Bug sorgt für Kryptogeld-Diebstahl von 26 Millionen Euro

[HWL News Bot]

Beieinigen Dieben hat die Kasse geklingelt: Im öffentlichen Code derWallet-Software von Parity gab es einen Fehler, der nun ausgenutztwurde. Gestohlen wurden sage und schreibe 26. Mio. Euro in der Kryptowährung Ethereum – also 150.000 ETH. Ein Startup verloroffenbar durch den Diebstahl 7,8 Mio. Euro. Einige hatten Glück imUnglück, denn White-Hat-Hacker nutzen die Sicherheitslückeebenfalls aus, um 377.000 ETH (67,4 Millionen Euro) mitzunehmen,sicherten die Währung aber ab, da sie nicht vorhatten die Währungfür sich zu behalten....

... weiterlesen

 

[Knoddle]

Was ich mich nun Frage, wer kommt für den Schaden auf?

 

[oooverclocker]

Für die, die das Geld verloren haben, tut es mir Leid, ist echt eine Menge.

Andererseits dürfte die Meldung auch einigen zugute kommen, da jetzt wahrscheinlich durch den Vertrauensverlust der Kurs einbrechen wird - und das bedeutet, dass auf ebay bald viele günstige und trotzdem fast neuwertige Grafikkarten zu finden sein werden.

 

[DragonTear]

Was ich mich nun Frage, wer kommt für den Schaden auf?

Das wird eine spannende Frage. Verantwortlich ist Parity und es dürfte wohl Klagen regnen, aber ob die die Reserven haben um für sowas aufzukommen, wie es eine Bank täte?

Dass sich Unternehmen die so nah am Darknet arbeiten, gegen sowas versichern lassen können bezweifle ich mal.

Einfacher wäre es wenn man die Ver'brecher schnappen würde aber hier wird der Vorteil der Währung zum Nachteil...

Naja, zumindest bestätigt dies meine Meinung über das Zeug.

 

[Kununa]

Warum sollte irgendwer für den Schaden aufkommen? Der Contract hatte einen Fehler, war aber natürlich öffentlich. Wenn die Nutzer den Contract nicht überprüfen, sind die nur selbst schuld. Die Diebe zu schnappen ist auch quasi unmöglich.
Nicht von einer Bank abhängig zu sein hat viele Vorteile, aber halt auch Nachteile. Cryptos erfordern halt etwas mehr Achtsamkeit.
P.S.: Das mit dem Darknet ist auch nur ein Klischee und Realitätsfern.

 

[DragonTear]

Warum sollte irgendwer für den Schaden aufkommen? Der Contract hatte einen Fehler, war aber natürlich öffentlich. Wenn die Nutzer den Contract nicht überprüfen, sind die nur selbst schuld.

Sag dir gesagt sein, mit solch einer Einstellung wird das ganze nie für den normalen Bürger sinnvoll nutzbar sein. Das allerwichtigste an einem Zahlungsmittel neben Wertstabilität ist die Vertrauenswürdigkeit! Also dass es sicher funktioneirt, ohne dass man selbst noch nachprüfen muss.
Wenn das nicht gegeben ist, bleibt nur noch die Anonymität übrig - und welche Art von Geschäften das am meisten braucht, muss man ja wohl nicht erklären

Edit: Und überhaupt, ist das dein ernst? Der Kunde soll etwas nachprüfen was offenbar Monate lang unentdeckt blieb?
In welcher Welt lebst du?

 

[Kununa]

Ich glaube du hast den Fehler Missverstanden. Ethereum an sich hat keinen Fehler und funktioniert sicher. Es gab Fehler in einem Contract der zu dem Parity Wallet gehört. Es wurden bei diesem Hack zudem keine(oder sehr wenige) Privatpersonen geschädigt, sondern Unternehmen und die sind natürlich in der Pflicht sowas nachzuprüfen. Wenn die Deutsche Bank Software extern entwickeln lässt muss sie auch selbst nachprüfen oder zumindest eine unabhängige Stelle das prüfen lassen. Zur Wiederholung: der Fehler war nicht in Ethereum an sich, sondern in einem Contract, daher denke ich auch nicht das es zu einem Kurseinbruch kommt. Bis jetzt sieht's gut aus.
Ethereum ist übrigens nur sehr begrenzt anonym, letztendlich sogar weniger anonym als ein normales Bankkonto.

