Nach Cryptopia-Hack: Wie sicher sind Bitcoin-Börsen?

Dass der sicherste Ort, seine Bitcoin, Monero & Co. zu verwahren, die eigene Wallet ist, sollte sich langsam herumgesprochen haben. Wer allerdings Kryptowährungen untereinander tauschen – sprich: Handel treiben möchte – findet dafür zahlreiche Anlaufstellen in Form von Krypto-Börsen. Der Umstand, dass die meisten Bitcoin-Börsen über eine zentralisierte Infrastruktur und damit einen Single Point of Failure verfügen, macht sie jedoch angreifbar – von außen und von innen. Auch in diesem noch jungen Jahr gab es bereits einen Fall von verschwundenen Funds, der für Aufsehen sorgte. Die neuseeländische Krypto-Exchange Cryptopia vermeldete am 15. Januar den Verlust von Kryptowährungen im Gegenwert von mehreren Millionen US-Dollar.

Bis dezentralisierte Exchanges (DEX) ein breiteres Publikum finden, werden ihre zentralisierten Pendants weiterhin das Krypto-Trading bestimmen. Doch welche Bitcoin-Börsen gelten als sicher? Die ICO-Ratingseite trackico hat im Dezember des vergangenen Jahres 135 Krypto-Exchanges auf Herz, Nieren – vor allem aber: Sicherheit – überprüft.

Dabei legten die Analysten den Fokus auf vier Kriterien.

Account-Sicherheit

An erster Stelle betrachteten die Experten die Benutzersicherheit. Ist es möglich, ein schwaches Benutzerpasswort zu erstellen? Wie steht es um den Code? Enthält dieser potenzielle Fehlerquellen, die zu Problemen in der Anwendung führen könnten? Wie gestaltet sich die Transaktionsbestätigung per E-Mail? Ist eine Zwei-Faktor-Authentifizierung (z. B. Login mit einem per SMS versandten Code) möglich?

Die Analysten stellten fest, dass nur 22 Prozent der Börsen in allen vier der oben genannten Punkte glänzen konnten. Ein Prozent der 135 untersuchten Exchanges erfüllte lediglich zwei oder weniger Kriterien auf zufriedenstellende Weise.

Domain-Sicherheit

Einen zweiten Schwerpunkt in der Analyse bildete die Sicherheit der Webadresse. Neben einem Registry Lock, der Veränderungen an der Domain unterbindet, sollten für deren Anmeldung sogenannte Role Accounts verwendet worden sein. Dadurch bleiben die Daten der Person (sprich: des/der Exchange-Angestellten), die die Domain angemeldet hat, geschützt. Das wiederum bewahrt Exchange-Mitarbeiter vor gezielten Hacker-Angriffen. Daneben hätten die Experten gerne ein Zeitfenster von sechs Monaten gesehen, bis eine Domain verschwinden kann. Unter anderem damit sich abtrünnige Exchange-Angestellte nicht mit der Domain aus dem Staub machen können. Zuletzt prüfte trackico das Vorhandensein zusätzlicher sicherheitsrelevanter DNS-Erweiterungen (DNSSEC).

Beim Thema Domain-Sicherheit konnten nur drei Prozent der Börsen die Analysten in allen Punkten zufriedenstellen. Mit 22 Prozent erfüllte ein knappes Viertel der Börsen lediglich zwei oder weniger der geforderten Parameter.

Websicherheit

Hier stand die Sicherheit der Bitcoin-Börsen vor diversen webbasierten Angriffen sowie die Einhaltung im Mittelpunkt. Zu den geläufigeren Angriffen gehören Heartbleed, POODLE und Clickjacking. Insgesamt konnten die Exchanges hier bis zu zehn Punkte sammeln. Die gute Nachricht: Alle Börsen sind hinreichend vor Heartbleed-, POODLE- und MITM- (Man-in-the-Middle) Angriffen geschützt.