weniger Stunden etwa 20 Personen kontaktiert, die von dem Hack betroffen waren. Ich kenne weitere 5 Leute, und in einem Thread im Coinforum sprechen sich auch zahlreiche Opfer aus. Dies ist wahrscheinlich nur die Spitze des Eisbergs. Fast jeder besitzt eine Ledger-Brieftasche.
Von denen, die eine Geldbörse haben, sind die meisten, aber nicht alle betroffen. Es ist nicht genau bekannt, warum dies der Fall ist. Es gibt Spekulationen, dass dies mit dem Zeitpunkt des Kaufs zu tun hat. Ich kenne zum Beispiel Leute, die 2017 oder 2018 ein Hauptbuch gekauft haben, ohne nach dem Leck belästigt zu werden. Soweit ich weiß, sind die veröffentlichten Datenbanken jedoch vollständig, sodass diese Erklärung wenig Sinn macht. Vielleicht ist es nur Zufall? Pech und Glück?
Im Sommer ging eine ausgefeilte Phishing-E-Mail auf den Markt: Angeblich informierte Ledger über einen Sicherheitsvorfall und forderte den Benutzer auf, eine neue Version der Brieftasche herunterzuladen. Die Post war gut gefälscht. Nur ein Blick auf den Absender zeigte, dass er nicht von "ledger.com", sondern von "legder.com" stammte.
Seit der Veröffentlichung der Daten hat sich die Häufigkeit dieser E-Mails vervielfacht: Fluten von Spam-Mails mit Angeboten von Kryptowährungen, Lotteriegewinnen, reichen Erben, Königinnen aus Nigeria usw. Diejenigen, die eine Hauptbuchmappe haben, haben hoffentlich einen guten Spamfilter.
Gefährlicher sind jedoch die E-Mails, die vorgeben, von Ledger zu stammen, und die auch das Sicherheitsbedürfnis des Benutzers gegen ihn richten: Betrüger kopieren E-Mails, die Ledger tatsächlich gesendet hat, ändern jedoch natürlich einen Link in ihnen. oder sie informieren den Benutzer über nicht autorisierte Anmeldungen oder ausgehende Transaktionen. Und natürlich versuchen Hacker auch, in die E-Mail-Konten der Benutzer zu gelangen. Eine betroffene Person erzählte mir, dass seit Veröffentlichung der Daten jede Woche 100 Versuche unternommen wurden, sein E-Mail-Passwort zu erraten.
Aber die Mails selbst sind nur die am wenigsten bösen. "Was es natürlich unangenehmer machte, war, dass ich nicht nur E-Mails, sondern auch Textnachrichten und vor allem Telefonanrufe erhielt", sagt eine Person, die von dem Leck betroffen war. Er erhielt mehrere Textnachrichten, in denen er beispielsweise den Start von „Ledger DeFi“ und vielversprechende LGR-Token, Informationen zu nicht autorisierten Anmeldungen und eine Warnung zu Bitcoins, die vom Ledger-Konto abgebucht wurden, ankündigte.
Am besorgniserregendsten waren jedoch die folgenden Anrufe. "Es geht etwas tiefer, wenn du plötzlich mit einer realen Person sprichst." Die Anrufe kamen von Festnetztelefonen in Bonn und Berlin. "Ich wollte wissen, was dahinter steckt, und stellte Fragen, ohne selbst etwas zu bestätigen, weder meinen Namen noch, dass ich etwas mit Kryptowährungen zu tun hatte." Aber er fand nur heraus, dass die Anrufer vorgaben, jemand von einer Handelsbörse zu sein; Als sie merkten, dass sie nirgendwo hinkommen würden, legten sie schnell auf.
Eine der überraschendsten Facetten der Ledger-Hacks ist, wie viele kriminelle Organisationen die Daten zu nutzen scheinen. In der kurzen Umfrage habe ich zum Beispiel erfahren, dass Anrufe auch die meisten Betroffenen belästigen, jedoch von vielen verschiedenen Telefonnummern: Mobiltelefonnummern aus Deutschland, Festnetznummern aus Österreich, oft aus Großbritannien, manchmal aus Brasilien und manchmal aus Spanien . Einige Anrufer geben vor, eine Handelsplattform zu sein, wie im obigen Fall. Andere legen sofort nach der Antwort auf, als ob sie überprüfen möchten, ob die Nummer aktiv ist. Die Häufigkeit der Anrufe ist sehr unterschiedlich: Einige melden mehr als 10 Anrufe pro Tag, andere nur wenige Anrufe insgesamt.