 

[DragonTear]

Naja, die Firmen haben aber einen Service von Parity genutzt. Da zu sagen sie hätten das nachprüfen müssen ist doch Käse... besonders wenn das wie in diesem Fall offensichtlich ziemlich schwer zu prüfen ist ("(un)angemessener Aufwand" wie es öfters im Gesetz formuliert wird).
Und wo genau steht denn dass sie in der Pflicht sind, sowas nach zu Prüfen, und nicht dass der Anbieter eines Dienstes/Contracts diesen auch richtig auszustellen hat?
Der Gesetzgeber nimmt allgemein nicht umsonst meistens eher den Anbieter von etwas in die Pflicht, sonst wäre das ja irsinnig wenn man sich auf garnichts verlassen kann.
Als Unternehmer hat man etwas weniger Rechte als ein "Endkunde", aber solche Grundprinzipien werden da nicht auf dem Kopf gestellt.

Der Fehler ist nicht die Währung an sich, da hast du natürlich recht (die Funktionsweise der Blockchain ist mathematisch bewiesen, wenn ich mich nicht irre), aber als Nutzer (ob geschäftlich oder nicht) ist man ja auf solche externe Software angewiesen, d.h. man kann das durchaus dazu zählen, denn es könnte theoretisch jeden treffen.
Gilt natürlich für vieles im Leben, jedoch ist hier ist die Wahrscheinlichkeit höher dass man alleine gelassen wird, im Vergleich zu einem Bankkonto.

 

[Kununa]

Wieso soll es bitteschön Käse sein den Contract zu prüfen, wenn dein eigenes Geld davon abhängt? Der Fehler war im Übrigen ziemlich trivial und weit von "schwer zu überprüfen" entfernt. Es hat nur anscheinend nie jemand den Code anständig geprüft. Auch nicht Parity. Das ist natürlich Paritys Schuld, jedoch ist einer der grundlegenden Gedanken der Contracts, dass diese eben öffentlich sind und so von jedem überprüft werden können. Da es sich hierbei immer um Open-Source Projekte handelt sehe ich den Entwickler und die Nutzer gleichermaßen in der Pflicht die Korrektheit zu überprüfen. Der Anbieter ist im übrigen überhaupt nicht genau definiert, da es ja Open Source ist.
Das worauf man sich verlassen kann, ist die eigene Urteilsfähigkeit.

Contracts sind im Allgemeinen auch nicht für den unbedarften Endanwender gedacht, sonder für Entwickler. Die Endanwender müssen natürlich dann auf die Korrektheit des Contracts hoffen, aber auch hier ist wieder der Gedanke, dass wenn genug Leute die Ahnung von der Materie haben den Contract überprüfen, Fehler frühzeitig entdeckt werden.

Natürlich wird man im Zweifelsfall allein gelassen. Der Staat wird einen nicht auffangen, aber dafür bekommt man halt eine unabhängige Währung.

Ich glaube du geht's noch mit einer falschen Vorstellung an die Thematik ran. Der Clue ist halt gerade, dass es dezentral ist und es keine zentrale Steuerungseinheit gibt wie den Staat. Ob sich Cryptos langfristig etablieren können ist wieder ein ganz anderes Thema, aber in Bezug auf Cryptos muss du weg kommen von dem Gedanken, dass es eine zentrale Steuerungseinheit gibt.

 

[majus]

Der Staat einen auffgangen

Das schaffen nur die Banken, dass ihnen Ihre hochgradigen Spekulationsfehler auch noch gezahlt werden..

