CZ: Nutzer sollten ihre Daten schützen und die Wiederverwendung von Informationen über verschiedene Plattformen hinweg reduzieren

Datenlecks sind in der Kryptowährungsbranche zu einem dauerhaften Risiko geworden. Selbst wenn Kundengelder nicht unmittelbar betroffen sind, können durchgesickerte personenbezogene Daten die Grundlage für Phishing, SIM-Swapping, Identitätsdiebstahl und gezielte Social-Engineering-Angriffe schaffen.

Am 28. Oktober wies Binance-Gründer Changpeng Zhao, allgemein als CZ bekannt, auf mehrere Fälle von Datenlecks bei Unternehmen aus dem Bereich digitaler Vermögenswerte sowie aus dem traditionellen Finanzsektor hin. Bei den gemeldeten Fällen ging es um einen mit Coinbase verbundenen Dienstleister, die südkoreanische Kryptobörse Bithumb sowie zwei koreanische Wertpapierfirmen: Mirae Asset und Daishin Securities. Im Zusammenhang mit Coinbase sollen vor allem Kontaktdaten von Nutzern betroffen gewesen sein, nicht der Zugriff auf deren Vermögenswerte.

Die Vorfälle machen eine wichtige Tatsache für Kryptonutzer deutlich: Sie können möglicherweise nicht verhindern, dass ein Unternehmen Opfer eines Angriffs wird. Sie können jedoch den Schaden begrenzen, der durch die von ihnen weitergegebenen Informationen entsteht.

Warum ein Datenleck zu einem Sicherheitsproblem für Kryptowährungen werden kann

Eine durchgesickerte E-Mail-Adresse oder Telefonnummer mag für sich genommen harmlos wirken. Angreifer können jedoch mehrere Datenpunkte miteinander verknüpfen, um ein überzeugendes Profil des Opfers zu erstellen.

Bei Datenlecks im Finanzdienstleistungsbereich können unter anderem folgende Informationen offengelegt werden:

• Vollständiger Name
• E-Mail-Adresse
• Telefonnummer
• Wohn- oder Postanschrift
• Angaben aus Ausweisdokumenten
• Handels- oder Kontobewegungen
• Interaktionen mit dem Kundendienst

Mit diesen Informationen lassen sich betrügerische Nachrichten glaubwürdig gestalten. Ein Angreifer kann sich als Börse, Wallet-Anbieter, Bank oder Compliance-Team ausgeben und behaupten, der Empfänger müsse einen Verifizierungsschritt abschließen, ein Konto entsperren oder eine verdächtige Transaktion bestätigen.

Oft besteht das Ziel nicht darin, direkt in eine Plattform einzudringen. Stattdessen versuchen Angreifer, das Opfer dazu zu bringen, ein Passwort preiszugeben, eine Transaktion zu genehmigen, Schadsoftware zu installieren oder eine Wiederherstellungsphrase offenzulegen.

Die Hinweise der U.S. Federal Trade Commission zu SIM-Swapping-Betrug erklären, wie Kriminelle die Kontrolle über die Telefonnummer eines Opfers übernehmen und sie zum Empfang von Authentifizierungscodes nutzen können. Im Kryptobereich ist dies besonders gefährlich, wenn eine Telefonnummer zur Kontowiederherstellung oder als primärer Faktor für den Kontozugriff dient.

Die Risiken der Wiederverwendung derselben Informationen überall

Viele Nutzer registrieren sich bei mehreren Börsen, Wallets, NFT-Marktplätzen, Zahlungsdiensten und Blockchain-Anwendungen mit derselben E-Mail-Adresse und Telefonnummer. Das erleichtert zwar die Kontoverwaltung, schafft aber zugleich eine starke Verbindung zwischen eigentlich voneinander getrennten Diensten.

Wird eine Datenbank kompromittiert, können Angreifer die durchgesickerten Informationen nutzen, um:

1. Andere Plattformen zu identifizieren, bei denen das Opfer möglicherweise ein Konto besitzt.
2. Die reale Identität einer Person mit ihren Kryptoaktivitäten zu verknüpfen.
3. Hochgradig personalisierte Phishing-Nachrichten zu versenden.
4. Passwortzurücksetzungen bei anderen, nicht miteinander verbundenen Diensten zu versuchen.
5. Über öffentlich zugängliche Quellen nach weiteren Informationen zu suchen.
6. Das Opfer mit Social-Engineering-Angriffen gezielt anzugreifen.

