[WARNUNG] Coinmarketcap (CMC) wurde gehackt...

[cygan]

wie einige www-quellen berichten wurde die cmc webseite gehackt!
über ein manipuliertes frontend mit gefälschtem 'wallet verifizieren'-pop-up wurden nutzer auf einen wallet-drainer umgeleitet. wer in letzter zeit seine wallet dort verbunden hat, sollte dringend token-zugriffe widerrufen!
laut diesem bericht ist aber der bösartige code, wieder entfernt worden: https://cointelegraph.com/news/coinmarketcap-malicious-verify-wallet-popup-removed-website


https://x.com/apoorveth/status/1936207021180637654


https://x.com/realScamSniffer/status/1936218055765619057

[Beni Black]

wie einige www-quellen berichten wurde die cmc webseite gehackt!
über ein manipuliertes frontend mit gefälschtem 'wallet verifizieren'-pop-up wurden nutzer auf einen wallet-drainer umgeleitet. wer in letzter zeit seine wallet dort verbunden hat, sollte dringend token-zugriffe widerrufen!

Die Betrüger wissen was sie tun Sie hätten bereits alle Münzen von Leuten abgezogen die ihre Brieftasche angeschlossen haben. Die Geschwindigkeit mit der Börsenhacks stattfinden ist Grund genug für die Leute bei KYC vorsichtig zu sein.

Ich habe den Beitrag überprüft und festgestellt, dass es bereits viele Reposts gibt. CMC sagte, sie hätten ihn entfernt, aber ich glaube, viele Leute wurden berets betrogen. Deshalb ist es schlecht, zufälligen Links zu vertrauen

[MinoRaiola]

Die Scammer werden immer besser. Eine sehr bekannte, oder mit die bekannteste Page für Kryptokurse dafür genutzt, ist schon sehr stark. Soweit ich weiss, gehört die Page binance, die müssten normalerweise sehr gute Sicherheitsvorkehrungen haben. Früher gab es mal einen Hack, da wurden lediglich E-Mail Adressen gestohlen und jetzt vermutlich Coins. Evtl. meldet sich binance noch zu Wort und versucht zu helfen.

Vor etwas mehr wie einem Jahr gab es Warnungen von der Bafin zu "CMC Market & CMC Central". Das war evtl. eine Vorstufe davon und nicht so professionell wie der aktuelle Fall.

Identitätsdiebstahl: Die BaFin warnt vor cmc-market.live
https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Verbrauchermitteilung/unerlaubte/2024/meldung_2024_06_21_cmc_market_live.html

cmc-central.pro: BaFin warnt vor Website und weist auf Identitätsmissbrauch hin
https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Verbrauchermitteilung/unerlaubte/2024/meldung_2024_08_07_cmc_central_pro.html

[Lakai01]

Die Scammer werden immer besser. Eine sehr bekannte, oder mit die bekannteste Page für Kryptokurse dafür genutzt, ist schon sehr stark. Soweit ich weiss, gehört die Page binance, die müssten normalerweise sehr gute Sicherheitsvorkehrungen haben. Früher gab es mal einen Hack, da wurden lediglich E-Mail Adressen gestohlen und jetzt vermutlich Coins. Evtl. meldet sich binance noch zu Wort und versucht zu helfen.

Soweit ich weiß kennt man noch keine Details dazu, wie der Hack passieren konnte.

Heutzutage sind aber eher menschliches Versagen oder so genannte "inside jobs", also Angriffe von (Ex-)Mitarbeitern deutlich wahrscheinlicher alsdass tatsächlich ein Angriff von außen gelingen konnte. Die Strukturen sind in der Regel nach außen hin enorm gut abgesichert, da kommt man nicht so ohne weiteres hin. Kennt man jedoch externe Schnittstellen (ggfs. sogar bewusst geöffnete) oder hat Zugriff auf interne Systeme (bspw. wenn Mitarbeiter gekündigt werden, diese aber noch Zugriffe besitzen), so kann das durchaus auch Firmen in der Größenordnung von Binance passieren.

