US-Behörden beschlagnahmen $3,6 Milliarden Bitcoin von Bitfinex-Täter

2016 entwendeten Hacker fast 120.000 Bitcoin von der Krypto-Börse Bitfinex. Nun gelingt es US-Behörden, die Täter festzunehmen. Einen Großteil der gestohlenen Bitcoin haben die Behörden beschlagnahmt.

Bitfinex verliert 119.754 Bitcoin durch einen Hack

Der Fall ist schon länger her. Eine Schwachstelle wurde der Krypto-Börse Bitfinex 2016 zum Verhängnis.

Ein Hacker nutzte die Sicherheitslücke aus und entwendete 119.754 Bitcoin. Trotz wiederholter Bemühungen gelang es über mehrere Jahre hinweg nicht, dem Hacker oder einem Großteil des Geldes habhaft zu werden.

Im Februar 2019 gab es einen ersten Lichtblick. Damals gelang es US-Behörden, über 27 der gestohlenen Bitcoin zu retten.

Diese Information gab Bitfinex durch eine Pressemitteilung 2020 bekannt. Wie genau die Behörden diesen Erfolg einfädelten, bleibt komplett ungeklärt.

Im Februar 2019 konnten US-Behörden 27,66270285 Bitcoin zurückbringen, die im Hack 2016 gestohlen wurden. Sie wurden in US-Dollar umgewandelt und Besitzern des Recovery Right Token ausgezahlt.

Innerhalb der Pressemitteilung bildet diese Erwähnung ohnehin nur einen Bruchteil.

Einerseits ging es Bitfinex darum, die Leser über diesen Vorfall zu informieren, andererseits wollte die Börse vordergründig auf eine Belohnung aufmerksam machen.

Denn während Bitcoin 2016 nur einen Kurswert von ein paar Hundert Euro hatte, stieg dieser Wert bis 2020 bereits in fünfstellige Bereiche.

Bitfinex spekulierte darauf, dass sich eine große Investition mittel- und langfristig lohnen würde, wenn man im Gegensatz die verlorenen BTC retten könnte.

Der Aufruf der Börse versprach den Hackern 25 Prozent des damaligen Werts der gestohlenen Anlagen.

Das entsprach damals über 400 Millionen US-Dollar. Sofern eine Kontaktperson Bitfinex mit dem Hacker verbinden würde, bekäme diese auch noch fünf Prozent der Beute ab.

Keine beteiligte Person war an diesem Angebot interessiert. Bitfinex musste sich von den Wertanlagen verabschieden. Vorerst.

US-Behörden schnappen Bitfinex Hacker

Am 8. Februar 2022 wartete das US-Justizministerium mit einer unglaublichen Mitteilung auf.

Die lang verloren geglaubten Bitcoin stehen kurz vor ihrer Heimkehr. Bitfinex macht inzwischen Pläne, wie man die geretteten Bitcoin nutzen könnte.

Zwei Individuen wurden am heutigen Morgen festgenommen. Sie stehen unter dem Verdacht, Kryptowährungen zu waschen, die 2016 beim Hack von Bitfinex entwendet wurden.

Schreibt das Justizministerium in der gestrigen Mitteilung. Staatsanwältin Lisa Monaco hält das für einen richtungsweisenden Erfolg.

Die heutige Verhaftung und diese größte Beschlagnahmung, die das Ministerium je vornahm, zeigt, dass Kryptowährungen Kriminelle nicht schützen.

Staatsanwältin Monaco über den Fall

Ob Monaco mit dieser These tatsächlich recht hat, ist fragwürdig. Die vom Ministerium veröffentlichten Informationen sind dürftig.

Fakt ist, dass es im Krypto-Raum immer wieder zu Hacks kommt. Nur selten werden Verluste wiederhergestellt, geschweige denn die Täter gefasst.

Welchen Fehler machten die Bitfinex Hacker?

Sehen wir uns zuerst die bekannten Informationen an. Durch den Hack von 2016 entwendete eine unbekannte Person Bitcoin, die in über 2.000 Transaktionen von der Krypto-Börse verschwanden.

Aufgrund der hohen Anzahl stellt sich die Frage, ob der Betrag allmählich entwendet wurde oder durch einen automatisierten Prozess.

Da die Blockchain von Bitcoin transparent ist, lässt sich mit etwas Glück und ein wenig Recherche die ein oder andere involvierte Adresse finden.

Der Hacker verwendete eine Vielzahl an Adressen, die vorher ungenutzt waren. Er hat sie also eigens für den Hack neu erstellt, um seine Privatsphäre zu schützen.

Als Beispiel dafür nehmen wir die Adresse 1U2WZsEWMYproaiUaRsevezh6pbR2bKVb sowie die Adresse 1CRh4XGZkfDnag9G26eUcwYwxn5n1AXpPi.

Beide Adressen bekamen am zweiten August 2016 verschiedene BTC-Beträge zugesandt, die Eigentum der Bitfinex waren.

Glaubt man der Veröffentlichung des US-Justizministeriums, versuchte der damals unbekannte Hacker, diese Gelder durch aufwendige Prozesse zu waschen.