Je mehr Plattformen dieselben Identifikationsmerkmale verwenden, desto leichter lässt sich ein umfassendes Profil erstellen. Besonders problematisch ist das für Nutzer, die digitale Vermögenswerte auf mehreren Börsen halten oder unter einer eindeutig erkennbaren Identität mit dezentralen Anwendungen interagieren.

Datenminimierung ist daher nicht nur ein Datenschutzprinzip. Sie ist auch Bestandteil einer praktischen Sicherheitsstrategie für Kryptowährungen.

Verwende für verschiedene Dienste separate E-Mail-Aliase

Eine der einfachsten Verbesserungen besteht darin, für jede wichtige Börse oder Finanzplattform einen eigenen E-Mail-Alias zu verwenden.

Statt überall dieselbe Adresse zu nutzen, könnte ein Nutzer beispielsweise separate Aliase einrichten für:

• Eine zentralisierte Kryptobörse
• Einen Fiat-On-Ramp
• Eine Handelsplattform
• Einen Blockchain-Analyseanbieter
• Ein Software- oder Hardware-Wallet-Konto
• Einen nichtfinanziellen Webdienst

Gehen später verdächtige Nachrichten bei einem bestimmten Alias ein, kann der Nutzer erkennen, welcher Dienst die Adresse möglicherweise offengelegt oder weitergegeben hat. Noch wichtiger ist, dass ein individueller Alias es Angreifern erschwert, dieses Konto mit den anderen Online-Identitäten des Nutzers zu verknüpfen.

Ein Alias ist jedoch kein Ersatz für eine starke Authentifizierung. Am wirksamsten ist er in Kombination mit einem einzigartigen Passwort, einem Passwortmanager und – sofern verfügbar – phishing-resistenter Multi-Faktor-Authentifizierung. Die Leitlinien des National Institute of Standards and Technology zur digitalen Identität enthalten weiterführende Empfehlungen zur Authentifizierung und Kontosicherheit.

Teile so wenige persönliche Informationen wie möglich

Nutzer sollten außerdem sorgfältig prüfen, welche Informationen bei der Kontoeröffnung und Verifizierung tatsächlich erforderlich sind.

Einige Kryptoplattformen müssen aufgrund gesetzlicher und regulatorischer Vorgaben Identitätsdaten erheben. In solchen Fällen lässt sich die Übermittlung von Dokumenten möglicherweise nicht vermeiden. Dennoch können Nutzer ihre unnötige Datenexposition verringern, indem sie:

• Optionale Profilfelder nicht ausfüllen
• Nicht mehr benötigte Telefonnummern, sofern möglich, aus Konten entfernen
• Die öffentliche Bekanntgabe von Wallet-Adressen einschränken
• Keine Screenshots teilen, auf denen Guthaben oder Transaktionsverläufe zu sehen sind
• Persönliche Social-Media-Profile von Kryptoidentitäten trennen
• Die Datenschutzeinstellungen von Börsen und Finanz-Apps überprüfen
• Inaktive Konten löschen, sofern der Dienst dies ermöglicht

Beim Teilen von Ausweisdokumenten mit unbekannten Plattformen ist ebenfalls Vorsicht geboten. Vor Abschluss einer Verifizierung sollten Nutzer die rechtliche Identität des Unternehmens, seine Sicherheitsmaßnahmen, die Datenschutzrichtlinie und die Kundendienstkanäle prüfen. Eine Aufforderung zur Übermittlung sensibler Dokumente, die über eine unaufgeforderte Nachricht eingeht, sollte als verdächtig betrachtet werden – selbst wenn die Nachricht korrekte persönliche Angaben enthält.

Schutz vor Phishing nach einem Datenleck

Ein Datenleck kann zukünftige Betrugsversuche glaubwürdiger erscheinen lassen. Nutzer sollten davon ausgehen, dass eine Nachricht mit ihrem Namen, ihrer Telefonnummer oder Teilen ihrer Transaktionshistorie trotzdem betrügerisch sein kann.