 

[DragonTear]

Ich glaube du geht's noch mit einer falschen Vorstellung an die Thematik ran. Der Clue ist halt gerade, dass es dezentral ist und es keine zentrale Steuerungseinheit gibt wie den Staat. Ob sich Cryptos langfristig etablieren können ist wieder ein ganz anderes Thema, aber in Bezug auf Cryptos muss du weg kommen von dem Gedanken, dass es eine zentrale Steuerungseinheit gibt.

Das weiss ich. Darum stehe ich Kryptowährungen ja so kritisch gegenüber (neben der Ressourcenverschwendung zum Minen) und OpenSource sehe ich auch, im Gegensatz zu manchen, nicht als Allheilmittel.
Der Zwischenfall hier bestätigt grade beide meiner Bedenken...

Der Fehler war natürlich trivial (wie sehr viele Sicherheitsbugs), aber finde du mal ein falsch gesetztes Flag bzw. die Zeile welches dieses falsch setzt, in ner Million Zeilen anderer code. Noch dazu Code den du womöglich nicht selbst geschrieben hast.
Als Software dev weiss ich wovon ich rede...

Es gibt natürlich Experten die genau sowas tun. Security Auditoring u.ä. Kostet aber ein Schweinegeld.
Sowas vom Nutzer des Dienstes zu verlangen, ist einfach Weltfremd.
Parity hätte sich das aber natürlich leisten _müssen_ und wird darum jetzt entweder den Schaden ersetzen, oder langfristig pleite gehen (jedenfalls wenn die Kunden korekt Konsequenzen ziehen wie sie es in anderen Wirtschaftsbereichen täten).


EDIT: Des weiteren hat Parity ja offenbar das Ganze in der Entwicklerversion gefixt. Also sie wussten dass dieser Fehler in der offenen Version existiert! Das geht somit bereits richtung grobe Fahrlässigkeit.


Des weiteren, würde wenn sowas bei ner Bank passiert, nicht der Staat auffangen, sondern die Bank selbst und zwar weil diese vom Vertrauen ihrer Kunden lebt.

Das schaffen nur die Banken, dass ihnen Ihre hochgradigen Spekulationsfehler auch noch gezahlt werden..

Ist im Endefekt nur bedingt geschehen. Im Zuge der Wirtschaftskrise wurden etliche Banken teilweise oder ganz schließlich verstaatlicht.
Konsequenzen gegen einzelne Schuldige hätte es vieleicht mehr geben können, aber im Endefekt warens ehr viele Schuld - inkl. der ganzen US Bürger die sich ohne an die Zukunft zu denken, per Kredit ein teures Haus gekauft haben.

Aber ja, wäre Kryptowährung eine Weltwährung und würde das System wegen so einem Fehler Probleme bekommen, dann würde selbstverständlich der Staat auch da einspringen, in irgendeiner Form, denn dass die Bürger weiterhin Geld haben bzw. nutzen können und Unternehmen Investitionskredite erhalten, etc. ist erstmal das wichtigste.

Sonst hätten wir uns nicht binnen 5 jahren vollständig erholt.

 

[majus]

Ist im Endefekt nur bedingt geschehen. Im Zuge der Wirtschaftskrise wurden etliche Banken teilweise oder ganz schließlich verstaatlicht.
Konsequenzen gegen einzelne Schuldige hätte es vieleicht mehr geben können, aber im Endefekt warens ehr viele Schuld - inkl. der ganzen US Bürger die sich ohne an die Zukunft zu denken, per Kredit ein teures Haus gekauft haben.

Optimist muss man sein
Mal schauen ob du das nach dem nächsten Crash immer noch so siehst

 

[DragonTear]

Mal schauen ob du das nach dem nächsten Crash immer noch so siehst

Werde ich, denn Wirtschaft ist nunmal auf auf und ab. War schon immer so.
Unterm Strich ist die Tendenz aber nach oben.

 

[oooverclocker]

inkl. der ganzen US Bürger die sich ohne an die Zukunft zu denken, per Kredit ein teures Haus gekauft haben.