Die meisten mir bekannten Bitcoiner streichen solche Anrufe sofort ab, wenn sie überhaupt antworten. Ich habe also keine Informationen darüber, welches Geschäftsmodell hinter den Anrufen steckt. Möglicherweise versuchen sie, die Kontonummer der betroffenen Person zu ermitteln, um Geld per Lastschrift abzuheben.
Ich habe auch einen Bericht über eine Textnachricht, die sich auf ein Abonnement bezieht, das abgeschlossen wurde, und möglicherweise versucht, eines zu erhalten, um eine Zahlungserfassung zu ermöglichen. Dies ist bisher nur einmal vorgekommen, was wiederum auf die vielen Facetten der Datennutzung hinweist.
Für viele Bitcoiner werden diese Anrufe und E-Mails langsam zu einem Ärgernis. Einige haben eine neue Handynummer erworben. Andere denken darüber nach, geben aber nur ungern die vertraute Nummer auf und befürchten, dass alte Bekannte sie nicht mehr erreichen. In einigen Fällen ist es einfach, die Telefonnummern zu blockieren, die Sie stören. In anderen gibt es so viele, dass man kaum mithalten kann.
Viele haben neue E-Mail-Konten eingerichtet. Einige sind nur genervt, andere ein wenig verängstigt und sorgen sich zum Beispiel um Sim-Swaps. Nicht jeder ist ein Sicherheitsexperte, aber nachdem das Hauptbuch durchgesickert ist, hat jeder Grund zur Sorge um seine Sicherheit.
Sim-Swaps werden zunehmend im englischsprachigen Reddit-Forum r / ledgerwalletleaks diskutiert. In diesem Fall versucht der Angreifer, die SIM-Karte für die Telefonnummer beim Mobilfunkanbieter ersetzen zu lassen, damit er SMS mit der Nummer empfangen und senden kann. Die Kenntnis des Namens und der Postanschrift ist natürlich ein großer Vorteil, wenn Sie sich als jemand anderes ausgeben. Ein Sim-Swap kann schwerwiegende Folgen haben, wenn eine 2-Faktor-Autorisierung per SMS verwendet wird, um sich bei Banken und Börsen anzumelden.
Bei Reddit wird empfohlen, eine PIN vom Mobilfunkanbieter zu erhalten, die für alle Änderungen der SIM-Karte erforderlich ist. Bisher scheint es relativ wenige Sim-Swaps von Ledger-Besitzern zu geben, obwohl einige auf Reddit erwähnt werden.
Aber hinter den Sim-Swaps lauert eine weitere Bedrohung, die noch gruseliger ist: „Ein weiteres Problem ist die Angst vor echten Angriffen, da auch die Privatadresse durchgesickert ist“, schrieb mir jemand. „Hier schaue ich immer noch, wie ich mich und die Familie am besten schützen kann. Auch wenn die Wahrscheinlichkeit nicht sehr hoch ist. “ In ähnlicher Weise schrieb eine andere Person: „Ich mache mir viel mehr Sorgen [als die E-Mails] darüber, dass meine Adresse ebenfalls enthalten ist. Mit der Familie sind es eher Kopfschmerzen. "
Mails sind aus englischsprachigen Foren bekannt, in denen die Postanschrift angegeben ist, und es wird gedroht, einen unangenehmen Besuch zu erhalten, wenn man einen bestimmten Betrag nicht in Bitcoin bezahlt. Solche Mails weisen nicht unbedingt auf eine echte Gefahr hin, sind aber sehr besorgniserregend.
Bisher ist mir nicht bekannt, dass jemand in der deutschen Bitcoin-Szene wegen des Ledger-Hacks mit Gewalt bedroht ist. Mein oben genannter Gesprächspartner ist darüber nicht sehr besorgt: „Die Datenbank enthält mehr als 200.000 Namen, und nicht jeder von ihnen ist automatisch reich. Wenn jemand wirklich kriminell genug ist, um zu jemandem nach Hause zu gehen, kann er direkt in eine Nachbarschaft gehen, in der reiche Leute leben. Ich denke, eine SMS wird schnell gesendet, aber ein Besuch – es gibt viel mehr Hemmungen. "
Betrugsanrufe und Spam-E-Mails werden natürlich noch unangenehmer, wenn Sie wissen, dass diejenigen, die versuchen, Sie abzureißen, auch wissen, wo Sie leben. Jeder, der seit der Bestellung eines Hauptbuchs umgezogen ist, wird sich wahrscheinlich sicherer fühlen.
