Der Hack von Mt. Gox

Mark Karpeles, der CEO der inzwischen aufgelösten Bitcoin-Börse Mt. Gox, arbeitete mit Saburo Kawabata und Alexis Antonopoulos zusammen, um die Daten im Zusammenhang mit den Transaktionen der Bitcoin-Konten von Mt. Gox bis Februar 2014 zu analysieren, als er eine Anomalie in ihren Aufzeichnungen entdeckte. Es war eine Abhebung von einem Mt. Gox-Bitcoin-Konto, die eine nicht ordnungsgemäß unterzeichnete Transaktion aufwies, d. h. die Unterschrift stimmte nicht mit den ausgegebenen Bitcoins überein. Die Transaktion betraf eine sehr große Menge an Bitcoin, und Mark Karpeles glaubte, dass dies auf eine Form von Sicherheitsverletzung an der Börse hinweisen könnte.

Als Reaktion auf seine Entdeckung griff er auf die Stammdatei der Börse zu und stellte fest, dass der Datensatz sich von dem unterschied, den Mt. Gox in seiner Datenbank gespeichert hatte, obwohl beide Datensätze identisch sein sollten. In der Community entstand die Theorie eines Insider-Jobs, die Karpeles selbst als „völlig plausibel“ bezeichnete

Auch wenn der Verdacht aufkam, wollte er diesen nicht mit niemandem teilen, bis er seine Analyse abgeschlossen hatte. Er befürchtete, dass die Weitergabe der Informationen, bevor sie richtig geprüft worden waren, zu einer unnötigen Panik in der Gemeinschaft führen und die Kunden von Mt. Gox beeinträchtigen würde.

Stattdessen beschloss er, die anomale Entnahme beizubehalten, und versuchte, sie in einer isolierten Umgebung zu reproduzieren, um herauszufinden, was falsch gelaufen war und warum. Er begann einen Test mit denselben Daten aus der Stammdatei, mit Ausnahme der anomalen Entnahme. Nach sechsstündigen Berechnungen mit acht Threads auf seinem Personal Computer stellte Mark Karpel jedoch fest, dass die anomale Transaktion nicht repliziert wurde.

Nachdem er den Test noch einmal durchgeführt hatte, stellte er fest, dass es zwei ähnliche Transaktionen gab, bei denen Bitcoins an eine ungültige Bitcoin-Adresse (eine, die nicht existiert) übertragen worden waren. Mark Karpeles überprüfte dann alle Abhebungen von Mt. Gox-Bitcoin-Konten zwischen dem 7. und 24. Februar 2014 und fand drei weitere Fälle bei denen Bitcoins an ungültige Adressen überwiesen worden waren.

Die Wahrscheinlichkeit, dass es sich dabei um zufällige Unfälle handelte, war gering, und Mark Karpeles kam zu dem Schluss, dass es irgendwo in den Systemen der Börse eine Sicherheitslücke geben musste; er wurde misstrauisch gegenüber seinem Systemadministrator, der zwar Zugriff auf die Handelsmaschine hatte, nicht aber auf die Datenbankdatei mit wichtigen Kontoinformationen wie Guthaben und Transaktionsverlauf.

Da Mark Karpeles jedoch keine Beweise für die Sicherheitsverletzung hatte und es keine Anzeichen für verdächtige Kontoaktivitäten gab, beschloss er, seine Entdeckung zu verschweigen und niemanden in der Bitcoin-Gemeinschaft zu informieren

Einige Tage später, am 24. Februar, erhielt Mark Karpeles ein Dokument von einer anonymen E-Mail-Adresse. Das Dokument enthielt die persönliche Identifikationsnummer (PIN) einer Person, ihr altes Mt. Gox-Passwort, das im Dezember 2013 geändert worden war, und den Wiederherstellungsschlüssel für ihre Mt. Gox-Brieftasche.

Der Autor des Dokuments behauptete, er habe sich in das Hotmail-Konto von Mark Karpeles gehackt und diese Informationen gestohlen, die drei Mt. Gox-Konten mit einem Guthaben von insgesamt etwa 1 Million Dollar entsprachen.

Nachdem er das Dokument erhalten hatte, begann er zu vermuten, dass es authentisch war, und kam zu dem Schluss, dass sein Systemadministrator in irgendeiner Weise beteiligt gewesen sein musste. Er beschloss, die später als „Nasakioto“ bekannte Person zur Rede zu stellen, die am 25. Februar nicht bei der Arbeit war, als Mark Karpeles sie fragte.

Es war klar, dass Mark Karpeles keine andere Wahl hatte, als den Forderungen dieses anonymen Hackers nachzukommen; er gab nichts der Öffentlichkeit bekannt und hoffte, dass der Systemadministrator hatte nichts mit diesem Diebstahl zu tun hatte. In der nächsten E-Mail des Hackers, die am 15. Mai verschickt wurde, hieß es: „Ich will mein Geld und ich werde es mir nehmen“, und enthielt einen Link zur Bilanz von Mt. Gox, die in Echtzeit aktualisiert wurde

Die Hacker setzten ihre kriminellen Aktivitäten fort und schickten im folgenden Monat eine weitere E-Mail, in der sie Folgendes schrieben:

„Ich habe eine gute und eine schlechte Nachricht. Die gute Nachricht ist, dass ich alle Passwörter im Klartext sehen kann.“

Der Hacker fügte auch einen Link zu einem Dokument mit einer Liste von Mt. Gox-Kunden-IDs bei, die deren Benutzernamen und Passwort-Hashes, E-Mail-Adressen und Guthaben enthielten – dieselben Informationen, die von Mark Kapeles gestohlen worden waren.

Zu diesem Zeitpunkt hatte Mark Karpeles keine andere Wahl, als zuzugeben, dass Mt. Gox zahlungsunfähig war und dass er das Unternehmen aufgrund einer schweren Sicherheitsverletzung nicht weiterführen konnte.

Mark Karpeles wurde von der Bitcoin-Gemeinschaft heftig dafür kritisiert, dass er die Börse weiter betrieb, obwohl er von dem Sicherheitsverstoß wusste.

Seit dem Hacking-Vorfall hat Mark Karpeles alle seine Konten in den sozialen Medien geschlossen und weigert sich, mit Reportern zu sprechen.

Was lernen wir daraus: Seien Sie bei jedem Exchange vorsichtig. Nur wenn Sie selbst über die Schlüssel für Ihre Kryptowährungen haben, können Sie behaupten, dass diese sicher sind. Eine Exchange kann gehackt werden. Große Werte sollten daher dort nicht aufbewahrt werden.