Axie Infinity: Entwickler verlieren durch Hack über 625 Millionen US-Dollar

[HWL News Bot]

Während es am Kryptomarkt in den letzten Tagen an den Börsen wieder kräftig nach oben ging, kommt es für viele Nutzer jetzt richtig dicke: Wie der Zahlungsdienst Ronin Network am Dienstag mitteilte, konnten unbekannte Hacker Kryptowährung im Gesamtwert von über 625 Millionen US-Dollar erbeuten. Es könnte der größte Krypto-Hack der Geschichte werden, denn ein Großteil der digitalen Beute befindet sich noch immer auf dem Konto der Angreifer.
... weiterlesen

 

[Richard88]

oag, oida!

 

[DragonTear]

600 Millionen in einer einzigen, automatisierten Überweisung... alter Falter...
Es gibt KEINEN EINZIGEN Grund wieso ein technisches System so designt sein sollte dass sowas ohne menschliche Überprüfung auch nur denkbar sein sollte.
Warum nicht mal eine einfache Limitierung im "Wallet" wieviel man pro Tag abziehen kann? Wie bei jedem Bankkonto.
Als Softwareentwickler muss ich sagen: Absolut absurd was in Cryptowährungen implementiert wurde und ich schäme mich für meine Fachkolegen für ihre Kurzsichtigkeit in der Hinsicht :/

 

[Tr1umph]

600 Millionen in einer einzigen, automatisierten Überweisung... alter Falter...
Es gibt KEINEN EINZIGEN Grund wieso ein technisches System so designt sein sollte dass sowas ohne menschliche Überprüfung auch nur denkbar sein sollte.
Warum nicht mal eine einfache Limitierung im "Wallet" wieviel man pro Tag abziehen kann? Wie bei jedem Bankkonto.
Als Softwareentwickler muss ich sagen: Absolut absurd was in Cryptowährungen implementiert wurde und ich schäme mich für meine Fachkolegen für ihre Kurzsichtigkeit in der Hinsicht :/

Naja, auch bei der "menschlichen Überprüfung" wird irgendwo wieder ein digitaler Prozess angestoßen. Das hilft also bei menschlichen Fehlern. Gleiches gilt für die "Limitierungen". Bei wirklich krimineller Energie und entsprechenden Zugriff auf das System lässt sich sowas übergehen.

Ich sehe das Problem eher in der Arroganz anzunehmen, dass man in der Lage ist digitale 600 Millionen Dollar bei einem System das Online ist sicher zu verwahren.

Würdest du 600 Millionen USD darauf Wetten, dass dein Linux-/Windows Server, WebServer, Libraries, etc keine Lücken haben.
Dass deine Mitarbeiter keinem Social Enginierung zum Opfer fallen?
Dass deine IT-Mitarbeiter nicht gierig werden?

Klar kann man etwas entwerfen, dass eine gewisse Sicherheit bietet. Aber traust du das einem 4 Jahre altem Startup zu?

Meiner Erfahrung nach ist grade im Startup-Bereich "Kurzsichtigkeit" das Gebot der Stunde wenn es um Sicherheit geht. Investoren überzeugt man schließlich nicht damit, dass das Produkt/System sicher ist.

Aber wie du schon sagtest, es ist zum Fremdschämen.

 

[DragonTear]

Seriöse Unternehmer/Firmen/Entwickler setzen in der Risiko-Analyse bzw. -Mitigierung, auf das Swiss cheese Modell: https://en.m.wikipedia.org/wiki/Swiss_cheese_model
Die Devise heisst, jede Maßnahme, aka Käsescheibe hat ihre Lücken und Löcher. Deswegen braucht man mehrere Käsescheiben um die Wahrscheinlich keit einen Angreifer abzuwehren, zu erhöhen. Eine erste Scheibe in dem Fall ist die Authentifizierung zur Überweisung. Eine zweite Scheibe wäre dann eine menschliche Überprüfung die das zwar sicher auch digital, aber eben in einem separat anzugreifenden System bestätigen muss. Eine dritte Scheibe: Schlicht eine Zeit lang (Tage) warten wenn es um solche Summen geht.

Ich sehe das Problem eher in der Arroganz anzunehmen, dass man in der Lage ist digitale 600 Millionen Dollar bei einem System das Online ist sicher zu verwahren.

