Krypto-Investor verliert $800k aus seinen Wallets in 46 Stunden

Ein Krypto-Investor, der unter dem Pseudonym Sell When Over bekannt ist, wandte sich an Twitter, um einen beunruhigenden Vorfall aufzuschlüsseln, bei dem ein Hacker innerhalb von nur 46 Stunden 800.000 $ von seinen Krypto-Wallets abzweigte. Das Hauptproblem scheint sich um einen potenziellen Google Chrome-Exploit zu drehen, der möglicherweise durch verzögerte Updates oder unentdeckte Malware erleichtert wurde, was zur unbefugten Installation schädlicher Erweiterungen führte.

Das Enthüllen der Sicherheitsschichten

Sell When Over erzählte, wie er ein Chrome-Update verschob, nur um durch ein nachfolgendes Windows-Update dazu gedrängt zu werden. Nach dem Neustart waren die Änderungen an Chrome sofort sichtbar: Verschwundene Tabs und zurückgesetzte Erweiterungs-Logins. Diese Anomalie zwang ihn, seine Wallet-Samen neu zu importieren – einen Prozess, den er sorgfältig von einem sekundären, nicht kompromittierten Gerät aus durchführte.

Allerdings deuteten die Entdeckung von zwei seltsamen Erweiterungen, „Sync Test Beta“ und „Simple Game“, zusammen mit einer unerwünschten Aktivierung der Auto-Korean-Übersetzung auf einen tieferen Kompromiss hin. Interessanterweise blieb eine bestimmte Wallet-App, die vom Neuanmeldeprozess verschont wurde, unbeeinflusst, was den Ursprung des Einbruchs auf einen einzelnen kompromittierten PC eingrenzte.

Weitere Untersuchungen dieser Erweiterungen alarmierende Funktionen auf. „Sync Test Beta“, eine lebhaft gefärbte Erweiterung, wurde als Keylogger identifiziert, der Daten heimlich an ein externes PHP-Skript übertrug. Andererseits schien „Simple Game“ die Aktivitäten der Browser-Tabs zu überwachen. Sell When Over bedauerte die Weisheit der hindsight, einen vollständigen PC-Wipe bei der geringsten Anomalie durchzuführen, insbesondere wenn solche Seltsamkeiten mit bedeutenden Updates wie Chomes UI-Überarbeitung zusammenfallen.

Eine kostspielige Lektion in digitaler Wachsamkeit

Als sich der Thread ausweitete, enthüllte Sell When Over eine kritische Sicherheitslücke – einen Google-Login-Breaching, der mit einem obskuren Windows-Gerät verbunden war, das möglicherweise einen vertrauten Gerätenamen vortäuschte, um die frühe Erkennung zu umgehen. Dieser Einbruch wurde auf einen VPS zurückgeführt, der von Kaopu Cloud gehostet wird, der in Hackerkreisen für seine Rolle bei verschiedenen Cyber-Verfehlungen berüchtigt ist. Trotz aktivierter Zwei-Faktor-Authentifizierung (2FA) umging der Angreifer diese, sodass die genaue Breach-Methode – von OAuth-Phishing bis hin zu Cross-Site-Scripting – eine Frage der Spekulation bleibt.

Der Vorfall diente als brutaler Weckruf, wobei Sell When Over mehrere wichtige Erkenntnisse teilte:

1. Enttäuschung über Bitdefenders Versagen, jegliche Bedrohungen zu erkennen, im Gegensatz zur Wirksamkeit von Malwarebytes.
2. Eine Warnung vor Selbstgefälligkeit in der Sicherheit, unabhängig von der Menge der verwalteten Kryptowährung.
3. Ein strenger Rat, niemals Samensätze unter irgendeinem Vorwand einzugeben, und stattdessen einen frischen Systemaufbau zu empfehlen.
4. Aufgabe von Chrome zugunsten sichererer Browser wie Brave.
5. Die Bedeutung der Geräte-Trennung, insbesondere für Krypto-Transaktionen.
6. Regelmäßige Überwachung von Google-Aktivitätswarnungen.
7. Empfehlungen, das Synchronisieren von Erweiterungen zu deaktivieren, insbesondere auf Geräten, die für Krypto bestimmt sind.
8. Eine Anerkennung der Grenzen von 2FA.
9. Die Notwendigkeit routinemäßiger Sicherheitsaudits und prozeduraler Updates, um latente Bedrohungen abzuwehren.

Trotz des finanziellen Verlusts klärte Sell When Over auf, dass sein Hardware-Wallet sicher blieb und wies jegliche Spekulationen über Steuervermeidungsmotive hinter dieser Offenlegung zurück. Obwohl ein Teil der gestohlenen Gelder begann, gewaschen zu werden, wurde eine hoffnungsvolle Belohnung von 150.000 $ für ihre Rückgabe angeboten, zusammen mit Überlegungen für eine belohnungsbasierte forensische Untersuchung.

Die Saga endete mit einem Ton der anhaltenden Wachsamkeit, insbesondere vor dem Hintergrund von Googles fragwürdiger Entscheidung, Sicherheitswarnungen zu durchbohren – eine Bewegung, die den Einbruch möglicherweise maskierte.