Der Bybit-Hack 2025: Lehren für sichere Signatur-Prozesse

Definition

Der Bybit-Hack von 2025 bezeichnet ein schwerwiegendes Cybersicherheitsereignis, das sich am 21. Februar 2025 ereignete und die Kryptowährungsbörse Bybit betraf. Bei diesem Vorfall wurden schätzungsweise 1,5 Milliarden US-Dollar in Ethereum (ETH) unrechtmäßig aus den Reserven von Bybit entwendet. Dieser Bruch war kein einfacher Diebstahl von Benutzergeldern aus einzelnen Konten, sondern eine hochkomplexe Manipulation des internen Asset-Management-Systems der Börse, die speziell auf den Prozess der Übertragung von Geldern zwischen ihren Cold- und Hot-Wallets abzielte. Die Angreifer nutzten Schwachstellen im Signatur-Prozess einer Multisignatur-Wallet aus, die eigentlich zur Erhöhung der Sicherheit durch die Anforderung mehrerer Genehmigungen für Transaktionen konzipiert ist.

Kernaussage

Die primäre Lehre aus dem Bybit-Hack von 2025 ist die entscheidende Bedeutung der Absicherung jeder Ebene eines Signatur-Prozesses, insbesondere in komplexen Multisignatur (Multisig)-Umgebungen. Obwohl Multisig-Wallets von Natur aus sicherer sind als Single-Signatur-Wallets, zeigte der Vorfall, dass Schwachstellen in der zugrunde liegenden Infrastruktur, bei Drittanbieter-Abhängigkeiten oder in der Mensch-Computer-Schnittstelle ausgenutzt werden können, um selbst robuste kryptografische Kontrollen zu umgehen. Der Hack unterstrich, dass Sicherheit nicht nur die kryptografische Stärke einer Signatur betrifft, sondern die Integrität des gesamten Arbeitsablaufs, der zu ihrer Erstellung und Ausführung führt.

Mechanik

Der Bybit-Hack war ein äußerst ausgeklügelter Supply-Chain-Angriff, der eine kritische Schwachstelle im operativen Arbeitsablauf der Börse für die Verwaltung digitaler Assets ausnutzte. Am 21. Februar 2025 initiierte Bybit eine routinemäßige Übertragung von Ethereum von ihrer Cold-Wallet – einer hochsicheren, Offline-Speicherlösung – zu ihrer Hot-Wallet, die für die Abwicklung täglicher Transaktionen mit dem Internet verbunden ist. Diese Übertragung erfolgte typischerweise über ein Multisignatur (Multisig)-Wallet-System, insbesondere unter Verwendung von Safe{Wallet} (ehemals Gnosis Safe), das die Genehmigung mehrerer autorisierter Parteien für eine Transaktion erfordert, bevor diese ausgeführt werden kann.

Die Angreifer schafften es, einen Entwicklerrechner zu kompromittieren, der mit Safe{Wallet} verbunden war. Durch diesen Kompromiss injizierten sie bösartigen JavaScript-Code in die Benutzeroberfläche (UI) von Safe{Wallet}, die von den Bybit-Unterzeichnern verwendet wurde. Als das autorisierte Personal von Bybit auf die Safe{Wallet}-Oberfläche zugriff, um die legitime Cold-zu-Hot-Wallet-Übertragung zu genehmigen, änderte das bösartige Skript subtil die ihnen präsentierten Transaktionsdetails. Die Benutzeroberfläche zeigte eine scheinbar korrekte Transaktion an – die Verschiebung von Geldern an Bybits vorgesehene Hot-Wallet – doch die zugrunde liegende Transaktionslogik wurde heimlich modifiziert. Diese Manipulation leitete die 1,5 Milliarden US-Dollar in ETH stattdessen an von den Angreifern kontrollierte Adressen um. Die Unterzeichner, die auf ihrem Bildschirm eine vermeintlich gültige Transaktion sahen, autorisierten unwissentlich die illegale Übertragung. Dieser Angriffsvektor verdeutlicht, dass selbst bei mehreren Genehmigungsebenen die gesamte Sicherheitskette unterbrochen werden kann, wenn die den Genehmigern präsentierten Informationen am Interaktionspunkt kompromittiert sind. Die Angreifer zeigten eine fortgeschrittene Fähigkeit, Schwachstellen in verschiedenen Bereichen zu navigieren und auszunutzen, darunter macOS-Malware, AWS-Cloud-Infrastruktur, Anwendungssicherheit und Smart-Contract-Sicherheit, was auf einen gut ausgestatteten und hochqualifizierten Bedrohungsakteur hindeutet, der weithin als die Lazarus-Gruppe angesehen wird.

