Achtung! Diese Anwendung stiehlt deine Bitcoin!

Das Tornetzwerk, welches vielfach für den Zugriff auf das Dark Web verwendet wird, hat offensichtlich ernstzunehmende Schwachstellen, welche zurzeit stark ausgenutzt werden. Eine einzige böswillige Entität kontrolliert nahezu ein Viertel aller Knoten und nutzt diese Position, um Bitcoin und andere Kryptowährungen zu stehlen.

Ein anonymer Cyber-Sicherheitsanalyst mit dem Namen “nusenu” hat vor einigen Tagen einen Blogpost veröffentlicht, in dem er den Angriff beschreibt. Laut seiner Analyse besetzt die böswillige Entität sogenannte Relayknoten, welche die Endpunkte im Netz darstellen. Zu diesen Endpunkten sind einerseits die Datenquellen und andererseits die Nutzer verbunden. Durch einen Mittelmann-Angriff (Man in the Middl Attack) versucht sich der Angreifer zwischen Nutzer und Datenquelle einzuklinken. Gelingt dies jubelt er dem Nutzer falsche Daten unter.

Hauptsächlich soll sich der Angreifer auf Bitcoin Mixer-Dienste spezialisiert haben. Möchte ein Nutzer seine Bitcoin anonymisieren sendet ihm der Angreifer falsche Empfangsadressen, nämlich die Seinen, anstelle jener des Mixer-Dienstes. Auch funktioniert der Angriff in die umgekehrte Richtung. Möchte der Nutzer seine Empfangsadresse an den Mixerdienst senden, tauscht der Angreifer diese mit der seinen aus.

Je mehr Relays der Hacker kontrolliert, desto höher ist seine Erfolgswahrscheinlichkeit. Wegen der Tatenlosigkeit des Tornetzwerkes konnte er laut nusenu die Anzahl der Relays seit Dezember von 10 % auf über 20 % verdoppeln. Es ist unklar wie viel Beute der Angreifer bereits machen konnte. Mindestens ein Bitcoin Mixer hat bereits zusätzliche Sicherheitsmechanismen hinzugefügt, um seine Kunden zu schützen.

Es ist völlig unklar wer der Angreifer ist und welches Motiv ihn neben finanzieller Bereicherung noch antreiben könnte.

Wie kann man seine Bitcoin schützen?

Der Hacker versucht eine verschlüsselte Verbindung in eine unverschlüsselte umzuwandeln, damit er den ganzen Datenverkehr mitlesen kann. Vertrauenswürdige Seiten veröffentlichen ihren TSL öffentlichen Schlüssel. Der Browser überprüft diesen im Normalfall und kann somit die Authentizität der Verbindung überprüfen. Deshalb sollte man bei Wertetransaktionen immer auf das Schloss oben rechts in der Adressleiste achten und darauf, dass die Adresse mit “https://” beginnt und nicht mit “http://”. Es gibt zwar ein Protokoll, welches diesen Angriff verhindert, jedoch ist dieses (noch) nicht weit verbreitet, bzw. wird es zurzeit von wenigen Webseiten unterstützt.