[MinoRaiola]

Heutzutage sind aber eher menschliches Versagen oder so genannte "inside jobs", also Angriffe von (Ex-)Mitarbeitern deutlich wahrscheinlicher alsdass tatsächlich ein Angriff von außen gelingen konnte. Die Strukturen sind in der Regel nach außen hin enorm gut abgesichert, da kommt man nicht so ohne weiteres hin. Kennt man jedoch externe Schnittstellen (ggfs. sogar bewusst geöffnete) oder hat Zugriff auf interne Systeme (bspw. wenn Mitarbeiter gekündigt werden, diese aber noch Zugriffe besitzen), so kann das durchaus auch Firmen in der Größenordnung von Binance passieren.

Okay, da hast du wahrscheinlich recht. Ich habe auch gerade mal etwas nach den Details gesucht und nix gefunden, auch hier steht nichts: https://coinmarketcap.com/community/. Ein Cut zwischen Arbeitskollegen, Chef und Co. sollte im besten Fall nie negativ passieren. Wie du schon schreibst, die Lücke könnte noch nicht geschlossen sein. Aber somit weiß man woher es kommt, oder wer/wie/wo es verursacht hat. Vielleicht hat der CMC-Support schon einzelne geschädigte User geholfen, oder wird ihnen helfen, damit sie ihre Coins zurück erhalten, oder keinen Verlust erleiden.

[Fantomaz]

Da fragt man sich, wie hier Gelder der Nutzer betroffen sind, ist es doch gar nicht möglich für Nutzer auf Coinmarketcap Münzen zu lagern. Coinmarketcap bietet solch etwas für Nutzer schlicht nicht an, es ist bloß eine Seite zum abrufen der aktuellen Kryptowährungskurse.

[Lakai01]

Da fragt man sich, wie hier Gelder der Nutzer betroffen sind, ist es doch gar nicht möglich für Nutzer auf Coinmarketcap Münzen zu lagern. Coinmarketcap bietet solch etwas für Nutzer schlicht nicht an, es ist bloß eine Seite zum abrufen der aktuellen Kryptowährungskurse.

Dazu muss man auf CMC auch nicht unbedingt Coins lagern können.

Es reicht ein simpler Angriff:
Stell dir vor, du rufst CMC auf und plötzlich siehst du einen Banner mit "Du hast 0,05 BTC gewonnen, gib uns bitte den Private Key des Wallets, wo wir den Gewinn hintransferieren sollen". Nachdem CMC bekannt ist und der Seite vertraut wird, fallen da garantiert Leute darauf rein ... und wenn es nur 0,1% aller Leute sind, die CMC aufrufen.

Für die Hacker lohnt sich das also definitiv, auch wenn nur sehr wenig "Gewinn" dabei rumkommt.

[Etiquette.exe]

Da fragt man sich, wie hier Gelder der Nutzer betroffen sind, ist es doch gar nicht möglich für Nutzer auf Coinmarketcap Münzen zu lagern. Coinmarketcap bietet solch etwas für Nutzer schlicht nicht an, es ist bloß eine Seite zum abrufen der aktuellen Kryptowährungskurse.

Dazu muss man auf CMC auch nicht unbedingt Coins lagern können.

Es reicht ein simpler Angriff:
Stell dir vor, du rufst CMC auf und plötzlich siehst du einen Banner mit "Du hast 0,05 BTC gewonnen, gib uns bitte den Private Key des Wallets, wo wir den Gewinn hintransferieren sollen". Nachdem CMC bekannt ist und der Seite vertraut wird, fallen da garantiert Leute darauf rein ... und wenn es nur 0,1% aller Leute sind, die CMC aufrufen.

Für die Hacker lohnt sich das also definitiv, auch wenn nur sehr wenig "Gewinn" dabei rumkommt.

Guten Morgen,

ich nutze die Seite auch ununterbrochen, aber ich habe noch nie ein Wallet damit verbunden. Insofern hätte ich sowieso Abstand davon genommen mich damit zu verbinden oder einen Link zu nutzen, der mir dort vorgeschlagen wird. Ich muss aber sagen, wer auf diese Gewinnspielmaschen reinfällt und dann einem Betrug zum Opfer fällt, der ist vielleicht auch ganz grundsätzlich anfällig für sowas und mit einem Investment in Kryptowährungen nicht sonderlich gut beraten. Das lässt mich immer staunen, wenn jemand so seine Kryptowährungen verlieren.

