Ein Credential-Stuffing-Angriff auf ein Börsenkonto
Auf das Börsenkonto eines Mandanten wurde mit einem Passwort zugegriffen, das aus einem unabhängigen Datenleck wiederverwendet worden war. Die Zwei-Faktor-Authentifizierung war Wochen zuvor unbemerkt deaktiviert worden, und mehrere Vermögenswerte wurden in einer einzigen Sitzung abgehoben.
Die Situation
Auf das Börsenkonto eines Mandanten wurde mit einem Passwort zugegriffen, das aus einem unabhängigen Datenleck wiederverwendet worden war. Die Zwei-Faktor-Authentifizierung war Wochen zuvor unbemerkt deaktiviert worden, und mehrere Vermögenswerte wurden in einer einzigen Sitzung abgehoben.
Die Herausforderung
Die internen Zugriffsprotokolle der Börse standen dem Mandanten nicht direkt zur Verfügung, sodass das Gesamtbild allein anhand der Auszahlungstransaktionen modelliert werden musste.
Die Ermittlung
Wir identifizierten jede Auszahlung innerhalb der kompromittierten Sitzung, verfolgten jede Zieladresse und glichen die Zeitpunkte mit der öffentlichen Statusseite der Börse ab, um einen plattformseitigen Vorfall auszuschließen.
Erkenntnisse
Gelder wurden auf eine einzige neue Wallet abgehoben, teilweise in einen Stablecoin umgewandelt und in Richtung einer zweiten, kleineren Börse weiterbewegt.
Ergebnis
Die Erkenntnisse wurden sowohl dem Sicherheitsteam der ursprünglichen Börse als auch der Zielbörse übermittelt, verbunden mit dem Antrag auf eine Compliance-Sperre. Das Verfahren ist bis zur Abschluss der internen Prüfung weiterhin offen.
Erkenntnisse für die Praxis
Eine unbemerkt deaktivierte Zwei-Faktor-Authentifizierung ist eines der deutlichsten Frühwarnsignale einer Kompromittierung. Kontobezogene Benachrichtigungen bei Änderungen sicherheitsrelevanter Einstellungen lohnen sich bei jedem Börsenkonto.
Börsenkonto
Zugriff über ein wiederverwendetes, geleaktes Passwort erlangt.
Stehen Sie vor einer ähnlichen Situation?
Jeder Fall wird anhand seiner eigenen Fakten abgegrenzt. Erzählen Sie uns, was passiert ist.