Umgang mit Cybersicherheitsrisiken bei kryptogestützten Krediten

Da kryptogestützte Kredite bei Institutionen und Privatnutzern immer beliebter werden, ist jede neue Transaktion von Cybersicherheitsrisiken geprägt. Milliarden an digitalen Vermögenswerten, die mittlerweile auf diesen Plattformen verpfändet sind, bedeuten, dass selbst eine einzige Sicherheitsverletzung Schockwellen durch die gesamte Blockchain-Wirtschaft auslösen könnte.

Anfang 2024 verfügten dezentrale Finanzkreditpools über rund 80 Milliarden US-Dollar, berichtet DeFiLlama. Krypto-gestützte Kredite ermöglichen es Nutzern, Liquidität zu erschließen, ohne Coins verkaufen zu müssen, während Kreditgeber BTC-Sicherheiten bündeln, um das Geschäft abzusichern. Dieser Nutzen macht diese Plattformen jedoch zu einem größeren Ziel als je zuvor, da Hacker ihr Handwerk verfeinern.

Dieser Artikel beleuchtet die Cybersicherheitslage für Bitcoin-Kreditdienste und beleuchtet typische Angriffsvektoren, schmerzhafte Hacks in der Praxis, pragmatische Abwehrmaßnahmen und die regulatorische Tendenz, strengere Verhaltensregeln zu fordern. Leser erhalten ein umfassendes Bild der Bedrohungen und Abhilfemaßnahmen, die diesen dynamischen Bereich der digitalen Finanzwelt prägen.

Auf Krypto-Kredit-Websites können Nutzer Vermögenswerte wie Bitcoin oder Ethereum sperren und gegen diese Sicherheiten Bargeld oder Stablecoins leihen. So erhalten Kreditnehmer schnellen Zugriff auf Geld, ohne ihre Coins verkaufen zu müssen. Dieser Ansatz erhöht zwar die Liquidität, eröffnet aber auch verschiedene Angriffswege, die Angreifer ausnutzen können.

Eines der größten Probleme dieser Plattformen ist der Smart-Contract-Missbrauch. Tief im Code verborgene Fehler können unerwartet ausgelöst werden und Hackern den Diebstahl von gesperrten Sicherheiten ermöglichen. Ein ernüchternder Beweis dafür war der Hack von Inverse Finance im Jahr 2022. Dort manipulierten böswillige Akteure Preis-Oracle-Daten und erbeuteten mehr als 15 Millionen Dollar. Dies verdeutlichte, wie verheerend Oracle-Missbrauch sein kann.

Der Diebstahl privater Schlüssel ist nach wie vor eine weitere Quelle schwerwiegender Verluste. Da viele Kreditdienste die Vermögenswerte ihrer Nutzer in einer Depot-Wallet aufbewahren, sind die zum Transfer dieser Coins benötigten Schlüssel für Diebe besonders verlockend. Geraten diese Schlüssel in die falschen Hände, können Kriminelle Geld transferieren, lange bevor es jemand bemerkt. Ein schmerzhaftes Beispiel aus dem Jahr 2023 war das Atomic Wallet-Fiasko , bei dem Diebe dank schlecht geschützter Schlüssel bei einem Drittanbieter über 35 Millionen Dollar erbeuteten.

Phishing und Malware treffen alltägliche Nutzer hart. Auf Telegram und Discord sind Kits aufgetaucht, die gefälschte Kreditseiten fälschen und Opfer dazu verleiten, Wallet-Schlüssel oder Seed-Phrasen herauszugeben. Gleichzeitig schleichen sich betrügerische Browser-Erweiterungen ein, die Daten aus der Zwischenablage stehlen, sodass gestohlene Wallet-Adressen ausgetauscht und Überweisungen umgeleitet werden können.

Ein Blick auf vergangene Hacks im Bereich der Kryptokreditvergabe zeigt, wo Schwachstellen übersehen wurden und wie unzureichend die Reaktionen waren.

Im Jahr 2022 fror Celsius Network Abhebungen ein und meldete anschließend Insolvenz an – all dies inmitten einer größeren Liquiditätskrise. Während Überschuldung und ein Markteinbruch den Zusammenbruch verursachten, wiesen durchgesickerte interne Memos später auf lückenhafte Risikokontrolle und unzureichende Überwachung hin. Diese Lücken ließen seltsame Aktivitäten viel zu lange durch und trugen zur Erschöpfung der Kundenvermögen bei.

Im selben Jahr wurde Cream Finance Opfer einer Reihe von Hackerangriffen . Allein ein einziger Schaden belief sich auf über 130 Millionen Dollar. Die Angreifer nutzten einen Reentrancy-Fehler im Kreditcode aus, den erfahrene Prüfteams normalerweise aufdecken, der aber im laufenden Vertrag nie behoben wurde. Die wiederholten Angriffe weckten Zweifel daran, wie gründlich Plattformen Codes testen und ob sie Probleme nach Abschluss einer Prüfung wirklich beheben.

