Krypto-Diebe erbeuten knapp eine Milliarde Dollar in nur 6 Monaten

Dezentralisierte Finanzprojekte (DeFi) haben im vergangenen halben Jahr erhebliche Verluste verzeichnet. Das geht aus einer Datenanalyse von tradingplatforms.com hervor. Die Website schätzt, dass Defi-Projekte in diesem Zeitraum Krypto-Werte im Umfang von etwa einer Milliarde US-Dollar verloren haben.

Aktuelle Marktdaten von Defiyield (Website) beziffern die kumulierten Diebstähle bei Defi-Projekten auf rund 2,5 Milliarden US-Dollar. Bis Anfang September 2021 hatte die Summe bei 1,45 Mrd. Dollar gelegen. Dementsprechend sind allein in den vergangenen sechs Monaten fast eine Milliarde US-Dollar hinzugekommen. Offensichtlich haben die Krypto-Marktplätze und Online-Wallets noch immer mit erheblichen Sicherheitsproblemen zu kämpfen.

Die größten Krypto-Exploits der letzten Monate

In den von tradingplatforms.com erfassten Zeitraum fallen auch einige der größten Krypto-Raubüberfälle der jüngeren Geschichte. Der prominenteste und aktuellste ist der Wormhole-Hack, bei dem 320 Millionen Dollar erbeutet wurde. Wormhole ist eine Cross-Chain-Brücke, die die Solana-Blockchain mit anderen in der Defi-Szene verbindet.

Sprecher des Wormhole-Projekts gaben an, die Angreifer hätten eine Schwachstelle im Signaturüberprüfungssystem ausgenutzt. So konnten sie 120.000 Ether-Token von der Plattform abziehen. Wormhole hat den Fehler inzwischen behoben und die verlorenen Gelder wiederhergestellt. Obwohl die Plattform eine Belohnung von 10 Millionen Dollar auf sachdienliche Hinweise ausgesetzt hat, sind die Täter bis heute unbekannt.

Ein weiterer großer Hack in diesem Jahr betraf die Qubit-Finanzplattform. Beim Überfall vom 27. Januar 2022 stahlen Hacker Krypto-Werte im Umfang von 80 Millionen US-Dollar. Sie taten dies, indem sie einen Fehler in der Smart-Contract-Implementierung von Qubit ausnutzten.

Der bislang größte Hack ist allerdings nicht Teil der Statistik. Im vergangenen August konnte ein Hacker insgesamt 610 Millionen US-Dollar in verschiedenen Krypto-Währungen bei Poly Network erbeuten. Dieser Fall lag nicht nur außerhalb des betrachteten Zeitraums – es entstand auch kein Schaden, denn die Krypto-Assets wurden vollständig zurückgegeben. Der Angreifer wollte nach eigenen Angaben lediglich die Verwundbarkeit der Plattform demonstrieren, nachdem vorangegangene Hinweise nicht ernstgenommen worden waren.

Noch mehr Krypto-Wallets ausgeräumt

Drei ähnliche Ereignisse wie die Wormhole- und Qubit-Hacks dominieren die letzten drei Monate des Jahres 2021. Ganz oben auf der Liste steht der BitMart-Exploit vom 4. Dezember 2021. Bei diesem Exploit verlor die Börse laut einem Perkshield-Bericht bis zu 196 Millionen US-Dollar. BitMart erlitt die Verluste durch unbefugten Zugriff auf eine seiner Hot Wallets. Laut Perkshield seien 100 Millionen Dollar aus der Ethereum-Brieftasche und weitere 96 Millionen Dollar aus der Binance Smart Chain entwendet worden.

Andere Hacks etwa zur gleichen Zeit betrafen Vulcan Forged und BadgerDao. Im ersten Fall waren 148 Wallets betroffen, die Cyberkriminellen erbeuteten dabei rund 140 Millionen US-Dollar. Im zweiten Fall musste ein Verlust von 120 Millionen US-Dollar hingenommen werden, nachdem Angreifer die Website mit einem bösartigen Skript infiziert hatten. Dadurch konnten sie Transaktionen abfangen und in Wallets ihrer Wahl umleiten.

DeFi ist ein schnelllebiges und hochinnovatives Ökosystem für Finanzdienstleistungen. Investoren investieren hier Gelder in Projekte, die nicht unbedingt stabil oder ordnungsgemäß geprüft sind. Kriminelle finden immer wieder Gelegenheiten, aus solchen Situationen Kapital zu schlagen.“

Edith M. Reads von tradingplatforms.com

Krypto-Kriminalität hat viele Facetten

Diebstahl von Krypto-Assets tritt in vielen unterschiedlichen Formen auf. Am häufigsten sind jedoch Smart-Contract-Hacks, Phishing-Betrug und Flash-Loan-Angriffe. Smart-Contract-Hacks basieren in der Regel auf fehlerhaften Implementierungen, also auf Fehlern im Code eines Smart Contracts oder in der App eines dezentralisierten Finanzprojekts (dApp, decentralized Application). Auf diesem Weg fallen den Hackern Gelder des DeFi-Projekts in die Hände.

Beim Phishing gibt man sich als authentische Entität aus, um Menschen dazu zu bringen, ihnen persönliche Informationen zu geben. Dazu gehören ihre privaten Schlüssel und insbesondere die Wallet-Informationen. Die betroffenen werden über E-Mails, Telefonanrufe und Links zu gefälschten Websites angesprochen, häufig unter Verwendung von Spoofing-Techniken, um sie legitim aussehen zu lassen.

Diebe können auch auf Blockchain basierende Blitz-Kredite angreifen, um Gelder aus anfälligen Verträgen zu stehlen. Sie nutzen bei diesen sogenannten Flash-Loan-Attacken Sicherheitslücken im Code von Smart Contracts, die es ihnen ermöglichen, mehr Geld zu leihen, als sie als Sicherheit hinterlegt haben.

Die Plattform tradingplatforms.com kommt zum Schluss, dass Angreifer in der Regel auf Börsen mit kleineren Benutzerbasen und einer weniger sicheren Infrastruktur abzielen. Hier sei die Wahrscheinlichkeit am größten, dass der Angriff erst bemerkt wird, wenn es bereits zu spät ist. hj