Was nach einem Krypto-Wallet-Hack geschieht

Die Entdeckung, dass ein Krypto-Wallet gehackt wurde, löst eine spezifische Art von Panik aus, verschärft durch die Tatsache, dass sich anders als bei einer gestohlenen Kreditkarte eine bestätigte Blockchain-Transaktion nicht einfach durch einen Anruf rückgängig machen lässt. Was in den Minuten und Stunden nach der Entdeckung geschieht, bestimmt tatsächlich, wie viel noch eingedämmt werden kann, und es lohnt sich, eine klare, geordnete Abfolge im Kopf zu haben, bevor sie jemals benötigt wird.

Sofortige Eindämmung, der Reihe nach

Zuerst weiteren Zugriff unterbinden

Ist die Kompromittierung noch aktiv, das heißt, es bewegen sich weiterhin Gelder oder der Angreifer scheint noch über eine Form von Zugriff zu verfügen, besteht die erste Priorität darin, diesen Zugriff zu unterbinden, statt zunächst das gesamte Ausmaß des Geschehens zu beurteilen. Trennen Sie das betroffene Gerät vom Internet, schließen Sie alle aktiven Wallet-Browser-Sitzungen und trennen Sie das Wallet von jeder dezentralen Anwendung, für die es eine Freigabe hat.

Verbleibende Gelder in ein neues Wallet verschieben

Sämtliche im kompromittierten Wallet verbliebenen Vermögenswerte sollten umgehend in ein brandneues Wallet verschoben werden, das mit einer frisch erzeugten Seed-Phrase auf einem separaten, vertrauenswürdigen Gerät erstellt wurde. Verwenden Sie die Phrase oder den privaten Schlüssel des kompromittierten Wallets niemals in irgendeiner Form weiter, selbst wenn nur ein Teil der Bestände des Wallets betroffen war, da es keine verlässliche Möglichkeit gibt zu bestätigen, dass nicht auch der Rest der Phrase offengelegt wurde.

Bestehende Freigaben widerrufen

Sobald die verbleibenden Gelder gesichert sind, überprüfen und widerrufen Sie alle Token-Freigaben, die das kompromittierte Wallet erteilt hatte, da manche Angriffe auf eine dauerhafte Freigabe setzen, die später erneut ausgeübt werden kann, statt auf eine sofortige, einmalige Übertragung. Unser Leitfaden Token-Freigaben widerrufen führt ausführlich durch diesen Prozess.

Wenn mehr als eine Person Zugriff auf das Wallet hatte

Wurde ein kompromittiertes Wallet von Mitgründern, einem Unternehmensteam oder Familienmitgliedern gemeinsam genutzt, umfasst die Eindämmung einen zusätzlichen Schritt über die Sicherung des technischen Zugriffs hinaus: die sofortige Benachrichtigung jeder anderen Person mit legitimem Zugriff, da sie möglicherweise einen Teil einer Multisig-Konfiguration, eine Backup-Phrase oder eine Freigabe auf einem verbundenen Konto hält, die ebenfalls widerrufen oder erneuert werden muss. Andernfalls kann sich eine Kompromittierung, die mit dem Gerät einer Person begann, unbemerkt auf jede andere Person ausweiten, die noch derselben gemeinsam genutzten Wallet-Infrastruktur vertraut. Unternehmen, die eine Kompromittierung dieser Art bewältigen, sollten außerdem Aufzeichnungen sichern, die für eine formelle Unternehmensermittlung geeignet sind, da der Beweisstandard für einen unternehmerischen Verlust häufig höher ist als für einen individuellen.

Ein realistischer Zeitplan einer gut gehandhabten Reaktion

• Minute null bis fünf: Die Kompromittierung wird bemerkt, entweder durch eine unerwartete Transaktionswarnung oder ein Wallet-Guthaben, das nicht mehr den Erwartungen entspricht, und das betroffene Gerät wird sofort vom Internet getrennt.
• Minute fünf bis zwanzig: Verbleibende Gelder werden in ein neues, auf einem separaten, vertrauenswürdigen Gerät erzeugtes Wallet verschoben, wobei zunächst die wertvollsten Vermögenswerte priorisiert werden, falls Zeit oder Gasgebühren das gleichzeitige Verschieben von allem unpraktisch machen.
• Minute zwanzig bis sechzig: Jede Verbindung zu einer dezentralen Anwendung und jede Token-Freigabe des kompromittierten Wallets wird mithilfe eines seriösen Freigaben-Prüftools überprüft und widerrufen.
• Stunde eins bis drei: Der Vorfall wird detailliert dokumentiert, einschließlich Transaktionskennungen, Zieladressen, Zeitstempeln und Screenshots, während die Abfolge der Ereignisse noch frisch und leicht genau erinnerlich ist.
• Stunde drei bis vierundzwanzig: Meldungen werden bei jeder mit der Empfängeradresse verbundenen Börse sowie bei der zuständigen nationalen Cyberkriminalitäts-Meldestelle eingereicht, und es wird entschieden, ob angesichts des betroffenen Betrags eine professionelle Rückverfolgungsermittlung sinnvoll ist.