Trading-Relevanz

Für Trader dient der Bybit-Hack als deutliche Erinnerung an die inhärenten Risiken, die mit zentralisierten Kryptowährungsbörsen und dem breiteren Ökosystem digitaler Assets verbunden sind. Obwohl Bybit die Benutzer schnell versicherte, dass ihre individuellen Gelder nicht direkt durch persönliche Kontobrüche kompromittiert wurden, beeinflusste der Vorfall die Marktstimmung und das Vertrauen erheblich. Große Hacks können eine sofortige Preisvolatilität für die betroffene Kryptowährung (in diesem Fall ETH) und potenziell für den breiteren Markt auslösen, da Investoren auf wahrgenommene systemische Risiken reagieren. Dies kann zu schnellen Ausverkäufen oder erhöhter Vorsicht führen, was Handelsstrategien und Liquidität beeinträchtigt.

Darüber hinaus veranlassen solche Ereignisse Börsen oft dazu, ihre Sicherheitsprotokolle neu zu bewerten und zu verbessern, was manchmal zu vorübergehenden Dienstunterbrechungen oder Änderungen bei den Auszahlungs-/Einzahlungsverfahren führen kann. Für Trader geht es beim Verständnis der Mechanismen solcher Angriffe nicht darum, Marktbewegungen vorherzusagen, sondern die zugrunde liegenden Sicherheitsherausforderungen zu erkennen, die die operative Landschaft des Krypto-Tradings prägen. Es unterstreicht die Bedeutung der Diversifizierung von Beständen über verschiedene Plattformen hinweg, der Nutzung von Self-Custody-Lösungen für erhebliche Vermögenswerte und der Information über die Sicherheitslage der verwendeten Börsen. Der Vorfall verdeutlicht, dass Börsen zwar nach robuster Sicherheit streben, aber kein System völlig undurchdringlich ist, und Trader operative Risiken in ihr gesamtes Risikomanagement-Framework einbeziehen müssen.

Risiken

Der Bybit-Hack legte mehrere kritische Risiken offen, die dem Kryptowährungs-Ökosystem innewohnen, insbesondere hinsichtlich der Sicherheit der Verwaltung digitaler Assets. Erstens erwiesen sich Supply-Chain-Angriffe als eine überragende Bedrohung. Diese Art von Angriff zielt auf Schwachstellen in Drittanbieter-Software, -Diensten oder -Komponenten ab, auf die sich eine Organisation verlässt, anstatt die primären Systeme der Organisation direkt anzugreifen. Im Fall von Bybit zeigte die Kompromittierung eines Safe{Wallet}-Entwicklerrechners und die anschließende Injektion von bösartigem Code in die Benutzeroberfläche, wie eine Schwachstelle in einer scheinbar peripheren Komponente zu einem katastrophalen Bruch der Kernwerte führen konnte. Dies unterstreicht die Notwendigkeit einer strengen Überprüfung und kontinuierlichen Überwachung aller Drittanbieter-Abhängigkeiten.