Naja, klassisches Geld ist heute ja auch weitestgehendst digital. Banken verwalten für Konzerne viele viele Milliarden und es werden meist keine Goldbarren physisch herumgeschoben.
Dort gibt es aber eben viel mehr Käsescheiben.

Aber ja, Axie Infinity wäre sicher gut beraten gewesen, einen Grossteil der Summe auf ein offline Wallet zu übertragen...
Daran denkt man halt nicht wenn man meint Crypto sei so sicher wie eine Bank und es passiert immer wieder

 

[Grumbl]

Wow das sowas überhaupt... passieren kann... ich frag mich echt, wie man derartig viel Geld so "lagern" kann, das da ein Zugriff in DER WEISE überhaupt möglich ist. Das ist ja schon rein aus QM Sicht eine völlige Katastrophe. ISO9001 schaffen die mit solchen Lücken im Käse ganz bestimmt nicht

Echt heftig. Wenn sowas in der "realen" Welt passiert und ein Ganoven-Team 625 Mil. Dollar aus ner Bank zu klauen vermag wird daraus ne Serie wie "Haus des Geldes"

Verrückt! Schlichtweg verrückt... wahrscheinlich verdrücken sich die Inhaber von Axie jetzt selbst mit der Kohle

 

[Richard88]

würde eine 2 faktor authentifizierung hier etwas nutzen? also ab betrag x nur mit 2fa und wartezeit?

 

[DragonTear]

würde eine 2 faktor authentifizierung hier etwas nutzen? also ab betrag x nur mit 2fa und wartezeit?

Wenn du dein Wallet selbst verwaltest (im Gegensatz zur Nutzung von Diensten wie Coinbase, Bitpanda usw.), gibt es meines Wissens nach kein 2FA bzw. kann es prinzipiell nicht geben weil das Protokoll das nicht hergibt. Bei den gängigen Cryptos wie Bitcoin und Ethereum gibt es einen einzelnen Punkt der die vollständige Überweisung anstoßen kann. Ist dieser Punkt auf einem kompromittierten Rechner\Server wie hier, bist du dein Geld los...

Natürlich technisch kein unlösbares Problem. Hier ein Paper das eine Reihe von Vorschlägen macht: https://eprint.iacr.org/2021/416.pdf
Hier kommt dann eine Achillesferse des Ganzen zum tragen: Damit man in Zukunft per Bitcoin mit 2FA zahlen könnte, muss eine Änderung des Algorithmus gefunden werden, zu der mindestens 50% der Nutzer bereit sind, zeitnah umzusteigen (denn es zählt nur die Mehrheit). Das kann man vergessen. So wie man auch befürchtet dass nach der Umstellung von Ethereum aufs stromsparende PoS, viele einfach beim alten PoW bleiben werden.

 

[Luebke]

ich kenne mich mit den kryptowährungen nicht aus, aber wie kann der täter denn diese unentdeckt in reales geld umtauschen? sind die einzelnen einheiten nicht wiedererkennbar?

 

[freakyd]

Schöne, neue Technikwelt

Cryptos als Zahlungsmittel gehören verboten. Wird nur Schindludder getrieben. Die menschliche Gier und
Dummheit kennt keine Grenzen

 

[pillenkoenig]

zum heutigen kurs sind die ~650.000 btc, die bei mt.gox abhanden gekommen sind ein vielfaches der hier gestohlenen ~600 millionen dollar wert.

 

[DragonTear]

ich kenne mich mit den kryptowährungen nicht aus, aber wie kann der täter denn diese unentdeckt in reales geld umtauschen? sind die einzelnen einheiten nicht wiedererkennbar?