Es ist aber verwunderlich, dass solch ein Hack einer Seite wie CMC unterlaufen kann. Das ist immer schwer zu glauben, dass so etwas jemandem gelingt dort einzuspeisen, der keine Kontakte nach innen hat zu CMC Mitarbeitern. Denn um das Frontend zu manipulieren, muss man schon ins System kommen. Hier hat es sich nicht um eine Umleitung gehandelt zu einer Webseite, die bspw. bei einem Tippfehler auftaucht oder? Ich nutze CMC täglich und jetzt ist  die Frage, ob das bei jedem aufgetaucht ist. Eigentlich müsste es das doch?

VG,
Chris

[Lakai01]

Derzeit wird auch beim Aufruf von Cointelegraph angezeigt, dass die Seite potenziell schädlich ist wenn man gleichzeitig auch Metamask installiert hat. Hier kann es sich aber um ein so genanntes "Detection Problem" bei Metamask handeln, ev. läuft einer ihrer Algorithmen, wie sie gehackte Seiten erkennen, amok:



Auf X oder anderen Social Media Plattformen liest man von einem potenziellen Hack noch gar nichts.

Ich muss aber sagen, wer auf diese Gewinnspielmaschen reinfällt und dann einem Betrug zum Opfer fällt, der ist vielleicht auch ganz grundsätzlich anfällig für sowas und mit einem Investment in Kryptowährungen nicht sonderlich gut beraten. Das lässt mich immer staunen, wenn jemand so seine Kryptowährungen verlieren.

Solche Angriffe zielen in der Regel auch nicht auf "uns" versierte Nutzer ab sondern auf die angesprochenen 0,1% die auch auf Anrufe vom Microsoft Support Service reinfallen würden nur wenn ihnen ein Gewinn versprochen wird. Umso unbedarfter ein Nutzer ist, umso leichter kann man ihn mit solchen Angriffen auch tatsächlich überrumpeln.

[MinoRaiola]

Nach Coinmarketcap und Cointelegraph+Metamask kommt nun Trezor auch dazu. Aktuell nur eine englische Quelle:https://cryptobriefing.com/trezor-security-alert-phishing-warning/. Das Kontaktformular von Trezor wurde wohl dafür genutzt um E-Mails an Nutzer zu senden. Dort waren Links, die auf das Wallet-Backup zugreifen sollten. Aktuell sehr bekannte Krypto-Communities, die angegriffen wurden und wer weiss, ob da nicht noch etwas die Tage dazu kommt.

We have identified a security issue where attackers abused our contact form to send scam emails appearing as legitimate Trezor support replies.

These scam emails appear legitimate but are a phishing attempt.

Remember, NEVER share your wallet backup — it must always stay private and offline. Trezor will never ask for your wallet backup.

The issue has been contained.

Security is a continuous process. Stay vigilant.

https://x.com/Trezor/status/1937085759028089100

[Lafu]

Es reicht ein simpler Angriff:
Stell dir vor, du rufst CMC auf und plötzlich siehst du einen Banner mit "Du hast 0,05 BTC gewonnen, gib uns bitte den Private Key des Wallets, wo wir den Gewinn hintransferieren sollen". Nachdem CMC bekannt ist und der Seite vertraut wird, fallen da garantiert Leute darauf rein ... und wenn es nur 0,1% aller Leute sind, die CMC aufrufen.
Für die Hacker lohnt sich das also definitiv, auch wenn nur sehr wenig "Gewinn" dabei rumkommt.

Naja ich würde sagen das jeder der ein bisschen Ahnung und Verstand hat und sich auch ein bisschen mit Krypto ansich befaßt hat hier schon sehen sollte das es Fake ist.
Aber ja leider fallen genau bei solchen einfachen tricks bestimmt welche darauf rein.
Hier fällt bestimmt nicht nur wenig ab sonder einiges für die Hacker.
Zum Glück benutze ich Coinmarketcap seit jahren nicht mehr persönlich , nur hin und wieder bei Nachforschungen.

