Sicherheitsvorfall bei Pocket Bitcoin
Pocket Bitcoin gab am 3. September bekannt, dass ein Sicherheitsvorfall im August zusätzliche persönliche und finanzielle Informationen von 5.411 Kunden offengelegt hat, was den Umfang der ursprünglichen Mitteilung erweitert. Der Schweizer Bitcoin-Dienstleister identifizierte nach Abschluss seiner forensischen Untersuchung zwei verschiedene Gruppen betroffener Daten.
Betroffene Daten
Die erste Gruppe umfasste Banktransaktionsinformationen von 5.120 Kunden, während die zweite Gruppe Korrespondenz mit potenziell sensibleren Daten von 291 Kunden beinhaltete. Die größere Gruppe bestand aus Transaktionslisten, die Partnerbanken während Compliance-Prüfungen an Pocket Bitcoin gesendet hatten. Diese Listen enthielten Kundennamen, Wohnadressen, Überweisungsbeträge und Transaktionsdaten. Einige enthielten auch die IBAN, die mit einer Überweisung verbunden war.
Update zum Sicherheitsvorfall bei Pocket Bitcoin: Unsere Untersuchung ist abgeschlossen. Dabei hat sich gezeigt, dass in einzelnen Fällen weitere Daten betroffen sind als in unserem ersten Beitrag beschrieben.
Die kleinere Gruppe betraf Korrespondenz, die Pocket Bitcoin an Partnerbanken gesendet hat. Je nach Kunde umfasste das offengelegte Material Namen, Postadressen, öffentliche Bitcoin-Adressen, Kopien von Ausweisdokumenten und Nachweise über die Herkunft der Gelder. Das Unternehmen erklärte, dass die Informationen in unterschiedlichen Kombinationen erschienen, was bedeutet, dass nicht jeder Kunde in der 291-köpfigen Gruppe notwendigerweise jeden aufgeführten Datentyp offengelegt bekam.
Kontakt zu betroffenen Kunden
Pocket Bitcoin hat betroffene Kunden individuell mit Details zu ihren Fällen kontaktiert. Die beiden Gruppen umfassen insgesamt 5.411 Kunden. Andere Kunden könnten E-Mail-Adressen oder Support-Gespräche offengelegt bekommen haben, die in der ursprünglichen Mitteilung des Unternehmens erwähnt wurden. Pocket erklärte, dass diejenigen, die keine neue persönliche Benachrichtigung erhalten haben, weiterhin auf diese ursprüngliche Mitteilung vertrauen sollten.
Datensicherheit und Angreifer
Das Unternehmen stellte klar, dass Angreifer nicht auf die Hauptdatenbanken für Kunden oder Transaktionen zugegriffen haben. Stattdessen stammen die Aufzeichnungen aus Korrespondenz und von Banken generierten Listen, die in einem kopierten Backup innerhalb des betroffenen Support-Systems gespeichert waren. Diese Unterscheidung erklärt, warum Daten, die Transaktions- und Identitätsaufzeichnungen ähneln, offengelegt wurden, obwohl die zugrunde liegenden Datenbanken sicher blieben.
Pocket Bitcoin operiert als nicht verwahrender Dienst und hält keine privaten Schlüssel der Kunden. Das Unternehmen erklärte, dass Bitcoin-Guthaben für den Angreifer niemals zugänglich waren, während Kauf- und Verkaufsdienste weiterhin normal funktionieren. Eine offengelegte Bitcoin-Adresse kann keine Überweisung autorisieren. Das Verknüpfen einer öffentlichen Adresse mit der Identität eines Kunden könnte jedoch einer anderen Person ermöglichen, die sichtbaren Blockchain-Aktivitäten zu überprüfen.
„Wie die Dinge stehen, haben wir keine Hinweise darauf, dass Informationen, die betroffen sind, missbraucht wurden“, sagte Pocket Bitcoin.
Risiken und Empfehlungen
Das Unternehmen identifizierte gefälschte Briefe und andere physische Kommunikationen als besondere Risiken, da Namen und Postadressen enthalten waren. Ein Betrüger könnte sich auf eine echte Banküberweisung oder Bitcoin-Transaktion beziehen, um einen Identitätsbetrugsversuch glaubwürdig erscheinen zu lassen. E-Mail-Adressen und Anmeldedaten waren laut Pocket Bitcoin nicht mit den beiden neu identifizierten Datengruppen verknüpft.
Betroffene Nutzer sollten ihre Bankaktivitäten überwachen und unerwartete Briefe, Anrufe oder Nachrichten mit Vorsicht behandeln. Pocket Bitcoin erklärte, dass es die Kunden niemals auffordern wird, eine Seed-Phrase offenzulegen oder Bitcoin über einen unaufgeforderten Telefonanruf oder Brief zu übertragen.
Weitere Entwicklungen
Der Vorfall folgt mehreren Offenlegungen, die Kundeninformationen betreffen, die außerhalb der Kern-Krypto-Systeme gehalten werden. Pocket Bitcoin meldete den Vorfall dem Schweizer Bundesbeauftragten für Datenschutz und Informationssicherheit sowie dem Datenschutzbüro Liechtensteins. Es wurde auch eine Polizeimeldung erstattet, aber der mutmaßliche Angreifer wurde nicht identifiziert und es wurden keine Details zur Untersuchung bereitgestellt.
Das Unternehmen erklärte, dass die Schwachstelle hinter dem Vorfall geschlossen wurde und zusätzliche Sicherheitsmaßnahmen installiert wurden. Es überprüft, wie Bankkorrespondenz und verwandte Compliance-Aufzeichnungen gespeichert und übertragen werden. Pocket erwartet, in den kommenden Wochen weitere Informationen zu diesen Änderungen zu veröffentlichen.
