FM4-Logo

jetzt live:

Aktueller Musiktitel:

Twitter Logo

APA/AFP/Alastair Pike

Der Twitter-Scam

Die sozialen Netzwerke und unsere digitalen Identifikatoren basieren auf zentralen Servern. Und das ist ein Problem. Gedanken zu Hacks, Dezentralisierung und Bitcoin.

Von Christoph „Burstup“ Weiss

Unbekannten ist es am Mittwoch gelungen, Werbung für dubiose Kryptowährungsdeals über Twitter-Profile von Prominenten wie Ex-US-Präsident Barack Obama, Präsidentschaftskandidat Joe Biden und Amazon-Chef Jeff Bezos zu verbreiten.

Unter den Twitter-Nutzer*innen, die gehackt wurden, befindet sich unter anderem der Informatiker Andreas Antonopoulos. Wie andere Betroffene schreibt auch er, sein Konto sei durch Zwei-Faktor-Authentifizierung (2FA) geschützt gewesen. 2FA bedeutet: Wenn User*innen den Benutzernamen und das Passwort eingeben, dann werden sie nach einem zweiten temporären Passwort gefragt, das nur auf dem eigenen Smartphone abrufbar ist.

Antonopoulos berichtet, dass er wenige Minuten vor der feindlichen Übernahme seines Twitter-Kontos eine E-Mail erhalten habe, dass sein 2FA-Mechanismus deaktiviert wurde. Diese Deaktivierung von 2FA für ein Benutzerkonto ist aber nur mit direktem Zugriff auf das Benutzerverwaltungssystem von Twitter möglich.

Vorstellbar sind damit drei mögliche Szenarien:
(1) Der Hack war ein Inside-Job bei Twitter,
(2) Twitter-Mitarbeiter wurden durch Social Engineering dazu verleitet, 2FA auszuschalten,
(3) der Angreifer hatte unter Ausnutzung einer technischen Schwachstelle direkte Kontrolle von außen.

In jedem Fall ist dies außergewöhnlich, denn hier wurden nicht einzelne Konten gehackt, sondern ein zentrales Benutzerverwaltungssystem. Für Twitter ist das ziemlich peinlich.

Der Angreifer setzte nach Übernahme der prominenten Accounts Tweets ab, in denen er eine Bitcoin-Adresse bekanntgab und Menschen dazu aufforderte, Geld an diese Adresse zu senden - denn er fühle sich heute großzügig und würde dann das Doppelte des Geldes zurückschicken. Dieser Schmäh macht auf “Krypto-Twitter” schon seit einigen Jahren die Runde - üblicherweise aber mit plump gefälschten Accounts, deren Usernamen denen prominenter Twitter-Benutzer*innen ähnlich sind. Wenn jemand wie Bill Gates oder Elon Musk zu twittern scheint, dass er gerade die Spendierhosen anhat und Bitcoins verschenkt, dann fallen erstaunlich viele Leute darauf herein. Die gestrige Übernahme einer ganzen Reihe von tatsächlichen Accounts prominenter Twitter-User innerhalb nur weniger Stunden erreichte dann aber eine größere Dimension als bisherige Scams.

Bitcoin-Scam?

Wer im Rahmen eines Betrugs für eine vermeintliche Leistung mit Kreditkarte bezahlt, kann später bei der Kreditkartenfirma anrufen und eine Stornierung der Transaktion beantragen. Bitcoin ist aber keine Firma, sondern ein neutrales Internetprotokoll. Da es also niemanden gibt, der eine Bitcoin-Transaktion rückgängig machen kann, stellt der Bitcoin-Verdoppelungs-Schmäh die wohl effektivste Methode für einen Angreifer dar, den Hack eines Twitter-Kontos sofort zu monetarisieren. Menschen werden gebeten, ihr Geld selbst direkt und irreversibel an den Angreifer zu senden - und manche tun es in Sekundenschnelle.

Die derzeit gerade wieder hoch im Kurs stehende Begriff “Bitcoin-Scam” ist irreführend. Hätten die Angreifer einen Betrug mittels herkömmlicher Währung durchgeführt, würde niemand von einem “Dollar-Scam” oder einem “Euro-Scam” sprechen. Dies war ein Twitter-Scam - ein Angriff, bei dem die schlechte Sicherheit von Twitter genutzt wurde, um Twitter-Konten zu fälschen. Die angesichts des Angriffs frisch aufflammende Kritik an Bitcoin als Technologie, die vor allem bei Kriminellen beliebt sei, erinnert an die Kritik am Internet in den frühen neunziger Jahren. Das Netz, so las ich damals, sei vorwiegend für illegales Glücksspiel, Drogenhandel und Pornographie interessant. Ja, die Mafia benutzt das Internet, und auch Telefone und Autos.

Kriminelle setzen oft neue und aufkommende Technologien sehr früh ein, weil sie danach trachten, ihren Verfolgern einen Schritt voraus zu sein. In der Folge werden diese neuen Technologien dann verstärkt im Zusammenhang mit Kriminalität von den Medien wahrgenommen.

Aber: Jetzt in diesem Moment überleben auch Familien in Venezuela dank Bitcoin, indem sie damit Lebensmittel bestellen und ins Grenzgebiet von Nachbarländern liefern lassen. Mit Bitcoin können Landwirte aus manchen afrikanischen Ländern, die keine Bankverbindung haben, zum ersten Mal weltweit Geschäfte tätigen. Bitcoin schafft ein neues Paradigma in Bezug auf Kreditvergabe und -aufnahme (DeFi) und wird in den nächsten Jahren die Art und Weise revolutionieren, wie wir über Software (Smart Contracts) und Bezahlung (Streaming Money) denken. Das Bitcoin-Netzwerk ist offen, grenzenlos, neutral und zensurresistent. Die irreversiblen Transaktionen darin sind ein Feature, kein Bug.

Wie besorgniserregend ist der Angriff?

Alle populären Social-Networking-Plattformen, die wir heute nutzen, werden von Unternehmen betrieben, die zentralisierte Servercluster benutzen. Diese Server stellen Single Points of Failure dar - riesige Honeypots mit Millionen von Benutzerdaten.

Ironischerweise haben die Täter des aktuellen Hacks das Benutzerverwaltungssystem einer komplett zentralisierten Plattform (Twitter) angegriffen, für die Monetarisierung dieser Attacke aber eines der am besten dezentralisierten Netzwerke (Bitcoin) benutzt. Warum? Weil die Angreifer selbst sicher sein wollten.

Informatiker wie Tim Berners Lee, der Erfinder des World Wide Web, schlagen seit einigen Jahren dezentrale Alternativen für soziale Netzwerke vor. Wir sehen bereits einige davon, wie etwa Mastodon, eine Alternative zu Twitter. Was ebenfalls in Arbeit ist: dezentrale Identifikatoren (DID) - verschlüsselte Container, mit deren Hilfe wir unsere Identität von Plattform zu Plattform mitnehmen können, um zu beweisen wer wir sind. Solange aber unsere sozialen Netzwerke und unsere digitalen Identifikatoren auf zentralen Servern basieren, besteht für uns immer das Risiko eines Hacks wie dem gerade erlebten.

Das ist auch besorgniserregend angesichts der Tatsache, dass Staatsoberhäupter und Diplomaten Twitter zur Kommunikation (und in jüngster Zeit vermehrt zum Austausch von Beleidigungen) nutzen. Auch deren Konten könnten jederzeit kompromittiert und missbraucht werden. Deshalb: Dezentralisieren wir das Web!

Aktuell: