SSO-Modul 4 – Online-Sicherheit verbessern: 2FA, ihre Grenzen und die Bedrohung durch SIM-Swapping

In Web3 ist die Gewährleistung robuster Sicherheitsmaßnahmen von größter Bedeutung.

Eine solche Sicherheitsmaßnahme ist die Zwei-Faktor-Authentifizierung (2FA), die eine zusätzliche Schutzschicht für Benutzerkonten und Transaktionen bietet.

In diesem Kurs tauchen wir in die Funktionsweise von 2FA in Web3 ein, untersuchen ihre Grenzen und beleuchten die stetig wachsende Bedrohung durch SIM-Swapping.

2FA in Web3 verstehen

Zwei-Faktor-Authentifizierung ist ein Sicherheitsmechanismus, bei dem Nutzer zwei unterschiedliche Authentifizierungsfaktoren angeben müssen, um auf ein Konto zuzugreifen.

Ziel ist es, deine Guthaben so weit wie möglich zu sichern, indem das Risiko reduziert wird, dass etwas so Einfaches wie ein Passwortdieb sie in einem Augenblick leerräumt.

Diese Authentifizierungsfaktoren fallen in drei Kategorien:

1. Etwas, das du weißt: Dazu gehören ein Passwort, eine PIN oder Sicherheitsfragen.
2. Etwas, das du hast: Ein physisches Gerät wie ein Smartphone oder ein Hardware-Token, das zeitabhängige Codes erzeugt.
3. Etwas, das du bist: Biometrische Daten wie Fingerabdrücke oder Gesichtserkennung.

Im Bereich web3 besteht die häufigste Anwendung von 2FA darin, ein Passwort (etwas, das du weißt) mit einem zeitabhängigen Code zu kombinieren, der von einer Smartphone-App erzeugt wird (etwas, das du hast).

Quelle: Swoopnow

Dieser dynamische Code ändert sich alle paar Sekunden, wodurch es für Angreifer äußerst schwierig wird, unbefugten Zugriff zu erlangen, selbst wenn sie das Passwort erbeutet haben.

2FA ist auf zentralisierten Börsen (CEXs) Standardpraxis – ein Pflichtprozess, der ebenso wichtig ist wie das KYC-Verfahren.

CEXs entwickeln oft ihren eigenen „Authenticator“, wie den Binance Authenticator, mit dem du über einen QR-Code und einen 16-stelligen Schlüssel auf dein Konto zugreifen kannst.

Quelle: Binance

Grenzen von 2FA

Trotz ihrer Wirksamkeit hat 2FA gewisse Einschränkungen:

1. Phishing-Angriffe: Wenn Nutzer durch gefälschte Websites oder E-Mails dazu verleitet werden, ihre Zugangsdaten preiszugeben, kann 2FA unbefugten Zugriff möglicherweise nicht vollständig verhindern.
2. Geräteabhängigkeit: Die Abhängigkeit von einem einzigen Gerät für 2FA kann zu einem Single Point of Failure führen. Der Verlust des Geräts oder technische Probleme können Nutzer aus ihren Konten aussperren.
3. Social Engineering: Geschickte Angreifer könnten Kundendienstmitarbeiter dazu manipulieren, die 2FA eines Nutzers auf ein neues Gerät zu übertragen, und so unbefugten Zugriff erlangen. Die Bedrohung durch SIM-Swapping

Im Web3-Bereich hat sich SIM-Swapping zu einer erheblichen Bedrohung entwickelt.

Beim SIM-Swapping überzeugt ein böswilliger Akteur den Mobilfunkanbieter eines Nutzers, dessen Telefonnummer auf eine neue SIM-Karte unter der Kontrolle des Angreifers zu übertragen.

Sobald dies erreicht ist, kann der Angreifer per SMS versendete 2FA-Codes abfangen.

Quelle: SimSwapLaw

Die Auswirkungen von SIM-Swapping im Kontext von Web3 sind gravierend.

Wenn ein Angreifer die Kontrolle über die Telefonnummer eines Opfers erlangt, kann er möglicherweise 2FA umgehen und Zugriff auf Krypto-Wallets, dApps und andere sensible Konten erhalten.

Dies hat bei vielen Personen zu erheblichen finanziellen Verlusten geführt.

Im Jahr 2018 wurde der Krypto-Investor Michael Terpin Opfer eines erstaunlichen SIM-Swap-Angriffs in Höhe von 23,8 Millionen US-Dollar. Im Oktober 2021 hat Coinbase enthüllt dass Cyberkriminelle infolge einer Sicherheitslücke in ihrem 2FA-System durch SIM-Swapping illegal Kryptowährung von mindestens 6.000 Nutzern erbeutet hatten.

„Da die Popularität von Web3 wächst und mehr Menschen in die Branche lockt, steigt auch die Wahrscheinlichkeit von SIM-Swapping-Angriffen aufgrund der relativ geringen technischen Anforderungen.“ sagte kürzlich der CISO des Blockchain-Sicherheitsunternehmens Slowmist gegenüber CoinTelegraph.

Eine Reihe von SIM-Swapping-Angriffen im Krypto-Bereich in den vergangenen Wochen hat diese Worte bestätigt.

Seit Juni 2023 mehr als 30 Krypto-Projekte wurden Ziel von SIM-Swapping-Angriffen, mit denen Twitter-Konten übernommen und Wallet-Drainer veröffentlicht werden. Bei einem einzigen Angriff wurden NFTs im Wert von mindestens 765.000 US-Dollar gestohlen, das Twitter-Konto von Gutter Cat Gang wurde gehackt durch SIM-Swapping.

Quelle: Matt Medev, Mitgründer, CEO & EIC von NFT Now

Die Bedrohung abmildern

Um den Risiken von SIM-Swapping entgegenzuwirken und die Sicherheit in Web3 zu erhöhen, können mehrere Schritte unternommen werden:

1. Authenticator-Apps: Dedizierte 2FA-Apps wie Google Authenticator oder Authy generieren Codes offline und verringern so die Anfälligkeit für SIM-Swapping.
2. Wenn du kein Authentifizierungssystem außerhalb deiner Telefonnummer verwenden möchtest:

• Du solltest deine Telefonnummer zumindest so wenigen Personen wie möglich preisgeben und niemals in sozialen Medien, einschließlich LinkedIn. Schütze außerdem persönliche Daten wie Name, Adresse und Geburtsdatum, die verwendet werden können, um deine Telefonnummer zu ermitteln.
• Die beste Strategie, die du umsetzen kannst, ist eine SIM-Karte zu haben, die ausschließlich deiner Authentifizierung dient und deren zugehörige Telefonnummer niemandem außer dir bekannt gegeben wird.

3. Hardware-Token: Hardware-Geräte wie YubiKey bieten eine physische Möglichkeit zur Erzeugung von 2FA-Codes und sind gegen SIM-Swapping immun.

4. Multi-Signature-Wallets: Der Einsatz von Multi-Signature-Wallets fügt eine zusätzliche Sicherheitsebene hinzu, da mehrere Geräte oder Parteien Transaktionen autorisieren müssen.

5. Transaktions-2FA: Bei Nefture haben wir ein 2FA-Transaktionssystem entwickelt, das dich über jede von dir durchgeführte Transaktion benachrichtigt, deine Bestätigung anfordert und dich über die damit verbundenen potenziellen Risiken informiert.

Durch fortschrittliche Algorithmen, die Transaktionen überwachen und potenzielle Risiken in Echtzeit erkennen, Transaktionsmuster, Blockchain-Daten und historische Daten analysieren, um Anomalien, betrügerische Aktivitäten und verdächtiges Verhalten zu erkennen, wird der Nutzer im Vorfeld über die Risiken jeder Transaktion, die er eingehen möchte, gewarnt und kann in Echtzeit angemessene Maßnahmen ergreifen.

Zusammenfassend lässt sich sagen, dass 2FA die Sicherheit in der Web3-Landschaft zwar erheblich stärkt, ihre Einschränkungen und die drohende Gefahr von SIM-Swapping jedoch nicht ignoriert werden dürfen.

Um maximalen Schutz zu gewährleisten, müssen Nutzer bewährte Verfahren anwenden, wie z. B. die Verwendung von Authenticator-Apps und Hardware-Tokens.

Da sich Web3 ständig weiterentwickelt, müssen sich auch unsere Sicherheitsmaßnahmen weiterentwickeln, um neuen Bedrohungen und Schwachstellen entgegenzuwirken.

Zusammenfassung

Herzlichen Glückwunsch! Du hast Modul 4 abgeschlossen – Sicherheit in Web3 verbessern: 2FA, ihre Einschränkungen und die Gefahr von SIM-Swapping

Lass uns dein Gelerntes wiederholen:

2FA in Web3: Die Zwei-Faktor-Authentifizierung (2FA) ist eine Sicherheitsmethode, die zwei unterschiedliche Verifikationsfaktoren für den Kontozugriff verwendet.

• Typen:
• Wissen (z. B. Passwort)
• Besitz (z. B. Smartphone, das zeitabhängige Codes erzeugt)
• Inhärenz (z. B. Fingerabdrücke).
• Anwendung: In Web3 ist ein Passwort in Kombination mit einem dynamischen, vom Smartphone erzeugten Code üblich.

Zentralisierte Börsen (CEXs) & 2FA: CEXs nutzen 2FA weit verbreitet. Zum Beispiel hat Binance einen eigenen „Authenticator“ mit QR-Code und Schlüssel.

2FA-Einschränkungen:

• Anfällig für Phishing-Angriffe.
• Geräteabhängigkeit: Ein verlorenes oder defektes Gerät könnte Nutzer aussperren.
• Social Engineering: Angreifer könnten 2FA durch manipulative Taktiken umgehen.

SIM-Swapping:

• Bedrohung: Angreifer täuschen Mobilfunkanbieter, um die Telefonnummer eines Opfers zu übertragen und so per SMS gesendete 2FA-Codes abzufangen.
• Auswirkung: Die Umgehung von 2FA ermöglicht unbefugten Zugriff auf Wallets, dApps und sensible Konten.
• Bemerkenswerte Vorfälle: 23,8 Millionen US-Dollar, die 2018 dem Investor Michael Terpin gestohlen wurden, und eine Sicherheitsverletzung des 2FA-Systems von Coinbase im Jahr 2021, die 6.000 Nutzer betraf.

Dieser Artikel wurde bereitgestellt von: