Pocket Bitcoin gab am 3. September bekannt, dass der Sicherheitsvorfall im August zusätzliche persönliche und finanzielle Informationen von 5.411 Kunden offengelegt hat, wodurch der Umfang der ursprünglichen Mitteilung erweitert wurde.
Zusammenfassung
- Pocket Bitcoin bestätigte, dass zwei offengelegte Datengruppen insgesamt Datensätze von 5.411 Kunden enthielten.
- Banktransaktionslisten legten Namen, Adressen, Überweisungsbeträge, Daten und manchmal IBAN-Kontonummern der Kunden offen.
- Weitere 291 Kunden waren möglicherweise von der Offenlegung von Identitätsdokumenten, Bitcoin-Adressen und sensiblen Finanzierungsunterlagen betroffen.
- Pocket erklärte, dass die Kundendatenbanken, Transaktionssysteme, privaten Schlüssel und das Bitcoin der Kunden direkt nicht betroffen waren.
- Die Behörden in der Schweiz und in Liechtenstein wurden benachrichtigt, während Pocket auch formell Strafanzeige erstattete.
Der Schweizer Bitcoin-Dienstleister identifizierte nach Abschluss seiner forensischen Untersuchung zwei getrennte Gruppen. Eine enthielt Banktransaktionsinformationen von 5.120 Kunden. Die andere umfasste Korrespondenz mit möglicherweise sensibleren Datensätzen von 291 Kunden.
Pocket-Bitcoin-Vorfall legte zwei Datengruppen offen
Die größere Gruppe bestand aus Transaktionslisten, die Partnerbanken während Compliance-Prüfungen an Pocket Bitcoin sendeten. Diese Listen enthielten Kundennamen, Wohnadressen, Überweisungsbeträge und Transaktionsdaten. Einige enthielten auch die mit einer Überweisung verbundene IBAN.
Die kleinere Gruppe betraf Korrespondenz, die Pocket Bitcoin an Partnerbanken sendete. Je nach Kunde umfasste das offengelegte Material Namen, Postadressen, öffentliche Bitcoin-Adressen, Kopien von Identitätsdokumenten und Aufzeichnungen über die Herkunft der Gelder.
Die beiden Gruppen umfassen zusammen 5.411 Kunden. Andere Kunden könnten unter der ursprünglichen Offenlegung des Unternehmens betroffen sein, wenn E-Mail-Adressen oder Support-Konversationen offengelegt wurden, aber Pocket sagte, dass diejenigen ohne eine neue persönliche Benachrichtigung weiterhin dieser ersten Mitteilung vertrauen sollten.
Kerndatenbanken und Kunden-Bitcoin waren nicht betroffen
Pocket Bitcoin sagte, dass Angreifer die Hauptkunden- oder Transaktionsdatenbanken nicht kompromittiert haben. Stattdessen stammten die Datensätze aus Korrespondenz und bankgenerierten Listen, die in einer kopierten Sicherung innerhalb des betroffenen Support-Systems gespeichert waren.
Diese Unterscheidung erklärt, warum Daten, die wie Transaktions- und Identitätsdatensätze aussahen, offengelegt wurden, obwohl die zugrunde liegenden Datenbanken sicher blieben. Das betroffene Support-Material enthielt Kopien von Informationen, die während regulatorischer Compliance-Verfahren erstellt oder empfangen wurden.
Pocket Bitcoin operiert als nicht-verwahrender Dienst und hält keine privaten Schlüssel der Kunden. Das Unternehmen sagte, dass Bitcoin-Guthaben für den Angreifer nie zugänglich waren, während Kauf- und Verkaufsdienste weiterhin normal funktionieren.
Eine offengelegte Bitcoin-Adresse kann keine Überweisung autorisieren. Die Verknüpfung einer öffentlichen Adresse mit der Identität eines Kunden könnte es jedoch einer anderen Person ermöglichen, die sichtbare Blockchain-Aktivität zu überprüfen. Pocket merkte an, dass das Verschieben von Bitcoin die bestehende Transaktionshistorie der Adresse nicht löschen kann.
Offengelegte Datensätze schaffen physische Phishing-Risiken
Pocket Bitcoin sagte, dass es derzeit keine Hinweise darauf gibt, dass die offengelegten Informationen missbraucht wurden. Diese Aussage spiegelt Informationen wider, die nach der Untersuchung verfügbar waren, und garantiert nicht, dass ein Missbrauch nicht später auftreten wird.
„Nach heutigem Stand haben wir keine Hinweise darauf, dass die betroffenen Informationen missbraucht wurden“, sagte Pocket Bitcoin.
Das Unternehmen identifizierte gefälschte Briefe und andere physische Kommunikation als besondere Risiken, da Namen und Postanschriften enthalten waren. Ein Betrüger könnte sich auf eine echte Banküberweisung oder Bitcoin-Transaktion beziehen, um einen Identitätsdiebstahl-Versuch glaubwürdig erscheinen zu lassen.
E-Mail-Adressen und Anmeldedaten waren laut Pocket Bitcoin nicht mit den beiden neu identifizierten Datengruppen verknüpft. Das Unternehmen erklärte daher, dass es kein direktes gezieltes E-Mail-Phishing-Risiko sieht, das speziell aus diesen Datensätzen entsteht.
Der Vorfall folgt auf mehrere Offenlegungen, die Kundendaten außerhalb der Kern-Krypto-Systeme betrafen. Wie crypto.news berichtete, legten drei jüngste Sicherheitsverletzungen 253.487 Datensätze offen, was Bedenken aufkommen lässt, dass Wohn- und Transaktionsdaten Jahre später Phishing oder physische Angriffe unterstützen könnten.
Ein separater Vorfall im August bei Bits of Gold legte möglicherweise Kundenidentität, Bank- und Wallet-Informationen über ein Drittanbietersystem offen. Die Untersuchung ergab ebenfalls, dass Kundengelder und Passwörter nicht betroffen waren.
Pocket Bitcoin informierte Aufsichtsbehörden und Polizei
Pocket Bitcoin meldete den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten der Schweiz und der Datenschutzstelle Liechtensteins. Außerdem wurde Anzeige bei der Polizei erstattet, jedoch ohne den mutmaßlichen Angreifer zu identifizieren oder Details zur Untersuchung zu nennen.
Das Unternehmen erklärte, die dem Vorfall zugrunde liegende Sicherheitslücke sei geschlossen und zusätzliche Schutzmaßnahmen seien installiert worden. Es überprüft derzeit, wie Bankkorrespondenz und damit verbundene Compliance-Aufzeichnungen gespeichert und übertragen werden.
Pocket erwartet, in den kommenden Wochen weitere Informationen zu diesen Änderungen zu veröffentlichen. Es rechnet nicht damit, weitere Kategorien von Datenoffenlegungen zu identifizieren, erklärte jedoch, dass Kunden benachrichtigt würden, falls spätere Erkenntnisse diese Einschätzung ändern.
Betroffene Benutzer sollten ihre Bankaktivitäten überwachen und unerwartete Briefe, Anrufe oder Nachrichten mit Vorsicht behandeln. Pocket Bitcoin erklärte, dass es Kunden niemals auffordern wird, eine Seed-Phrase preiszugeben oder Bitcoin im Rahmen eines unaufgeforderten Telefonanrufs oder Briefes zu übertragen.