Viele Leute fragen zu Recht, wie das passieren könnte. Es ist genau ein Unternehmen wie Ledger, das Hardware-Portemonnaies herstellt, die die privaten Schlüssel um jeden Preis vom Internet trennen – genau das ist ein so gehacktes Unternehmen. Genau in einem solchen Unternehmen erfassen die Hacker eine Datenbank mit den vollständigen Kundendaten. Wer, wenn nicht Ledger, sollte wissen, wie er sich vor einem solchen Vorfall schützen kann?
Jeder, der ein wenig über das Thema nachdenkt, kann sich Dutzende von Möglichkeiten vorstellen, wie dies hätte verhindert werden können: Ledger könnte die privaten Daten nach der Lieferung löschen. Es gibt keinen Grund, warum das Unternehmen die Adresse und Telefonnummer jetzt noch benötigen würde – falls dies jemals der Fall sein sollte. Und wenn die Aufsichtsbehörde oder das Finanzamt Ledger zwingt, die Adressen zu behalten, warum werden sie dann nicht offline gespeichert, wie die privaten Schlüssel von Bitcoins? Oder warum verschlüsselt Ledger sie nicht mindestens so, dass der zum Entschlüsseln erforderliche Schlüssel offline ist?
Das französische Unternehmen warnt seine Kunden vor Phishing-E-Mails und dokumentiert bekannte Spam-Kampagnen. Nachdem der Hack anfangs defensiv war und hoffte, dass er nicht so viel Staub aufwirbelt, beginnt er nun, transparenter zu handeln. Es entschuldigt sich bei den Kunden, weist darauf hin, dass der Samen niemals irgendwo eingegeben werden darf, und warnt vor Mails, die aussehen, als stammten sie aus dem Hauptbuch.
Soweit ich weiß, hat das Unternehmen jedoch noch nicht erklärt, wie es dazu kommen kann, dass sich alle Daten in einer mit dem Netzwerk verbundenen Datenbank befinden. Dies kann daran liegen, dass Ledger keinen eigenen Shop verwendet, sondern den Drittanbieter Shopify. Im vergangenen Jahr haben zwei Shopify-Mitarbeiter die Kundendaten von 200 Online-Händlern gestohlen.
Dies führt zu einer etwas ironischen, tragischen Situation. Der Hersteller von Hardware-Geldbörsen, die private Schlüssel um jeden Preis vom Internet und anderen Parteien fernhalten, vertraut die privaten Daten seiner Kunden einem unsicheren Dritten an. "Ich denke, das Problem war", sagt einer der Beteiligten, "dass Ledger sich als Online-Shop sah, der etwas verkaufte, und nicht als Bank." Banken schützen sowohl Kundendaten als auch Geldmittel, daher sollte ein Einzelhändler für Hardware-Geldbörsen dasselbe tun. “
Die Ledger-Lecks könnten eine Warnung für die gesamte Branche sein, Kundendaten nicht mehr wie andere Online-Shops zu behandeln. "Auch andere Anbieter wie ColdCard reagieren darauf. Sie kommen aus Kanada. Sie müssen zum Beispiel die E-Mail-Adresse behalten, werden aber in Zukunft die Postanschriften und Telefonnummern schnell löschen. Aber die Tatsache, dass sie es jetzt nur tun, zeigt mir, dass es ihnen genauso passieren könnte wie Ledger. “ Vielleicht haben die Lecks etwas Gutes – was für die Betroffenen kaum ein Trost ist.
Ich teile in einem Monat intimere Gedanken Newsletter, den Sie hier lesen können. Bitte lassen Sie es mich in einem Kommentar wissen und besuchen Sie mich auf verschiedenen Social-Media-Plattformen:
Twitter ● Instagram ● Facebook ● Snapchat ● LinkedIn
Was auch immer Sie tun, tun Sie es mit Liebe und Leidenschaft!