Nicht jeder Fall durchläuft diesen Zeitplan exakt in diesem Tempo, und eine Kompromittierung, die Tage nach ihrem Auftreten entdeckt wird, kann die erste Stunde offensichtlich nicht rückwirkend nachholen. Der Wert des Denkens in einem Zeitplan besteht darin, dass er eine standardmäßige Reihenfolge von Maßnahmen festlegt, sodass ein Opfer inmitten eines stressigen, verwirrenden Ereignisses nicht in Echtzeit einen Reaktionsplan von Grund auf erfinden muss.

Wie sich die Situation mit der Zeit verändert

In der ersten Stunde nach einem Hack liegt die Priorität nahezu vollständig auf Eindämmung – weiteren Verlust stoppen und sichern, was noch übrig ist. Innerhalb des ersten Tages verlagert sich die Priorität hin zu Dokumentation und Meldung, da Börsen und Plattformen, die möglicherweise noch Gelder einfrieren können, im Allgemeinen umso schneller handeln, wenn überhaupt, je früher sie benachrichtigt werden. Bis zur ersten Woche verlagert sich der realistische Fokus, sofern die gestohlenen Gelder nicht bereits bei einer Börse eingefroren wurden, erneut hin zu Rückverfolgung und dem Aufbau einer dokumentierten Aufzeichnung für die Strafverfolgungsbehörden oder eine zivilrechtliche Klage, da die Gelder bis dahin typischerweise durch genügend Zwischen-Wallets gewandert sind, dass jede Einfrierungsmöglichkeit am ursprünglichen Zielort wahrscheinlich bereits verstrichen ist. Zu verstehen, welche Phase auf einen gegebenen Fall zutrifft, hilft, realistische Erwartungen zu setzen. Ein Opfer, das einen Diebstahl einen Monat nach dessen Auftreten meldet, befindet sich nicht in derselben Position wie eines, das ihn innerhalb der Stunde meldet, und die angemessenen nächsten Schritte unterscheiden sich entsprechend, auch wenn der zugrunde liegende Verlust und seine emotionale Wirkung dieselben sind.

Dokumentation, bevor die Erinnerung verblasst

• Jede Kennung einer nicht autorisierten Transaktion sowie die Wallet-Adressen auf beiden Seiten jeder Übertragung.
• Exakte Zeitstempel dazu, wann jede Transaktion stattfand und wann die Kompromittierung erstmals bemerkt wurde.
• Screenshots der Transaktionen, jeder beteiligten Phishing-Nachricht oder gefälschten Seite sowie aller damit zusammenhängenden Benachrichtigungen zur Kontoaktivität.
• Eine schriftliche Darstellung dessen, was unmittelbar vor der Kompromittierung geschah, einschließlich jeder besuchten Seite, erhaltenen Nachricht oder installierten Software in den vorangegangenen Tagen.

Diese Dokumentation ist wichtiger, als den meisten Opfern zunächst bewusst ist. Sie ist die Grundlage für eine Meldung an die Strafverfolgungsbehörden, für jede Anfrage an eine Börse, eine Empfängeradresse zu kennzeichnen, und für eine Blockchain-Rückverfolgung, die zu klären versucht, wo die Gelder letztlich gelandet sind. Solche Beweise werden schon wenige Tage später erheblich schwerer zu rekonstruieren, sobald die Erinnerung an die genaue Abfolge zu verblassen beginnt.

Den Vorfall melden

Melden Sie den Diebstahl der mit der Empfänger-Wallet-Adresse verbundenen Börse, sofern eine identifiziert werden kann, da Börsen mitunter Gelder kennzeichnen oder einfrieren können, die noch nicht abgehoben oder umgetauscht wurden. Erstatten Sie außerdem separat eine Meldung bei der zuständigen nationalen Cyberkriminalitätsbehörde, etwa dem Internet Crime Complaint Center des FBI in den Vereinigten Staaten, auch wenn eine Wiederbeschaffung allein durch die Strafverfolgungsbehörden ungewiss ist. Eine dokumentierte Meldung ist außerdem für jeden späteren Versicherungs-, Steuer- oder rechtlichen Zweck im Zusammenhang mit dem Verlust wichtig.

• Das genaue Datum, die Uhrzeit und die Zeitzone, zu der die nicht autorisierte Transaktion stattfand, zusammen mit dem betroffenen Blockchain-Netzwerk.
• Der vollständige Transaktions-Hash oder die Kennung für jede nicht autorisierte Übertragung, nicht nur die erste, falls mehrere stattfanden.
• Die Wallet-Adresse, die die Gelder gesendet hat, sowie jede Zieladresse, an die sie geflossen sind, sofern bekannt.
• Jede Datei, Nachricht, E-Mail oder Website, die vermutlich damit zusammenhängt, wie die Kompromittierung geschah, beigefügt oder so detailliert wie möglich beschrieben.