Ähm... ich hoffe, Dir ist bewusst, dass die Immobilien nachträglich heruntergerated wurden - die Leute waren die ganze Zeit im Glauben, ihr Gebäude sei mehr wert. Und es dürfte auch klar sein, wer was davon hat, wenn viele ihre Hypothek nicht mehr bedienen können und plötzlich lauter billige Immobilien käuflich sind...
Oder hast Du das Gefühl, amerikanische und chinesische Investoren seien jetzt plötzlich abgeschreckt, die billigen Objekte hier zu kaufen? Es grenzt schon fast an ein Wunder, dass die Bundesregierung nach Jahren halbwegs geschnallt hat, dass teilweise mutmaßlich systematisch strategische Investitionen von ausländischen Staaten in Deutschland getätigt werden. Selbst "Mainstream"-Medien nehmen das nicht einfach hin: Rating-Agenturen: Die böse Macht der Krisen-Katalysatoren - SPIEGEL ONLINE

Sonst hätten wir uns nicht binnen 5 jahren vollständig erholt.

Wenn Du das wirklich glaubst, und dafür nicht bezahlt wirst, ist das verdammt bedauerlich.

 

[DragonTear]

Ähm... ich hoffe, Dir ist bewusst, dass die Immobilien nachträglich heruntergerated wurden - die Leute waren die ganze Zeit im Glauben, ihr Gebäude sei mehr wert. Und es dürfte auch klar sein, wer was davon hat, wenn viele ihre Hypothek nicht mehr bedienen können und plötzlich lauter billige Immobilien käuflich sind...
Oder hast Du das Gefühl, amerikanische und chinesische Investoren seien jetzt plötzlich abgeschreckt, die billigen Objekte hier zu kaufen? Es grenzt schon fast an ein Wunder, dass die Bundesregierung nach Jahren halbwegs geschnallt hat, dass teilweise mutmaßlich systematisch strategische Investitionen von ausländischen Staaten in Deutschland getätigt werden. Selbst "Mainstream"-Medien nehmen das nicht einfach hin: Rating-Agenturen: Die böse Macht der Krisen-Katalysatoren - SPIEGEL ONLINE

Genau das meinte ich ja mit der Mitschuld. Man kann nicht einfach so glauben dass der Wert der Häuser allesamt dauerhaft so hoch bleiben würde. Die Menschen haben sich von einer Versuchung verleiten lassen und genau das bezeichnet man ja als Blase. Der Spiegel Artikel sagt genau das auch.
Das gilt im Endefekt ebenso für das Glauben an die Ratings. Diese sind schließlich eine Bewertung. Nichts weiter.
Man kann die Verantwortung nicht immer abgeben... Leider ist das Wesen der Menschen nunmal so und deswegen kommt es hin und wieder zum temporären "Crash".

Was ausländische Investitionen angeht... wir sollten jetzt nicht in Protektionismuss und Abschottung verfallen (wie es die USA vorhat wenn es nach Trump geht/ginge). Das ist langfristig nie gut. Die USA war ja der größte leidensträger der Krise und China wird früher oder später zusammenbrechen wenn der Lebensstandard dort weiter zunimmt.
Deutsche/europäische Unternehmen investieren übrigens auch massiv im Ausland. So funktioniert Globalisierung (ohne die man keine 7Mrd Menschen versorgen könnte).

Wenn Du das wirklich glaubst, und dafür nicht bezahlt wirst, ist das verdammt bedauerlich.

Der BIP ist wieder deutlich höher als vor der Krise und das sieht auch in den meisten Ländern (nicht alle, aber immerhin den meisten) ähnlich aus: BIP in Deutschland - Bruttoinlandsprodukt bis 2016 | Statista
Also ja, wir haben uns erholt. Schulden sind auch entstanden, aber es geht in erster Linie darum wie es den Menschen geht.

 

[Kununa]

Du traust also den Menschen zu den Wert der Häuser schätzen zu können, aber Entwickler können nicht Quellcode prüfen?
Parity hat den Fehler in der Entwicklerversion gefixt nachdem der Fehler bekannt wurde. Zudem ist die befallene Datei nicht mal 500 Zeilen lang. Dazu kommt noch, dass verschiedenste Code-Guidelines missachtet wurden. Grobes menschliches Versagen.
Ich will Cryptos nicht als unfehlbar darstellen, aber dass das klassische Bankensystem einige schwächen hat, ist schon häufig genug klar geworden. Bei einer Krise muss zudem immer der Staat blechen und nicht die Banken.

