Kryptowährung IOTA: Guthaben im Millionenwert gestohlen, keine Zahlungen möglich

Nachdem die zentrale Wallet-Software der Kryptowährung IOTA kompromittiert wurde, haben die Entwickler Funktionen des Netzwerks quasi eingefroren.

Lesezeit: 3 Min.
In Pocket speichern
vorlesen Druckansicht Kommentare lesen 180 Beiträge

(Bild: mk1one/Shutterstock.com)

Update
Von

Seit über zwei Wochen verarbeitet das Netzwerk der Kryptowährung IOTA keine Transaktionen mit Werttokens mehr. Unbekannten Angreifern war es zuvor gelungen, über die Referenz-Walletanwendung Trinity Schadcode einzuschleusen. Dadurch bekamen sie die kryptografischen Seeds von Nutzern in die Hände, aus denen sich die privaten Schlüssel ableiten lassen.

Bislang wurde bekannt, dass 50 Seeds und dazugehörige IOTA-Token im Wert von rund zwei Millionen US-Dollar gestohlen wurden. Die Entwickler reagierten am 12. Februar mit Abschaltung der Coordinator genannten Zentralautorität im Netzwerk, sodass seitdem keine Zahlungen mehr verifiziert werden. Eine zentrale Funktion des IOTA-Netzwerks steht damit still. Weiterhin möglich sind sogenannte Zero-Value-Transactions, die nicht signiert werden müssen und lediglich zum Senden von Nachrichten und Daten dienen.

Den Angriffsvektor eröffnete laut Darstellung der IOTA-Foundation der kürzlich in die Wallet integrierte Bezahldienst namens Moonpay. Der sollte den Kauf von IOTA-Tokens via Kreditkarte ermöglichen. Die Integration des externen Dienstes erfolgte über ein Content Delivery Network (CDN). Dem Angreifer gelang es aber, statt des Drittanbieter-Codes seine eigene Schadversion ausspielen zu lassen. Sobald Nutzer im Zeitraum des Angriffs ihre Trinity-Wallet aktivierten, wurde diese nachgeladen.

Die Malware entschlüsselte die gespeicherten Seeds, las sie sowie das Wallet-Passwort aus und schickte das Paket an Server unter Kontrolle des Angreifers. Vor Aussendung der erspitzelten Daten wartete die Malware zudem auf die Veröffentlichung von Walletupdates, die den Cache von Trinity überschreiben und damit Hinweise auf das kriminelle Treiben verwischen.

Der Angriff war offenbar von längerer Hand geplant, schildert die IOTA Foundation. Logfiles vom Moonpay-Account beim DNS-Provider Cloudflare hätten gezeigt, dass sich der Angreifer am 27. November ans Werk machte – einen Tag nach Publikation der Moonpay-Integration. So habe er wohl mit einem Cloudflare-API-Key Abfragen an api.moonpay.io abfangen können und dann an Proofs-of-Concept für den Schadcode und dessen Verteilung gefeilt. Die heiße Phase der Attacken mit der Ausspielung eines manipulierten Moonpay-SDKs über das CDN begann laut IOTA dann ab dem 25. Januar.

Das lief laut IOTA Foundation bis zum 10. Februar unentdeckt weiter, bis Moonpay aufmerksam wurde, den betreffenden API-Key löschte und seine Zugangsdaten bei Cloudflare änderte. Informiert habe Moonpay zunächst aber nicht über die Unregelmäßigkeit. Seines Angriffswegs beraubt, entschied der Cyberganove sich dann wohl fürs Kassemachen – ab dem 11. Februar schlugen Nutzer Alarm wegen leergeräumter IOTA-Adressen. Am 12. Februar entschied dann die Foundation schließlich, das Netzwerk einzufrieren und den Coordinator abzuschalten.