Die "blockchain" muss man sich wie eine ewig lange Transaktionsliste vorstellen. Sie enthält nur aussagen wie "Wallet A hat 20 coins an Wallet B übertragen;"
Bei Bitcoin ist diese Transaktionsliste sogar öffentlich sichtbar.
Bei manchen anderen coins leider nicht. Der Diebstahl läuft dann so dass man die bitcoins gegen solche andere coins tauscht und diese dann irgendwann in echtes Geld umwandelt (oder "Services" im Darknet kauft etc.).
Den Wechselbörsen ist es meistens egal woher die coins kommen obwohl sie im Prinzip die Quelle ausfindig machen könnten. "Geld stinkt nicht" :/

 

[Luebke]

Cryptos als Zahlungsmittel gehören verboten. Wird nur Schindludder getrieben. Die menschliche Gier und
Dummheit kennt keine Grenzen

na da gibts aber so einiges was vorher verboten gehört. die hohen sprittpreise z. b. verdanken wir nicht etwa dem krieg in der ukraine; weder hat die ölmenge abgenommen noch der verbrauch zugenommen, das verdanken wir geldgeilen spekulanten. noch schlimmer beim weizen: da verhungern menschen weil spekulanten die preise hochtreiben. bisher hat der krieg gar keine auswirkung auf die getreidemenge, da gar keine erntezeit ist.
cryptos tangieren mich eigentlich nicht. hier bleiben spekulanten unter sich. die können durch die decke schießen oder ins bodenlose fallen, passiert den menschen doch nix durch. wer in cryptos investiert tut das auf eigenes risiko. das ist halt keine staatliche währung.

 

[passat3233]

noch schlimmer beim weizen: da verhungern menschen weil spekulanten die preise hochtreiben. bisher hat der krieg gar keine auswirkung auf die getreidemenge, da gar keine erntezeit ist.

Selbst wenn Erntezeit wäre:
Deutschland ist bei Weizen weitgehend Selbstversorger.
95% des Weizens kommen in Deutschland aus einheimischer Ernte.

Und was Cryptowährungen und allgemein alles digitale angeht:
Das ist immer angreifbar und tendenziell sogar unsicherer als sich mit dem Geld die Matratze zu stopfen.
Denn bei Cryprowährungen muß der Dieb nicht zu dir ins Haus kommen, er kann die von überall in der Welt erbeuten.
Beim Geld in der Matratze muß der Dieb bei dir personlich vorbeikommen.
Bei digitalen Währungen etc. komm hinzu, das die Rechenleistung jährlich steigt, die Sicherheitsvorkehrungen aber nicht in dem Maße mitziehen können.
Es wird also von Jahr zu Jahr tendenziell unsicherer.
Auch aktuelle Verschlüsselungsalgorithmen sind knackbar und zwar alle!
Sie sind derzeit nur noch deshalb so sicher, weil das Knacken mit der derzeitig zur Verfügung stehenden Rechenleistung nicht in praktikablem Zeitrahmen möglich ist.
In 20-30 Jahren wird man heute als absolut sicher geltende Verschlüsselungsalgorithmen in rel. kurzem Zeitrahmen knacken können.

 

[brometheus]

Bei solchen Beträgen lohnt es sich für Staaten in das "Geschäft" einzusteigen. Vor ein paar Jahren wurde ein nigerianischer Geldwäscher hops genommen, da haben sich auch Verbindungen zu Nord Korea angedeutet. Entsprechend professionell werden solche Operationen auch angeganen. Wenn man das mit der YOLO-Mentalität im Cryptobereich kombiniert, ist es echt nicht verwunderlich, dass es da zu solchen Hacks kommt.

Der Kerl nannte sich Hush Puppy und war als Insta-Influenza recht bekannt. Gibt ein paar recht unterhaltsame Dokus dazu

 

[Luebke]

Selbst wenn Erntezeit wäre:
Deutschland ist bei Weizen weitgehend Selbstversorger.

mir ging es eigentlich eher um die menschen in armutsregionen, die tatsächlich deshalb hungern müssen...

wie gesagt: bei cryptowährungen kann jeder frei entscheiden ob er darin investieren will oder nicht. da sehe ich das eher als risiko, das dazugehört. insgesamt wirkt sich das auf die währung ja auch nicht schädlich aus.

 

[passat3233]

Vergessen wird auch, das die Leute, die Mining von Cryptowährungen betreiben, dieses mit ihrer Stromrechnung bezahlen.
Und die dazu nötige Hardware kostet auch Geld.
Umsonst bekommt man die Cryptowährungen also nicht!

Bzgl. Armutsregionen hast du Recht.
Da ist insbesondere Afrika von den ausfallenden Weizenlieferungen aus der Ukraine betroffen.