Zweitens verdeutlichte der Vorfall die anhaltende Herausforderung, Multisignatur (Multisig)-Prozesse vor ausgeklügelter Manipulation zu schützen. Obwohl Multisig-Wallets darauf ausgelegt sind, die Kontrolle zu verteilen und einzelne Fehlerquellen zu verhindern, zeigte der Bybit-Hack, dass die Sicherheitsvorteile zunichtegemacht werden können, wenn die allen Unterzeichnern präsentierten Informationen durch eine kompromittierte Schnittstelle einheitlich gefälscht werden. Dies weist auf das Risiko von "What You See Is Not What You Sign" (WYSIWYS)-Angriffen hin, bei denen die visuelle Darstellung einer Transaktion von ihren tatsächlichen zugrunde liegenden Daten abweicht. Die Minderung dieses Risikos erfordert nicht nur sichere Software, sondern auch unabhängige Verifizierungsmechanismen für Transaktionsdetails. Schließlich hob der Hack das menschliche Element als eine anhaltende Schwachstelle hervor. Selbst mit fortschrittlichen Sicherheitsmaßnahmen können menschliche Bediener, die mit kompromittierten Schnittstellen interagieren, unwissentlich bösartige Transaktionen autorisieren. Dies erfordert nicht nur robuste technische Kontrollen, sondern auch umfassende Schulungen zur Sicherheitsaufklärung, strenge Betriebsverfahren und potenziell hardwarebasierte Verifizierungsmethoden, die resistent gegen Software-Level-UI-Manipulationen sind. Die Geldwäsche gestohlener Gelder über Krypto-Mixer bekräftigt auch die anhaltende Herausforderung der Rückverfolgbarkeit und die Notwendigkeit verbesserter regulatorischer Rahmenbedingungen zur Bekämpfung illegaler Finanzströme im Bereich digitaler Assets.

Geschichte und Beispiele

Der Bybit-Hack vom 21. Februar 2025 stellt ein wegweisendes Ereignis in der Geschichte der Kryptowährungs-Sicherheitsverletzungen dar, hauptsächlich aufgrund seines beispiellosen Ausmaßes mit einem geschätzten Verlust von 1,5 Milliarden US-Dollar in Ethereum. Dieser Vorfall übertraf frühere große Exploits, wie den Mt. Gox-Hack im Jahr 2014 oder den Coincheck-Hack im Jahr 2018, hinsichtlich des reinen Wertes der bei einem einzigen Ereignis gestohlenen Vermögenswerte. Er übertraf auch deutlich den Gesamtbetrag an Krypto, der von nordkoreanischen Akteuren im gesamten Jahr 2024 gestohlen wurde, den TRM Labs auf rund 800 Millionen US-Dollar schätzte. Dieser Kontext unterstreicht die eskalierende Raffinesse und Auswirkung von Cyberangriffen auf die digitale Asset-Branche.

Die Vorgehensweise des Bybit-Hacks, insbesondere der Fokus auf Supply-Chain-Kompromittierung und Manipulation der Transaktionssignierung, spiegelt Taktiken wider, die zuvor staatlich unterstützten Hackergruppen, insbesondere der Lazarus-Gruppe aus Nordkorea, zugeschrieben wurden. Diese Gruppe hat eine gut dokumentierte Geschichte, zentralisierte Kryptowährungsbörsen und DeFi-Protokolle durch verschiedene Methoden anzugreifen, darunter Phishing-Kampagnen, Social Engineering und die Ausnutzung von Software-Schwachstellen, um Zugang zu privaten Schlüsseln zu erhalten oder Transaktionsflüsse zu manipulieren. Ein bemerkenswerter Vorläufer des Bybit-Vorfalls war der Atomic Wallet-Hack von 2023, bei dem etwa 100 Millionen US-Dollar in verschiedenen Kryptowährungen von über 4.100 einzelnen Adressen gestohlen wurden. Obwohl der genaue Mechanismus unterschiedlich war, umfassten beide Vorfälle die ausgeklügelte Ausnutzung von Softwareumgebungen zur Kompromittierung der Asset-Kontrolle. Der Bybit-Hack eskalierte die Bedrohung jedoch, indem er direkt die interne Cold-Wallet-Verwaltung einer großen Börse angriff und ein neues Maß an Kühnheit und technischem Können bei der Ausnutzung der komplexen Abhängigkeiten moderner Krypto-Infrastruktur demonstrierte. Diese historischen Beispiele veranschaulichen gemeinsam ein kontinuierliches Wettrüsten zwischen Sicherheitsexperten und böswilligen Akteuren, wobei jeder größere Vorfall wertvolle, wenn auch kostspielige, Lehren zur Verbesserung der Widerstandsfähigkeit des digitalen Asset-Ökosystems liefert.

