Sicherheitsberater deckt Schwachstelle in Coinomi Wallet auf, angeblich Krypto im Wert von rund 53.000 Euro gehackt

0
Sicherheitsberater deckt Schwachstelle in Coinomi Wallet auf, angeblich Krypto im Wert von rund 53.000 gehackt - Coincierge
Coinomi im Fokus

Der Kryptowährungs-Wallet Coinomi ist wieder einmal in einen Sicherheitsskandal verwickelt: Demnach behauptet ein Sicherheitsberater, eine Schwachstelle im Dienst gefunden zu haben. Angeblich würde der Dienst ganze Seed-Phrasen (die Backup-Informationen, die zur Wiederherstellung einer Krypto-Wallet benötigt werden) an unverschlüsselte Server senden – sodass Hacker die Daten möglicherweise abfangen und das Geld des Benutzers stehlen können.

Al Maawali, ein “Kryptowährungsstratege und Sicherheitsberater” aus dem Oman, behauptet, eine Schwachstelle im Coinomi-Desktop-Wallet gefunden zu haben. Wie viele andere Software-Wallets verwendet Coinomi eine 12-Wort-Seed-Phrase zur Wiederherstellung des Wallets.

Maawali erstellte eine Website, die den Exploit detailliert erklärt, nachdem er angeblich zwischen umgerechnet rund 53000 und 61500 Euro in Kryptowährungen durch den Fehler verloren hatte. Auf der Webseite beschreibt er aus technischer Perspektive, wie der Wallet Passphrasen im Klartext speichert, d.h. unverschlüsselt, bevor sie an die Server von Coinomi gesendet werden, um dort eine “Rechtschreibprüfung” durchzuführen – eine Funktion, die es angeblich einfacher für Benutzer macht, Tippfehler zu erkennen, wenn sie ihre 12-Wort-Seed-Phrasen eingeben. Er dokumentierte den Fehler per Video, und das Coinomi Wallet Team hatte bereits einige Antworten für Maawalis Anschuldigungen parat, nachdem er eine Entschädigung für seine Verluste gefordert hatte.

Das gesamte Gespräch zwischen Maawali und Coinomi wurde von der Firma auf ihrer Twitter-Seite veröffentlicht, nachdem der Streit eskaliert war. Laut Maawali ist der Vorfall auf eine schlechte Sicherheitsimplementierung seitens Coinomi zurückzuführen. Unterdessen antwortete das Unternehmen, dass es nicht “mit Erpressern verhandelt”, nachdem Maawali eine Entschädigung für seine Verluste gefordert hatte.

Jede Geschichte hat zwei Seiten

Anzeige

Wenige Stunden nach Maawalis öffentlichen Anschuldigungen veröffentlichte das in London ansässige Unternehmen hinter Coinomi eine offizielle Erklärung. Darin wurde bestätigt, dass die Rechtschreibprüfung für Desktop-Wallets tatsächlich aktiviert war, es folgte aber auch die Ergänzung, dass nicht alle Seed-Phrasen unverschlüsselt übertragen wurden. Angeblich wurden die Daten verschlüsselt übertragen und nur an die Cloud-Server gesendet, die Coinomi für seinen Service nutzt.

Coinomi betonte jedoch auch, dass Seed-Phrasen nur dann übertragen wurden, wenn die Benutzer sich entschieden haben, ihre Brieftasche mit dem Seed wiederherzustellen. Schließlich behauptete das Unternehmen, dass die an die Server gesendeten Daten nicht “verarbeitet, gecached oder gespeichert” wurden, was darauf hindeutet, dass es für einen Servermitarbeiter unmöglich wäre, die Seeds abzufangen oder zu finden.

Coinomi behauptet stattdessen, dass die Rechtschreibprüfung tatsächlich korrekt implementiert wurde. Die Ursache für den Hack war nach Angaben des Unternehmens eine “schlechte Konfiguration”, außerdem seien “alle Desktop-Versionen sofort gepatcht” worden. Darüber hinaus behauptet Coinomi, dass Maawali nur kooperieren wolle, wenn er entschädigt würde:

[Er] weigerte sich, seine Ergebnisse offen zu legen und drohte, mit der Angelegenheit an die Öffentlichkeit zu gehen“, es sei denn, es werde eine Zahlung von 17 BTC geleistet, um ihn für die angeblich gestohlenen Gelder zu entschädigen.

Das Unternehmen betonte ferner, dass ihm keine weiteren Berichte über beeinträchtigte Desktop-Wallets zur Kenntnis gebracht wurden. Derzeit untersucht die Firma “die Echtheit von Maawalis Behauptungen” und erklärt, dass der Hack “mit größerer Wahrscheinlichkeit auf einen infizierten Host als auf einen Serverdienst“ zurückzuführen sei. Allerdings verspricht das Unternehmen auch, dass es, sollte es bei der Beurteilung des Vorfalls falsch liegen, für die Betroffenen eine Lösung anbieten wird.

Coincierge

Bildnachweis: pixabay, CC0 Textnachweis: cryptoslate

Letztes Update:

Vorheriger ArtikelXRP Ripple Liquid Index: Nasdaq-Listing in der Endphase, Bitcoin- und Ethereum-Indizes live
Nächster ArtikelSquare meldet den bisher größten Bitcoin-Umsatz von umgerechnet fast 46 Millionen Euro
Ich beschäftige mich seit einigen Jahren täglich mit dem Thema Kryptowährungen und habe es mir zur Aufgabe gemacht, die komplexe Materie einfach darzustellen.