Vor dem Ergreifen weiterer Maßnahmen:

• Klicke nicht auf Links in unerwarteten Kontowarnungen.
• Öffne den Dienst über eine gespeicherte Website oder die offizielle Anwendung.
• Gib niemals eine Seed-Phrase, einen privaten Schlüssel oder einen einmaligen Authentifizierungscode weiter.
• Behandle dringende Aufforderungen im Zusammenhang mit Auszahlungen oder Kontosperrungen als besonders riskant.
• Überprüfe Supportanfragen über einen unabhängigen Kommunikationskanal.
• Kontrolliere den exakten Domainnamen, bevor du Zugangsdaten eingibst.
• Installiere keine Software auf Aufforderung eines unbekannten „Supportmitarbeiters“.

Eine seriöse Plattform benötigt niemals die Wiederherstellungsphrase eines Nutzers, um den Zugang wiederherzustellen oder eine Transaktion zu untersuchen. Wer danach fragt, versucht, die Kontrolle über das Wallet zu übernehmen.

Auch die Phishing-Hinweise der Cybersecurity and Infrastructure Security Agency empfehlen, innezuhalten und unerwartete Anfragen unabhängig zu überprüfen, statt unter Druck zu reagieren.

Selbstverwahrung beseitigt Datenschutzrisiken nicht

Self-Custody kann die Abhängigkeit von Drittanbietern bei der Kontrolle privater Schlüssel verringern, löst jedoch nicht automatisch Probleme im Zusammenhang mit Identität und Datenschutz.

Ein Nutzer kann seine Vermögenswerte in einem selbstverwahrten Wallet halten und dennoch persönliche Daten über Börsenkonten, Blockchain-Anwendungen, soziale Plattformen oder öffentlich bekannt gegebene Wallet-Adressen preisgeben. Ist eine Wallet-Adresse mit einem Namen, einer E-Mail-Adresse oder einem Handelskonto verknüpft, können On-Chain-Aktivitäten leichter analysiert und einer realen Identität zugeordnet werden.

Ein sichererer Ansatz kombiniert mehrere Schutzebenen:

• Bewahre private Schlüssel und Wiederherstellungsphrasen offline auf.
• Verwende für Finanzdienste eine eigene E-Mail-Identität.
• Veröffentliche Wallet-Adressen nicht unnötig.
• Überprüfe Transaktionsdetails vor dem Signieren.
• Trenne langfristige Bestände von Aktivitäten des häufigen Handels.
• Bewahre Backups sicher auf und speichere Wiederherstellungsphrasen niemals in Cloud-Dokumenten oder Messaging-Apps.

Für Nutzer, die ihre privaten Schlüssel selbst kontrollieren möchten, bieten Hardware-Wallets von OneKey eine Offline-Signierumgebung, die dazu beitragen soll, sensible Wallet-Vorgänge von potenziell kompromittierten Computern und Websites zu isolieren. Dies verhindert zwar nicht, dass eine Börse oder ein Dienstleister Opfer eines Datenlecks wird, kann jedoch das Risiko verringern, dass durchgesickerte Kontaktdaten direkt zu einer unbefugten Genehmigung von Transaktionen führen.

Ein widerstandsfähigeres Sicherheitsmodell für Kryptonutzer

Keine einzelne Sicherheitsmaßnahme kann jeden Angriff verhindern. Datenlecks können bei Börsen, Analyseanbietern, Zahlungsdienstleistern, Telekommunikationsunternehmen und Finanzinstituten außerhalb der Kryptobranche auftreten.

Das realistischere Ziel besteht darin, den Umfang der offengelegten Informationen zu begrenzen, die Verknüpfung zwischen Konten zu erschweren und sicherzustellen, dass eine geleakte Identität nicht automatisch zur Kontrolle über digitale Vermögenswerte führt.

Einzigartige E-Mail-Aliase, die Einschränkung unnötiger Datenweitergabe, eine stärkere Authentifizierung und die Trennung privater Schlüssel von Onlinediensten können die Sicherheitslage eines Nutzers erheblich verbessern. Wie CZs Warnung zeigt, entwickelt sich der Schutz persönlicher Daten zu einem unverzichtbaren Bestandteil eines verantwortungsvollen Umgangs mit Kryptowährungen – und ist längst kein optionales Datenschutz-Upgrade mehr.