Häufige Missverständnisse

Ein häufiges Missverständnis bezüglich des Bybit-Hacks und ähnlicher Vorfälle ist der Glaube, dass Cold-Wallets von Natur aus undurchdringlich sind. Während Cold-Wallets per Definition offline sind und somit immun gegen direkte Online-Hacking-Versuche, zeigte der Bybit-Vorfall, dass der Prozess der Übertragung von Geldern von einer Cold-Wallet zu einer Hot-Wallet oder jede Interaktion mit den Vermögenswerten der Cold-Wallet potenzielle Angriffsvektoren einführt. Die Schwachstelle lag nicht darin, dass die Cold-Wallet selbst "gehackt" wurde, während sie offline war, sondern in der kompromittierten Softwareschnittstelle, die zur Initiierung und Signierung von Transaktionen verwendet wurde, die die Gelder der Cold-Wallet betrafen. Dies verdeutlicht, dass die Sicherheit der Cold-Storage nur so stark ist wie die operativen Verfahren und die Software, die für die Interaktion damit verwendet werden.

Ein weiteres häufiges Missverständnis ist, dass Multisignatur (Multisig)-Wallets automatisch absolute Sicherheit garantieren. Der Bybit-Hack zeigte deutlich, dass Multisig zwar eine Verteidigungsebene durch die Anforderung mehrerer Genehmigungen hinzufügt, aber keine Patentlösung ist. Wenn allen Unterzeichnern über eine kompromittierte Schnittstelle gefälschte Informationen präsentiert werden oder wenn der zugrunde liegende Signaturmechanismus selbst untergraben wird (wie bei einem Supply-Chain-Angriff), dienen die mehreren Genehmigungen lediglich dazu, eine bösartige Transaktion zu autorisieren. Das Problem war nicht ein Mangel an mehreren Signaturen, sondern dass die Signaturen auf eine Transaktion angewendet wurden, deren wahre Absicht verschleiert war. Dies unterstreicht, dass Sicherheit ein ganzheitliches Konzept ist, das nicht nur kryptografische Mechanismen, sondern auch die Integrität des gesamten Software-Stacks, der Betriebsumgebung und der menschlichen Schnittstelle umfasst. Es reicht nicht aus, mehrere Schlüssel zu haben; diese Schlüssel müssen verwendet werden, um genaue und unkompromittierte Daten zu signieren.

Zusammenfassung

Der Bybit-Hack von 2025, der zu einem Verlust von 1,5 Milliarden US-Dollar in Ethereum führte, ist ein entscheidendes Ereignis in der Kryptowährungs-Sicherheit und unterstreicht die ausgeklügelte und sich entwickelnde Natur von Cyberbedrohungen. Dieser Vorfall war ein Supply-Chain-Angriff, der Schwachstellen im Safe{Wallet}-Multisignatur (Multisig)-Prozess ausnutzte, indem er die Benutzeroberfläche manipulierte, um Bybits Unterzeichner dazu zu bringen, unwissentlich eine illegale Übertragung von einer Cold-Wallet an von Angreifern kontrollierte Adressen zu autorisieren. Der Angriff zeigte, dass selbst robuste Sicherheitsmaßnahmen wie Multisig und Cold-Storage anfällig sind, wenn die Integrität der Betriebsumgebung oder der den menschlichen Bedienern präsentierten Informationen kompromittiert wird.

Die wichtigsten Lehren aus diesem Ereignis betonen die kritische Notwendigkeit umfassender Sicherheitsstrategien, die über die kryptografische Stärke hinausgehen und den gesamten Arbeitsablauf des digitalen Asset-Managements umfassen. Dazu gehören eine strenge Überprüfung von Drittanbieter-Abhängigkeiten, eine kontinuierliche Überprüfung aller Softwarekomponenten, die Implementierung unabhängiger Verifizierungsmechanismen zur Abwehr von "What You See Is Not What You Sign"-Angriffen und eine robuste Schulung zur Sicherheitsaufklärung für alle am Asset-Management beteiligten Mitarbeiter. Für das breitere Krypto-Ökosystem bekräftigt der Bybit-Hack die Bedeutung von Dezentralisierung, Self-Custody und der fortlaufenden Entwicklung widerstandsfähigerer und transparenterer Signatur-Prozesse, um systemische Risiken zu mindern und das Vertrauen in zentralisierte Plattformen wiederherzustellen.