Es lohnt sich, realistische Erwartungen daran zu setzen, was eine Meldung an die Strafverfolgungsbehörden kurzfristig bewirkt. Behörden wie das IC3 des FBI aggregieren Meldungen in erster Linie, um Muster und größere kriminelle Operationen zu identifizieren, und ein individueller Fall, insbesondere ein kleinerer, erhält möglicherweise nicht sofort einen zugewiesenen Ermittler. Das macht die Meldung nicht sinnlos. Aggregierte Daten aus vielen individuellen Meldungen sind häufig das, was letztlich eine größere Beschlagnahmung oder Strafverfolgung unterstützt, und eine dokumentierte Meldung bleibt für jeden zukünftigen Versicherungs-, Steuer- oder zivilrechtlichen Anspruch im Zusammenhang mit dem Verlust notwendig, unabhängig davon, ob sofort ein Ermittler zugewiesen wird.

Rückverfolgung, wohin die Gelder geflossen sind

Da Blockchain-Aktivität dauerhaft aufgezeichnet wird, ist es oft möglich, exakt zurückzuverfolgen, wohin gestohlene Gelder nach dem ursprünglichen Diebstahl geflossen sind, selbst über mehrere Zwischenschritte oder verschiedene Blockchain-Netzwerke hinweg. Diese Rückverfolgung garantiert nicht, dass Gelder wiederbeschafft werden, erzeugt jedoch eine dokumentierte Darstellung des Geldflusses, die eine Meldung an die Strafverfolgungsbehörden oder eine Einfrierungsanfrage bei einer Börse unterstützen kann. Eine allgemeine Erklärung, wie dieser Prozess funktioniert, finden Sie in unserem Leitfaden dazu, wie Blockchain-Ermittler gestohlene Gelder zurückverfolgen, und eine spezifischere Anleitung zur Rückverfolgung von Bitcoin im Besonderen ist in unserem Leitfaden zur Rückverfolgung gestohlener Bitcoin verfügbar.

Häufige Fehler, die die Lage verschlimmern

• Öffentliches Posten über den Diebstahl, einschließlich der Transaktionskennung oder Wallet-Adresse, in sozialen Medien, bevor er einer Börse oder einem Ermittler gemeldet wird, da dies den Angreifer alarmieren kann, die Geldwäsche zu beschleunigen.
• Der Versuch, direkt mit dem Angreifer Kontakt aufzunehmen oder zu verhandeln, sei es über eine On-Chain-Nachricht oder eine in einer Phishing-Seite hinterlassene E-Mail-Adresse, was selten zu einer Rückgabe der Gelder führt und das Opfer mitunter weiterer Zielgerichtetheit aussetzt.
• Die Zahlung einer Vorabgebühr an einen Fremden, der das Opfer kurz nachdem der Diebstahl on-chain sichtbar wird kontaktiert und eine garantierte Wiederbeschaffung der Gelder anbietet – ein Muster, das ausführlich in unserem Leitfaden zu Wiederbeschaffungsbetrug behandelt wird.
• Die fortgesetzte Nutzung derselben Passwörter, Wiederherstellungsphrasen oder Geräte, die an der ursprünglichen Kompromittierung beteiligt waren, für ein neues Wallet oder Konto, in der Annahme, die spezifische Schwachstelle sei bereits behoben.
• Das Warten darauf, jedes Detail perfekt zusammenzutragen, bevor überhaupt eine Meldung eingereicht wird, obwohl eine erste Meldung in der Regel später ergänzt oder angepasst werden kann, sobald weitere Informationen verfügbar werden.

Den zweiten Betrug vermeiden

Opfer eines Wallet-Hacks werden kurz danach häufig ein zweites Mal ins Visier genommen, von jemandem, der behauptet, die gestohlenen Gelder gegen eine Vorabgebühr wiederbeschaffen zu können, mitunter mit Details, die das Angebot glaubwürdig erscheinen lassen. Kein seriöser Ermittler kann ein bestimmtes Wiederbeschaffungsergebnis garantieren, da eine Blockchain-Transaktion von niemandem rückgängig gemacht werden kann, auch nicht von den Strafverfolgungsbehörden. Unser Leitfaden zu Wiederbeschaffungsbetrug behandelt die spezifischen Muster, auf die zu achten ist. Firmen, die diese Art von Diebstahl untersuchen, darunter Coin Trace, arbeiten auf dokumentierter, fallbezogener Basis und sind unmissverständlich, dass eine Wiederbeschaffung davon abhängt, wohin die Gelder geflossen sind und ob ein realistischer Weg besteht, statt von einer im Voraus gegebenen Garantie.

Häufig gestellte Fragen

Quellen und weiterführende Informationen

• What To Know About Cryptocurrency and Scams · Federal Trade Commission
• New crypto payment scam alert · Federal Trade Commission
• Internet Crime Complaint Center · FBI Internet Crime Complaint Center (IC3)

Verwandte Beiträge