Das Justizministerium meint damit Prozesse wie Chain Hopping – also den Tausch einer Kryptowährung in eine andere.

Außerdem seien falsche Identitäten genutzt worden, vermutlich auf zentralisierten Börsen.

Von dort aus habe der Täter die Bitcoin dann wiederum an neue Adressen versendet. Angeblich in der Hoffnung, dass diese dann nicht mehr mit ihm assoziiert würden.

Das gleiche Prinzip habe er auch auf Darknet Markets angewendet. Interessant ist auch eine andere Information.

Der Täter verwendete Programme, um Transaktionen zu automatisieren. So können viele Transaktionen in sehr kurzer Zeit getätigt werden.

Die gleiche Technik verwendete der Täter offenbar auch während seines Hacks im August 2016.

Die Justizbehörde zeichnet dabei ein ganz bestimmtes Narrativ: Trotz vielzähliger Versuche sei eine Anonymisierung der Gelder nicht gelungen.

Allerdings lässt sich die Ehrlichkeit dieser Aussage anzweifeln.

Bitfinex Hacker verwendet kompromittierte Adresse

In den eben genannten Blockchain-Adressen befinden sich jeweils genau zwei Transaktionen. Eine Transaktion stammt jeweils vom zweiten August 2016 und die andere vom ersten Februar 2022.

Die beiden Adressen, die hier als Beispiel dienen, vollzogen also keinerlei Privatisierung. Sie können auf direktem Wege mit dem Hack von 2016 verbunden werden.

Direkt nach den Transaktionen vom 1. Februar fiel Blockchain-Analyseprogrammen die Sammlung der Gelder auf einer einzigen Adresse auf. Wenige Tage später wurde man dem Hacker habhaft.

Die Schlussfolgerung: Irgendeine der Adressen, die im Zusammenhang mit den Transaktionen vom 1. Februar stehen, waren kompromittiert.

Obendrauf kommt, dass die US-Behörden behaupten, 3,6 Milliarden US-Dollar in Form von Bitcoin beschlagnahmt zu haben. Das entspricht den 94.643 Bitcoin, die der Täter jüngst auf einer einzelnen Adresse sammelte.

Die Justizbehörde zeichnet unterdessen das Bild, der Hacker habe zu seiner Sicherheit auch sogenannte AECs verwendet, die innerhalb der Krypto-Szene als Privacy Coins bekannt sind.

Deren größter Vertreter ist Monero. Durch die Verwendung einer kompromittierten Adresse sind all diese Maßnahmen hinfällig.

Den Ermittlern sei es gelungen, Zugang zu Onlinekonten zu erlangen, auf denen die Daten der zuletzt gespeisten Wallet hinterlegt sind. So konnte man die Bitcoin beschlagnahmen.

Das sind die Bitfinex Hacker

In der Pressemitteilung werden auch zwei Namen genannt. Es handelt sich bei den Tätern um ein Pärchen aus New York. Hauptverantwortlich ist offenbar Dutch Ilya Lichtenstein. Er ist ein Entwickler, der selbst im Web3 arbeitet.

In einem Tweet vom November 2021 wirft er dem New York Magazine fehlende Informationen bezüglich der Sicherheit bei der Verwendung von Kryptowährungen vor.

Am Ende war es schlechte OpSec, die auch ihm zum Verhängnis wurde.

Viele Nutzer neigen inzwischen zum Spott über die beiden Täter. Der Unternehmer Alistair Milne drückte sein fehlendes Verständnis für die Unvorsichtigkeit der Täter aus.

Anders als von ihm behauptet, bewahrte Lichtenstein die privaten Schlüssel der gestohlenen Bitcoin allerdings verschlüsselt in einem Cloudspeicher auf.

Als zweiter Täter gilt Lichtensteins Frau Heather Morgan. Auch sie kam auf Twitter nicht gut davon. Auf ihrem TikTok-Konto veröffentlichte Morgan ein Video, das sie zeigt, während sie auf eine Frage reagiert.

Niemals habe ich je Bitcoin im Wert von 4,5 Milliarden US-Dollar gestohlen.

Morgan antwortet auf die Frage zustimmend. Nutzer hinterlassen darauf ironische Kommentare. Die Behörden hätten einfach nur auf TikTok schauen müssen.

Heather Morgan ist im Internet primär durch zwei Tätigkeiten bekannt. Unter ihrem Pseudonym Razzlekhan veröffentlichte sie auf YouTube hauptsächlich Musikvideos. Inzwischen sind diese von YouTube verschwunden.

Beruflich arbeitete Morgan als Autorin für verschiedene Portale. So zum Beispiel für Forbes.

Das Magazin ließ keine Zeit verstreichen, um Morgan als „ehemalige Autorin“ zu kennzeichnen. In einem ihrer Artikel sammelte sie Tipps, wie man Zugriffe von Hackern vermeiden könne.

Die beiden Täter erwartet jeweils maximal eine Höchststrafe von 25 Jahren.