[Lakai01]

Es reicht ein simpler Angriff:
Stell dir vor, du rufst CMC auf und plötzlich siehst du einen Banner mit "Du hast 0,05 BTC gewonnen, gib uns bitte den Private Key des Wallets, wo wir den Gewinn hintransferieren sollen". Nachdem CMC bekannt ist und der Seite vertraut wird, fallen da garantiert Leute darauf rein ... und wenn es nur 0,1% aller Leute sind, die CMC aufrufen.
Für die Hacker lohnt sich das also definitiv, auch wenn nur sehr wenig "Gewinn" dabei rumkommt.

Naja ich würde sagen das jeder der ein bisschen Ahnung und Verstand hat und sich auch ein bisschen mit Krypto ansich befaßt hat hier schon sehen sollte das es Fake ist.
[...]

Das von mir gezeigte Beispiel ist natürlich nur plakativ, wenn man das Ganze etwas subtiler anstellt zieht man sicher noch viel mehr CMC-Besucher ab.

Es gibt leider auch hier bei uns im deutschsprachigen Bereich immer mal wieder Geschichten von langjährigen Mitgliedern, die um ihr Geld betrogen wurden. Das geht heutzutage leider relativ schnell, ggfs. reicht sogar eine Verbindung von Metamask mit einer kompromitierten Webseite zu verbinden. Man muss also auch als versierter Nutzer enorm aufpassen was man macht um nicht um die hart ersparten Coins zu kommen.

Aber grundsätzlich hast du natürlich Recht: "wir" versierten Nutzer sind nicht die Zielgruppe solcher Angriffe, dazu ist oftmals unser Wissensvorsprung viel zu groß gegenüber den Neueinsteigern/unbedarfteren Nutzern von Cryptos. Diese können jedoch auch durchaus ein lukratives "Geschäft" sein.

[mole0815]

CMC, Cointelegraph und dann auch noch Trezor.
Und das alles innerhalb von ein paar Tagen?

Da ist man 1,5 Wochen auf Urlaub und wenn man zurückkommt sowas... der Kryptospace ist wirklich sehr schnelllebig (und wie wir wissen auch unverändert gefährlich).

[Real-Duke]

Nach Coinmarketcap und Cointelegraph+Metamask kommt nun Trezor auch dazu.

Ich habe meinen Trezor Safe 3 letztes Jahr über Amazon anstatt direkt von Trezor gekauft und zum Glück keine Mail bekommen.
Davon abgesehen, würde ich so eine Mail eh ignorieren und eher hier einstellen um alle zu warnen.

Hoffentlich fällt niemand darauf rein, denn wer sich ein Harware Wallet holt, hat bestimmt mehr als ein paar Hundert Euro an Gegenwert zu verlieren.

[cygan]

✂️
Ich habe meinen Trezor Safe 3 letztes Jahr über Amazon anstatt direkt von Trezor gekauft und zum Glück keine Mail bekommen.
✂️

etwas off-topic
aber bitte waaaaas? das würde ich nie machen und immer direkt beim hersteller bestellen/kaufen

[mole0815]

aber bitte waaaaas? das würde ich nie machen und immer direkt beim hersteller bestellen/kaufen

Habe mich auch kurz gewundert, aber wie es aussieht, gibt es die Teile dort wie offiziell: https://www.amazon.com/stores/TrezorModelT/page/C198CDB2-A4DE-4E54-8B10-AE9904CCD33E
Amazon und andere Quellen werden hier genannt: https://trezor.io/support/troubleshooting/device-issues/is-my-device-safe-to-use

[Real-Duke]

etwas off-topic
aber bitte waaaaas? das würde ich nie machen und immer direkt beim hersteller bestellen/kaufen

Na klar, habe ich doch damals hier noch gepostet den Link: https://bitcointalk.org/index.php?topic=5454492.msg64781664#msg64781664
Verkäufer ist Trezor, aber mag sein das Amazon die Emailadressen der Käufer nicht an den Hersteller gesendet hat bzw hoffe ich das jetzt gerade.