 

[Mezzo]

............., aber dass das klassische Bankensystem einige schwächen hat, ist schon häufig genug klar geworden. Bei einer Krise muss zudem immer der Staat blechen und nicht die Banken.

Der kleine man Muss die zeche der achso Großen Banken Zahlen wird immer so sein. Man hat ja nicht die Eier wie Island und lässt die Banken pleite gehen, und hatte damit Erfolg.

 

[RayKrebs]

Tja, der Kurs wird das kompensieren, kollektiver Verlust halt.

 

[Sascha01]

Der kleine man Muss die zeche der achso Großen Banken Zahlen wird immer so sein. Man hat ja nicht die Eier wie Island und lässt die Banken pleite gehen, und hatte damit Erfolg.

Absolut richtig. Der einzige Gewinner einer Krise ist die Bank. Wer meint, dass eine Krise willkürlich entsteht, lebt immer noch in der Scheinwelt der Medien. Krisen gibt es in regelmäßigen Abständen und seit dem abschaffen des Goldstandards 1971 durch Richard Nixon haben es die Banken noch einfacher. Eig. müsste man sich deshalb trotzdem nicht aufregen, denn uns geht es gut. Schaut man jedoch in andere Länder (z.B. Afrika), sieht die Sache wieder ganz anders aus.

 

[menace_one]

Verantwortlich ist Parity und es dürfte wohl Klagen regnen [..]

Seit wann haften denn Entwickler kostenlos bereitgestellter Open Source Lösungen?
Der Haftungsausschluss ist klar in der GPL geregelt.

Spoiler

This program is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the GNU General Public License for more details.

THERE IS NO WARRANTY FOR THE PROGRAM, TO THE EXTENT PERMITTED BY APPLICABLE LAW. EXCEPT WHEN OTHERWISE STATED IN WRITING THE COPYRIGHT HOLDERS AND/OR OTHER PARTIES PROVIDE THE PROGRAM "AS IS" WITHOUT WARRANTY OF ANY KIND, EITHER EXPRESSED OR IMPLIED, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE. THE ENTIRE RISK AS TO THE QUALITY AND PERFORMANCE OF THE PROGRAM IS WITH YOU. SHOULD THE PROGRAM PROVE DEFECTIVE, YOU ASSUME THE COST OF ALL NECESSARY SERVICING, REPAIR OR CORRECTION.

IN NO EVENT UNLESS REQUIRED BY APPLICABLE LAW OR AGREED TO IN WRITING WILL ANY COPYRIGHT HOLDER, OR ANY OTHER PARTY WHO MODIFIES AND/OR CONVEYS THE PROGRAM AS PERMITTED ABOVE, BE LIABLE TO YOU FOR DAMAGES, INCLUDING ANY GENERAL, SPECIAL, INCIDENTAL OR CONSEQUENTIAL DAMAGES ARISING OUT OF THE USE OR INABILITY TO USE THE PROGRAM (INCLUDING BUT NOT LIMITED TO LOSS OF DATA OR DATA BEING RENDERED INACCURATE OR LOSSES SUSTAINED BY YOU OR THIRD PARTIES OR A FAILURE OF THE PROGRAM TO OPERATE WITH ANY OTHER PROGRAMS), EVEN IF SUCH HOLDER OR OTHER PARTY HAS BEEN ADVISED OF THE POSSIBILITY OF SUCH DAMAGES.

Einfacher wäre es wenn man die Ver'brecher schnappen würde aber hier wird der Vorteil der Währung zum Nachteil...

Naja, gerade weil die Adressen so öffentlich einsehbar sind, wird der Dieb die Coins schlecht an irgendeine Börse bekommen, ohne dass das sofort auffällt.
Für Ethereum gibt es meines Wissens auch noch keinen Coin Mixer.