Ein Trezor-Phishing-Betrug, der über eine von Google gesponserte Anzeige beworben wurde, hat laut Aussage eines Opfers dessen gesamte Ersparnisse gestohlen. Zudem veröffentlichte BTCPay Server einen Notfall-Patch für eine kritische Schwachstelle, die bereits aktiv ausgenutzt wird.
Beide Vorfälle ereigneten sich innerhalb von etwa 24 Stunden. Keiner griff das Bitcoin-Protokoll selbst an, dennoch setzten beide die Gelder der Nutzer einem direkten Risiko aus.
Google-Anzeige leitet Betroffene auf Trezor-Phishing-Seite
Das Opfer, das auf X (Twitter) unter dem Namen David postete, machte eine gesponserte Suchanzeige am Donnerstag verantwortlich. Dem Bericht zufolge wurde durch die Anzeige eine gefälschte Trezor-Seite, die auf Google Sites gehostet wurde, über der echten Webseite des Wallet-Herstellers platziert.
Jeder, der auf dieser Seite einen Wiederherstellungs-Seed eingab, gab den Angreifern die vollständige Kontrolle über die eigene Wallet.
On-Chain-Daten zeigen, dass die im Bericht genannte Wallet über 24,04 BTC in 80 Transaktionen erhalten hat. Dies entspricht etwa 1,6 Millionen USD beim aktuellen Bitcoin-Kurs von etwa 65.172 USD. Fast alle dieser Mittel wurden jedoch weiter transferiert, sodass nur noch etwa 0,04 BTC übrig sind.
Trezor gab an, den Fall intern weiterverfolgt und die Seite zur Entfernung gemeldet zu haben.
„Für alle Leser: Vergewissern Sie sich immer, dass Sie die offizielle Trezor-Webseite verwenden, und geben Sie niemals das Backup Ihrer Wallet auf einer Webseite oder in ein Formular ein”, riet das Team dringend.
Die Hardware selbst wurde nie kompromittiert. Der Angriff funktionierte, weil der Seed das Gerät verließ. Dieses Muster ähnelt einer gefälschten Uniswap-Phishing-Seite, die im Mai 400.000 USD aus Wallets gestohlen hat.
BTCPay Server veröffentlicht schnellen Patch für ausgenutzte Schwachstelle
Gleichzeitig veröffentlichte BTCPay Server, eine Open-Source-Software, mit der Händler Bitcoin-Zahlungen direkt annehmen können, am Freitag eine eigene Warnung.
Folgen Sie uns auf X, um aktuelle Nachrichten zu erhalten, sobald sie passieren.
Das Team riet allen Betreibern, umgehend auf Version 2.4.2 zu aktualisieren oder die Server auszuschalten, bis dies möglich ist.
„Dieses Release beinhaltet die Korrektur einer kritischen Schwachstelle, die derzeit aktiv ausgenutzt wird. Sie müssen so schnell wie möglich aktualisieren”, heißt es in den Hinweisen zur Veröffentlichung des Projekts.
Das Bitcoin Red Team, eine ehrenamtliche Sicherheitsforschergruppe, hat die Schwachstelle den Entwicklern gemeldet.
Allein die Aktualisierung behebt jedoch nicht alle Auswirkungen. Betreiber müssen außerdem die Macaroons, also Zugangsdaten, die Lightning-Nodes verwenden, sowie Authentifizierungsdaten anderer Backends erneuern.
Wer innerhalb von BTCPay eine Hot Wallet erstellt hat, sollte diese Gelder transferieren und die Wallet neu aufsetzen. Integratoren sollten außerdem NBXplorer, das zugehörige Indexierungs-Tool, auf Version 2.6.10 aktualisieren.
Warum beide Vorfälle für Bitcoin-Eigenverwahrung relevant sind
Ein Angriff nutzte das Vertrauen in Suchanzeigen aus, ein anderer den Code, der auf Händler-Servern läuft. Beide umgingen das Bitcoin-Sicherheitsmodell und griffen stattdessen die dazugehörige Software und Gewohnheiten an.
Phishing bleibt weiterhin die teuerste Bedrohung in Krypto. Im Januar betrugen die Verluste durch Krypto-Diebstähle rund 400,3 Millionen USD, wobei ein Phishing-Angriff mehr als 70% dieser Summe verursachte.
Google hat bisher nicht erklärt, wie die betrügerische Anzeige die Überprüfung bestanden hat. Wie schnell die Seite entfernt wird und wie viele BTCPay-Betreiber rechtzeitig aktualisieren, wird über das Ausmaß des Schadens entscheiden.