Nach momentanem Stand sollte man nicht davon ausgehen, dass nur lediglich 50 Seeds bei dem Angriff abgegriffen wurden. Genau sei das laut IOTA Foundation nicht zu beziffern, prinzipiell könne es jeden Nutzer der Desktopversionen von Trinity betroffen haben, der zwischen dem 17. Dezember und 17. Februar die Wallet geöffnet hat. Es solle unbedingt die neue Version der Wallet installiert werden, für Android- und iOS-Nutzer empfiehlt sich die neue Version ohne Moonpay-Integration.

Als weiterer Schritt soll dann ein Tool veröffentlicht werden, über das Nutzer Anspruch auf Migration ihrer Guthaben stellen können. Die Foundation hat dafür einen zehn Tage währenden Ablauf vorgestellt, Nutzer sollen nach Publikation des Tools sieben Tage Zeit haben, ihre Ansprüche anzumelden und prüfen zu lassen. Dann sind noch zwei Tage geplant, um die neue Fassung des Tangle vorzustellen und eventuelle Konflikte auszuräumen. Am Tag zehn soll das IOTA-Netzwerk mit geändertem Zustand neu gestartet werden. Abgesehen davon befinde man sich im Austausch mit Polizeibehörden mehrerer Länder und habe Börsenbetreiber kontaktiert, damit der Angreifer nicht das gestohlene Kryptogeld eintauschen kann.

Laut der IOTA-Status-Website soll das Tool noch in dieser Woche vorgestellt werden. Derzeit liefen noch Tests, ebenfalls solle es ein externes Audit geben. Bis auf Weiteres ist das Kryptogeld IOTA also noch lahmgelegt.

Die Abschaltung des Netzwerks ist bei IOTA möglich, weil es sich von Kryptowährungen wie dem Bitcoin unterscheidet: Das Konzept ist zwar dezentral gedacht, in der Praxis wacht aber noch der sogenannte Coordinator über die Vorgänge – was eine Übergangsphase sein soll, bis das Netzwerk einen bestimmten Reifegrad erreicht hat. Diese Instanz entscheidet, welche Transaktionen gültig sind und welche nicht. Dazu veröffentlicht sie in bestimmten Zeitabständen sogenannte Milestones, die Transaktionen validieren.

Kritiker stoßen sich am Coordinator, da er quasi der Diktator im Netzwerk und alleinige Konsens-Quelle ist. Vergangenes Jahr kündigte die IOTA Foundation an, das Netzwerk künftig ohne Coordinator betreiben zu wollen – die Umsetzung dessen befindet sich aber immer noch in einer frühen Entwicklungsphase.

Lesen Sie auch

Die IOTA Foundation existiert seit 2015 und ist seit 2017 eine Stiftung nach deutschem Gesetz. Die gleichnamige Kryptowährung gehört nicht unbedingt zu den tonangebenden Größen im Kryptogeldhandel, hat aber das Interesse namhafter Industrie-Partner wecken können. So arbeitet die Foundation unter anderem mit Bosch, der Deutschen Telekom und VW an möglichen Anwendungen.

Verkaufsargument ist dabei eine besondere Tauglichkeit für Transaktionen im Internet der Dinge – mithin die Vision einer künftigen Maschinenökonomie, bei der vernetzte Geräte Zahlungen miteinander abrechnen. Die "Tangle" genannte Datenstruktur des IOTA-Kassenbuchs – ein gerichteter, azyklischer Graph – soll dabei die bekannten Probleme existierender Blockchains wie hohe Transaktionsgebühren, Energieaufwand und einen geringen Transaktionsdurchsatz umgehen.

[UPDATE, 29.02.2020, 17:45]

Die erste Fassung der Meldung enthielt die fehlerhafte Fomulierung, dass das Netzwerk überhaupt keine Transaktionen mehr verarbeitet. Das wurde mit Hinweis auf Zero-Value-Transaktionen korrigiert, auch die Überschrift wurde angepasst. Ebenfalls wurde eine unzutreffende Wiedergabe des Migrationszeitplans korrigiert. Wir bitten die Fehler zu entschuldigen. (axk)