Hier dann auch nochmal einen Beitrag verfasst, alles mit Siegeln und so. Das schaute soweit für mich alles OK aus: https://bitcointalk.org/index.php?topic=5375482.msg64816047#msg64816047

[Unknown01]

etwas off-topic
aber bitte waaaaas? das würde ich nie machen und immer direkt beim hersteller bestellen/kaufen

Na klar, habe ich doch damals hier noch gepostet den Link: https://bitcointalk.org/index.php?topic=5454492.msg64781664#msg64781664
Verkäufer ist Trezor, aber mag sein das Amazon die Emailadressen der Käufer nicht an den Hersteller gesendet hat bzw hoffe ich das jetzt gerade.

Hier dann auch nochmal einen Beitrag verfasst, alles mit Siegeln und so. Das schaute soweit für mich alles OK aus: https://bitcointalk.org/index.php?topic=5375482.msg64816047#msg64816047

Man muss aber dazu auch anmerken, dass man durch den Kauf von Drittanbietern, auch wenn es sich um Amazon handelt, andere Risiken eingeht. Ich freue mich natürlich für dich, wenn du davon nur Vorteile hast aber generell würde ich niemandem empfehlen bei solch heiklen Angelegenheiten auf Dritte zu vertrauen. Der Erwerb beim Hersteller ist in der Regel die sicherere Variante, auch wenn hier jetzt eine Ausnahme gemacht werden kann.

[Lakai01]

[...]
Man muss aber dazu auch anmerken, dass man durch den Kauf von Drittanbietern, auch wenn es sich um Amazon handelt, andere Risiken eingeht. Ich freue mich natürlich für dich, wenn du davon nur Vorteile hast aber generell würde ich niemandem empfehlen bei solch heiklen Angelegenheiten auf Dritte zu vertrauen. Der Erwerb beim Hersteller ist in der Regel die sicherere Variante, auch wenn hier jetzt eine Ausnahme gemacht werden kann.

Sehe ich grundsätzlich genauso, ja.
Ist aber in dem Fall von Real-Duke etwas anders gelagert ... Trezor tritt auf Amazon als eigenständige Firma auf, betreibt also quasi auf Amazon nur einen eigenen zusätzlichen Webshop um so auch Kunden ansprechen zu können, die ansonsten wohl nie auf der eigenen Trezor-Seite kaufen würden.

Ledger hat mWn. keinen offiziellen Amazon-Shop, kauft man über Amazon also einen Ledger ist das deutlich gefährlicher.

[MinoRaiola]

[...]
Man muss aber dazu auch anmerken, dass man durch den Kauf von Drittanbietern, auch wenn es sich um Amazon handelt, andere Risiken eingeht. Ich freue mich natürlich für dich, wenn du davon nur Vorteile hast aber generell würde ich niemandem empfehlen bei solch heiklen Angelegenheiten auf Dritte zu vertrauen. Der Erwerb beim Hersteller ist in der Regel die sicherere Variante, auch wenn hier jetzt eine Ausnahme gemacht werden kann.

Sehe ich grundsätzlich genauso, ja.
Ist aber in dem Fall von Real-Duke etwas anders gelagert ... Trezor tritt auf Amazon als eigenständige Firma auf, betreibt also quasi auf Amazon nur einen eigenen zusätzlichen Webshop um so auch Kunden ansprechen zu können, die ansonsten wohl nie auf der eigenen Trezor-Seite kaufen würden.

Ledger hat mWn. keinen offiziellen Amazon-Shop, kauft man über Amazon also einen Ledger ist das deutlich gefährlicher.

Ich hatte direkt die Bilder von Ledger vor Augen und die modifizierten Chips. Ich habe mal kurz hier im Forum danach gesucht, aber nichts gefunden. Bei dem Trezor habe ich das noch nicht gesehen, aber evtl. kann da ja jemand informieren. Kaufen würde ich auch nur in den offiziellem Shop, bei allen anderen Angeboten hätte ich auch größere Zweifel, auch wenn der Zusatz "offizieller Händler" steht.

Trezor hatte schonmal eine Sicherheitslücke im Januar 2024: Trezor-Wallet warnt Kunden vor Sicherheitslücke

Sensible Daten von bis zu 66.000 Trezor-Kunden könnten im Zuge eines Phishing-Angriffs gefährdet sein, wie das Unternehmen jüngst mitteilt.

https://www.btc-echo.de/schlagzeilen/trezor-wallet-warnt-kunden-vor-sicherheitsluecke-177660/