Digitaler Bankraub – rücken Krypto-ATM in den Fokus?

Organisierte Hacker haben in der Nacht vom 17. auf den 18. März Kryptowährungen im Wert von ca. 1,5 Millionen US-Dollar durch eine Sicherheitslücke in den Krypto-ATMs des Herstellers GENERALE BYTES unwiederbringlich erbeuten können. Krypto-ATMs bieten eine schnelle und einfache Möglichkeit, Kryptowährungen zu kaufen und zu verkaufen, sind jedoch gleichzeitig auch ein attraktives Ziel für Hacker. Bis dato waren die Krypto-ATMs weltweit ein beeindruckender Wachstumsmarkt. Die im jüngsten Fall gestohlenen 56 Bitcoin reihen sich jedoch in die Liste vergangener Verluste durch Sicherheitslücken von Krypto-ATMs ein. Sind Krypto-ATMs ein zukunftsfähiges Modell, das sich weiter verbreiten wird? 

von Jan-Michael Steiner, Capco

Ein Krypto-ATM, auch teilweise als Bitcoin-ATM bezeichnet, ist ein Automat, der es Einzelpersonen ermöglicht, Kryptowährungen gegen Bargeld oder (teilweise) andere Kryptowährungen zu tauschen. Krypto-ATMs erinnern optisch an traditionelle Bank-Geldautomaten. Einige Anbieter ermöglichen sowohl den Kauf als auch Verkauf von Kryptowährungen (bi-direktional). Bei einem Kauf von Bitcoin gibt der Nutzer zunächst seine persönliche Bitcoin-Adresse ein (z. B. durch das Einlesen eines Wallet-QR-Codes) und führt Bargeld in den Automaten ein. Nach Bestätigung wird die Kryptowährung auf das Wallet des Kunden übertragen. Folglich wird für die Nutzung von Krypto-ATMs lediglich eine Krypto-Wallet benötigt, die mit dem entsprechenden Betrag an Kryptowährung aufgeladen wird. Eines Bankkontos bedarf es nicht.

Krypto-ATMs werden in der Regel von Drittanbieter-Unternehmen betrieben und befinden sich oft in stark frequentierten Gebieten wie Einkaufszentren, Flughäfen und anderen öffentlichen Plätzen. Mit zunehmendem Interesse an Kryptowährungen und der Suche nach bequemen Möglichkeiten, diese zu kaufen und zu verkaufen, haben sie an Beliebtheit gewonnen. Sie bieten darüber hinaus einen zusätzlichen Schutz der Privatsphäre – da zumindest in den USA – die meisten Krypto-ATMs für Transaktionen unter 1.000 Dollar keinen Lichtbildausweis oder Adressangaben verlangen. In Deutschland benötigt man dafür zumeist eine (Vorab-)Verifizierung unter Vorlage eines Identitätsnachweises wie des Personalausweises oder Reisepasses.

Der zusätzliche Schutz der Privatsphäre, den Krypto-Geldautomaten bieten, ist jedoch durchaus zweischneidig: So lassen sich die Lösungen auch zu Zwecken der Geldwäsche einsetzen.”

Sie bieten die Möglichkeit, Bargeld in Kryptowährungen umzuwandeln, ohne ein traditionelles Finanzinstitut durchlaufen zu müssen, was es den Strafverfolgungsbehörden erschweren kann, die Quelle der Gelder zu identifizieren. Dies macht es Kriminellen leichter, die Herkunft ihrer illegalen Gelder zu verschleiern und sie anonym über Grenzen hinweg zu bewegen.

Um die Transaktionen am Krypto-ATM jederzeit und schnell abwickeln zu können, benötigt der Automatenbetreiber einen hohen Kryptowährungsbestand in sogenannten Hot Wallets, welche mit dem Internet verbunden und von überall zugreifbar sind – dies stellt Betreiber vor Herausforderungen.

Das Problem mit Hot Wallets

Krypto-ATMs verwenden Hot Wallets, um den Transaktionsprozess zu erleichtern und eine jederzeitige Auszahlung von Kryptowährungen zu ermöglichen. Dadurch werden sie zu einem bevorzugten Ziel für potenzielle Angreifer. Gelangt ein Angreifer in den Besitz der privaten Schlüssel, kann er von überall auf der Welt auf die Asset-Bestände zugreifen und diese transferieren. Im Umgang mit Hot Wallets bedarf es daher erhöhter Sicherheitsanforderungen und mehrschichtiger Genehmigungsprozesse (Quorum). Anbieter von Kryptodienstleistungen verwahren daher häufig einen Großteil ihrer AssetBestände in Cold Wallets, die physisch isoliert, also durch das Internet nicht erreichbar sind. Die Wahrscheinlichkeit, zum Ziel von Cyberangriffen zu werden, kann durch ein risikobasiertes Verwahrkonzept so bereits im Vorfeld reduziert werden.

