Interview
Beim Hackerangriff auf die Kryptobörse Binance geht es um Digitalwährungen in Milliardenhöhe. Cybersicherheitsexperte Mirko Ross erklärt, warum die Spur nach Nordkorea führt und was Anleger beachten sollten.
ARD-Finanzredaktion: Binance – die größte Kryptobörse – spricht von einem Sicherheitsvorfall mit einem geschätzten Gesamtschaden von 6,3 Milliarden Dollar. Was ist nach bisherigen Informationen passiert?
Mirko Ross: Was wir wissen ist, dass in der vergangenen Nacht massiv Kryptowährungen von Binance abgezogen wurden. Die wurden überwiesen an andere Adressen, und – sofern man jetzt den ersten Meldungen und Berichten glauben kann – war der Angriff von Staatshackern aus Nordkorea. Man konnte einen Teil jetzt einfrieren bei den jeweiligen Adressen. Aber drei Milliarden sind wohl definitiv weg.
Zur Person
Mirko Ross ist Gründer und CEO von asvin, einer Firma die auf Cyber-Risikomanagement spezialisiert ist. Als Jugendlicher war er selbst als Hacker aktiv, bevor er in den Bereich Cybersicherheit wechselte. Er arbeitete in zahlreichen Beratungsgremien der EU-Kommission, Bundesbehörden und dem Bundestag mit.
Mitarbeiter-Laptop als Einfallstor für Hacker?
ARD-Finanzredaktion: Das Unternehmen selbst hat auf der Online-Plattform X behauptet, der Angriff könnte über den Laptop eines IT-Mitarbeiters erfolgt sein. Wie muss man sich das vorstellen?
Ross: Erstmal ist es so, dass natürlich bei so einer Kryptobörse wie Binance nicht einfach große Werte von den Binance-Wallets – also deren Schatzkiste quasi – übertragen werden an andere Adressen. Solche Systeme sind abgesichert, dort werden sogenannte Zertifikate ausgestellt. Das sind quasi Schlüssel, die so eine Transaktion erlauben. Alles, was wir wissen bislang, ist, dass die Angreifer Zugriff auf dieses Schlüsselsystem von Binance hatten und sich damit quasi selber Transaktionen freigeben lassen konnten.
ARD-Finanzredaktion: Und was hat das mit dem Laptop des Mitarbeiters zu tun?
Ross: Es kann sein, dass natürlich so ein Entwickler, der auch Schlüssel benötigt oder der vielleicht an diesem Schlüsselsystem arbeitet, mit seinem kompromittierten Laptop eine Eintrittsquelle für die Angreifer war. Aber das muss man wirklich genau betrachten später, wie es im Detail stattgefunden hat.
„Besorgniserregend, dass diese Aktivität nicht aufgefallen ist“
ARD-Finanzredaktion: Laut der Analysefirma TRM Labs sollen die Angreifer den Großteil der betroffenen Kryptowährungen innerhalb von nur 20 Minuten bewegt haben. Wie ist das technisch so schnell möglich?
Ross: Das gesamte Binance-System ist darauf ausgelegt, Transaktionen sehr schnell zu machen und auch in großen Volumina. Das erklärt es, warum quasi so große Volumina an Kryptowährungen so schnell abfließen konnten, weil das System das Prinzip erstmal können muss. Was natürlich ein Problem ist: Es waren 20 Minuten, in denen sehr viel Aktivität war.
Aber der Angriff dauerte doch auch länger, es waren mehrere Stunden. Die Angreifer haben erstmal Testtransaktionen gemacht, die haben nicht sofort das Schließfach ausgeräumt. Also da gab es mehr Aktivität über einen längeren Zeitraum, und das ist natürlich besorgniserregend, dass diese Aktivität nicht aufgefallen ist.
ARD-Finanzredaktion: Die Analysefirma TRM Labs macht eine nordkoreanische Hackergruppe für den Angriff verantwortlich. Was wissen wir über diese Gruppe?
Ross: Nordkorea hat tatsächlich eine Hackergruppe, die sich schon seit Jahren darauf spezialisiert hat, Kryptowährungen zu stehlen – sowohl von Anlegern als auch von Kryptobossen. Und wir sehen eben, dass es aus vergangenen Angriffen, die Nordkorea zugeschrieben wurden, Krypto-Empfängeradressen gibt, die jetzt auch in dem aktuellen Binance-Fall identifiziert wurden. Das lässt darauf schließen, dass hier dieselben Hacking-Gruppen aktiv sind.
Eine Finanzspritze für Kim Yong Un?
ARD-Finanzredaktion: Was könnte das Motiv für den Angriff gewesen sein?
Ross: 6,3 Milliarden Dollar sind eine super Einnahmequelle für Nordkorea – selbst wenn jetzt nur die Hälfte davon durchläuft und die Hälfte vielleicht in verschiedenen Infrastrukturen nochmal gestoppt werden konnte. Drei Milliarden ist auch ein Wort. Da würde sich der deutsche Finanzminister auch drüber freuen.
ARD-Finanzredaktion: Solche Angriffe gab es auch schon in der Vergangenheit, wenn auch nicht in so einer Größenordnung. Müssen wir künftig häufiger mit solchen Cyberangriffen – auch auf Kryptobörsen – rechnen?
Ross: Die Zahl an Cyberangriffen steigt, und Cyberangriffe auf Kryptobörsen sind natürlich lukrativ. Warum? Wir sprechen hier von hohen Vermögenswerten. Wir hatten das schon in der Vergangenheit gesehen, und wir werden es in Zukunft ebenfalls sehen. Das heißt für Anleger, die dort tätig sind in dieser Kryptowelt: Die müssen viel stärker darauf schauen, wie sie ihre eigenen Kryptowährungen absichern.
„Cold Wallets“ ohne Internetzugang schützen
ARD-Finanzredaktion: Und wie können sie sich gut absichern?
Ross: Der klassische Tipp ist immer Diversifikation. Also, wo habe ich Vermögenswerte? Und das Zweite ist: Wenn ich Kryptowährungen besitze und die nicht aktiv handeln möchte, dann diese Währungen dringend auf eine sogenannte Cold Wallet verschieben. Das sind spezielle Geldbörsen für Kryptowährungen, die nicht online angebunden sind, und damit sind sie auch für Hacking sicher.
ARD-Finanzredaktion: Wir haben in den vergangenen Monaten auch vermehrt über Hackerangriffe per KI gesprochen. Glauben Sie, dass das auch eine Relevanz hat, gerade im Hinblick auf Kryptobörsen?
Ross: Es gibt hier jetzt erst mal keine Hinweise dafür, dass KI aktiv unterstützend geholfen hat, diesen Angriff auszuführen. Es sieht doch nach einer sehr klassischen Methode aus. Da hatten die Angreifer sehr spezielles Wissen dafür. Aber was wir natürlich sehen: KI hilft in der Analyse des Vorfalls, die Wege der Verschleierung aufzudecken und zu zeigen, bei welcher Adresse und welchem Konto landen denn diese spezifischen Kryptowährungen jetzt tatsächlich konkret?
Das Gespräch führte Michelle Goddemeier, ARD-Finanzredaktion.