Jüngste spektakuläre Angriffe zeigen, dass Sicherheitsverletzungen sowohl auf Codeschwächen als auch auf grundlegenden Prozessfehlern beruhen, beispielsweise fehlenden Updates, unzureichender Mitarbeiterschulung und nachlässigen Multi-Sig-Regeln.

Der Schutz von Krypto-Kreditplattformen erfordert umfassende Abwehrmaßnahmen, die technische Kontrollen, solide Verfahren und Benutzerschulungen kombinieren.

Erstens sollte jeder neue Smart Contract ausnahmslos gründliche Prüfungen durch externe Experten bestehen. Anschließend muss eine formale Verifizierung erfolgen, die die Vertragslogik mathematisch prüft und so eine zweite Beweisebene schafft.

Robuste Multi-Signatur-Wallets gepaart mit Schwellenwertzugriff verringern die Wahrscheinlichkeit, dass eine Person über Nacht Gelder abzieht. Aus diesem Grund ist die Gnosis Safe Multi-Sig zu einem beliebten Tool für DeFi-Projekte geworden.

Ebenso wichtig ist die Erkennung von Anomalien in Echtzeit. Solche Systeme melden ungewöhnliches Vertragsverhalten – wiederholte Oracle-Anrufe oder riesige Sicherheitsabrufe innerhalb von Sekunden – und frieren in Verbindung mit automatisierten Notausschaltern den Betrieb ein, bis ein Mensch eine Überprüfung durchführen kann.

Auf der Benutzerseite müssen die Verwendung von Hardware-Wallets und die regelmäßige Zwei-Faktor-Authentifizierung die Standardeinstellung sein. Stärkere Optionen wie die Anmeldung per Fingerabdruck oder Whitelist-Adressen bieten zusätzlichen Schutz vor Phishing- oder Social-Engineering-Betrug .

Bug-Bounty-Programme laden ethische Hacker ein, gegen Bezahlung Systemfehler zu finden und zu melden, wodurch die Offenlegung von Schwachstellen zu einer umsatzorientierten Sicherheitsebene wird.

Regulierungsbehörden fügen dieser Ebene nun Compliance-Checklisten hinzu, um sicherzustellen, dass Fixes nicht auf der Strecke bleiben.

In immer mehr Rechtsräumen betrachten die Behörden die Cybersicherheit als zentral für die Finanzstabilität und bewerten Krypto-Kreditplattformen aus dieser Perspektive.

In Europa verlangt die bevorstehende Verordnung über Märkte für Krypto-Assets ( MiCA ) von Wallet-Betreibern und Börsen, formelle Cyber-Regeln zu erarbeiten, jährliche Red-Team-Tests durchzuführen, die Aufsichtsbehörden innerhalb weniger Stunden nach einem Verstoß zu benachrichtigen und klare Spielbücher zu führen, aus denen hervorgeht, wie sie ihre Dienste wiederherstellen.

Singapur hat einen ähnlichen Weg eingeschlagen: Die Währungsbehörde erwartet von Unternehmen, die mit digitalen Vermögenswerten arbeiten, dass sie sensible Daten verschlüsseln, Anleitungen für sicheren Code in die Handbücher der Entwickler einbetten und IT-Anbieter mit der gleichen Sorgfalt prüfen wie internen Code.

In den USA werden die Vorschriften noch immer verhandelt und widersprüchliche Gerichtsberichte trüben das Bild. Dennoch haben sowohl die SEC als auch die CFTC in Fällen, in denen US-Verbraucher involviert waren, Sicherheitslücken angeführt.

Ihre Geldstrafen zeigen, dass mangelnde Abwehrmaßnahmen gegen gut dokumentierte Angriffsmuster mittlerweile als erhebliches Risiko gelten. Dies untermauert die Notwendigkeit von Tests, Vorfallprotokollen und Wiederherstellungsübungen, bevor die Aufsichtsbehörden eintreffen.

Weltweit spüren grenzüberschreitende Kreditplattformen einen zunehmenden Druck, sich an globale Best-Practice-Regeln anzupassen. In diesem Umfeld hat sich die ISO/IEC 27001-Zertifizierung für Informationssicherheitsmanagement zu einem informellen Vertrauenszeichen entwickelt – selbst dort, wo dies gesetzlich noch nicht vorgeschrieben ist.

Kryptogestützte Kreditplattformen sind ein schnell wachsender, aber naturgemäß prekärer Bereich der digitalen Finanzwelt. Mit Milliarden an gesperrten Sicherheiten locken sie raffinierte Hacker an, die selbst kleine Lücken auszunutzen wissen.

Frühere Angriffe haben gezeigt, dass schwacher Code und mangelnde Governance zusammen enorme Summen vernichten können. Mit dem Wachstum der Branche werden strengere Sicherheitsmaßnahmen, die durch strenge interne Richtlinien und klare externe Regeln gewährleistet werden, unerlässlich sein, um das Vertrauen der Benutzer aufrechtzuerhalten.

Ohne dieses solide Fundament der Cybersicherheit könnten sich Bitcoin-Kredite und kryptobesicherte Produkte als schwächstes Glied in der Branche der digitalen Vermögenswerte erweisen.