GENERAL BYTES – Hack: Gefährliche Lücken

Im jüngsten Angriff auf ATMs der Firma GENERAL BYTES nutzten die Angreifer eine Zero-Day-Schwachstelle, um eine bösartige Java-Anwendung in das System des Krypto-ATM-Anbieters hochzuladen und auszuführen.

Die Schwachstelle ermöglichte den Angreifern Zugriff auf die Datenbanken, es gelang API-Schlüssel zu lesen und zu entschlüsseln, Geld aus Hot Wallets abzuheben, Benutzernamen und Passwort-Hashes herunterzuladen, die Zwei-Faktor-Authentifizierung zu deaktivieren und auf die Terminal-Ereignisprotokolle zuzugreifen, um die an den ATMs verwendeten Private Keys auszulesen.

Der Vorfall betraf sowohl Krypto-ATMs, die vom Unternehmen selbst betrieben wurden, als auch solche, die von Dritten betrieben wurden. Obwohl GENERAL BYTES in der Lage war, die Lücke innerhalb von 15 Stunden nach Bekanntwerden zu schließen, konnten die Verluste in Höhe von ca. 1,5 Millionen US-Dollar aufgrund der Natur von Kryptowährungen nicht rückgängig gemacht werden. Dem Unternehmen wurden bereits im August 2022 Kryptowährungen gestohlen, indem eine Schwachstelle im CAS ausgenutzt wurde.

Der jüngste Hack sowie der anhaltende Krypto-Bärenmarkt sind schwere Rückschläge für das Geschäftsmodell der Krypto-ATMs. Coin ATM Radar zeigt, dass die Betreiber in den letzten Monaten weltweit insgesamt über 5.000 Maschinen vom Netz genommen haben (https://coinatmradar.com/charts/net-growth/). Dennoch legt die stetig wachsende Bedeutung von Kryptowährungen und der Bedarf einfacher Möglichkeiten zum Kauf und Verkauf nahe, dass Krypto-ATMs auch zukünftig eine Rolle spielen werden. Es bleibt abzuwarten, wie die Branche auf die jüngsten Geschehnisse reagieren wird und ob es den Betreibern gelingt, ihren Kunden glaubhaft zu versichern, dass ihre Vermögenswerte bei der Nutzung von Krypto-ATMs sicher sind.

Bitcoin-Hack – Blaupause für Kriminelle?

Der Diebstahl von Kryptowährungen ist eine schnell wachsende Gefahr. Laut Berichten des Blockchain-Analyse-Unternehmens Chainalysis stieg der Wert gestohlener digitaler Token im Jahr 2022 auf 3,8 Milliarden US-Dollar, verglichen mit 500 Millionen US-Dollar zwei Jahre zuvor. Der jüngste Hack der Krypto-Geldautomaten von GENERAL BYTES erinnert daran, wie wichtig robuste Cybersicherheitsmaßnahmen im digitalen Zeitalter sind. Die Wirksamkeit der Sicherheitsvorteile der Blockchain-Technologie werden wertlos, wenn Sicherheitslücken in anderen Komponenten des Gesamtsystems vorhanden sind. So muss das Identitäts- und Zugangsmanagement gewährleisten, dass nur autorisierte Benutzer auf das Verwahrsystem zugreifen und Transaktionen anstoßen sowie genehmigen können. Der Schutz der Daten ist ebenfalls von entscheidender Bedeutung, um zu verhindern, dass diese manipuliert oder gestohlen werden können. Transaktionen zwischen Parteien und die Kommunikation zwischen Systemen müssen verschlüsselt und gesichert werden.

Software- und Systembestandteile sollten regelmäßigen Pentests unterzogen werden. Ein Plan zur Wiederherstellung im Katastrophenfall muss sicherstellen, dass die Daten auch im Falle eines Systemausfalls oder anderer unvorhergesehener Ereignisse sicher und zugänglich bleiben.”

Nach dem Hack im März gab GENERAL BYTES an, dass sie seit 2021 mehrere Sicherheitsprüfungen durchgeführt haben, bei denen diese Schwachstelle nicht festgestellt wurde. Sie kündigten jedoch auch an, in Zukunft verschiedene Prüfungen durch mehrere unabhängige Unternehmen vornehmen zu wollen.

Da die Bedeutung von Kryptowährungen weiter zunimmt, ist es entscheidend, dass sowohl Unternehmen als auch Einzelpersonen wachsam und proaktiv in Bezug auf die Sicherheit ihrer Vermögenswerte bleiben. Um solchen Ereignissen vorzubeugen, ist es entscheidend, bei der Ausgestaltung sicherheitsrelevanter Prozesse und Produkte alle involvierten Systeme sowohl ganzheitlich als auch separat zu betrachten und unter Umständen Lösungen und Services externer Unternehmen einzubeziehen. Für die breitere Akzeptanz von ATM-Lösungen ist es unerlässlich, vorhandene Bedenken zeitnah auszuräumen. Dabei liegt ein Augenmerk auf der Technologie, darüber hinaus ist davon auszugehen, dass Regulatoren in Zukunft engere Leitplanken hinsichtlich der Geldwäscheprävention setzen werdenJan-Michael Steiner, Capco