De grootste diefstallen van cryptocurrency in de afgelopen 10 jaar

In dit artikel proberen we ons alle grote cryptodiefstallen van de afgelopen 10 jaar te herinneren.

1. Bitstamp-hack, $5.3 mln (BTC), 4 januari 2015

Op 4 januari 2015 meldde de operationele hot wallet van Bitstamp dat deze was gehackt door een anonieme hacker en dat 19.000 Bitcoins (ter waarde van $5 miljoen) waren verloren gegaan.

De aanval begon op 4 november 2014. Damian Merlak, de CTO van de exchange, kreeg via Skype gratis tickets aangeboden voor het punkrockfestival Punk Rock Holiday 2015. Het was bekend dat Merlak interesse heeft in zulke muziek en zelfs in een band speelt. Om de tickets te ontvangen, werd hem gevraagd een deelnemersvragenlijst in te vullen door een bestand te sturen met de naam “Punk Rock Holiday 2015 TICKET Form1.doc”. Dit bestand bevatte een VBA-script. Door het bestand te openen, downloadde hij malware op zijn computer. Hoewel Merlak niets verdachts vermoedde en het “aanvraagformulier” had geopend, leidde dit niet tot ernstige gevolgen en kreeg men geen toegang tot de fondsen van de Bitstamp-exchange.

De aanvallers gaven echter niet op. De aanval duurde vijf weken, waarin de hackers zich voordeden als journalisten en vervolgens als headhunters.

Uiteindelijk hadden de aanvallers geluk. Op 11 december 2014 werd het geïnfecteerde Word-document op zijn machine geopend door Bitstamp-systeembeheerder Luka Kodric, die toegang had tot de exchange-wallet. Het bestand kwam bij het slachtoffer via e-mail, zogenaamd namens een medewerker van de Association for Computer Machinery, hoewel de sporen van het bestand volgens het onderzoek diep richting Tor leidden. De pogingen van de hackers beperkten zich niet tot slechts één brief. De Skype-aanvaller deed zich voor als een medewerker van de Association for Computing Machinery en overtuigde dat zijn Frame dacht deel uit te maken van een internationale erevereniging, waarvoor wat papierwerk nodig was. Kodric geloofde het.

Door een Trojaans paard op Kodric’s computer te installeren, konden de hackers directe toegang krijgen tot de hot wallet van de exchange. De logs tonen aan dat de aanvaller onder het account van Kodric toegang kreeg tot de server LNXSRVBTC, waar hij het walletbestand .dat bewaarde, en tot de DORNATA-server, waar het wachtwoord was opgeslagen. Daarna werden de servers doorgestuurd naar een bepaald IP-adres dat toebehoort aan een van de providers in Duitsland.

Er zijn nog steeds geen officiële rapporten over arrestaties in deze zaak. Uiteraard wordt de zaak bemoeilijkt doordat de hackers zich buiten het VK bevinden, en het onderzoek moet samenwerken met wetshandhavingsinstanties in andere landen.

2. GateHub-hack, $9.5 mln (XRP), 1 juni 2019

Hackers hebben bijna 100 XRP Ledger-wallets gecompromitteerd op de dienst voor cryptowallets GateHub. Het incident werd op 6 juni in een voorlopige verklaring door GateHub gemeld.

XRP-liefhebber Thomas Silkjær, die de verdachte activiteit als eerste opmerkte, schat dat de hackers bijna $10 miljoen aan cryptocurrency hebben gestolen (23,200,000 XRP), waarvan $5.5 miljoen (13,100,000 XRP) inmiddels is witgewassen via exchanges en mixer-diensten.

GateHub merkt op dat het onderzoek nog steeds loopt en daarom geen officiële bevindingen kan publiceren. Ook adviseert GateHub slachtoffers om klachten in te dienen bij de bevoegde autoriteiten in hun rechtsgebied.

3. Tether-hack, $30.9 mln (USDT), 19 november 2017

Tether creëerde een digitale valuta genaamd “US tokens” (USDT) — deze konden worden gebruikt om echte goederen te verhandelen met Bitcoin, Litecoin en Ether. Door $1 in Tether te storten, ontving de gebruiker 1 USD, dat weer kon worden omgezet naar fiat. Op 19 november 2017 kreeg de aanvaller toegang tot de hoofd-Tether-wallet en nam hij $30.9 miljoen aan tokens op. Voor de transactie gebruikte hij een Bitcoin-adres, wat betekent dat deze onomkeerbaar was.

Om de situatie op te lossen, ondernam Tether actie waardoor de hacker het gestolen geld niet kon opnemen naar fiat of Bitcoin, maar de paniek leidde wel tot een daling van de waarde van Bitcoin.

4. Ethereum-hack, $31 mln (ETH), 20 juli 2017

Op 20 juli 2017 stuurde de hacker 153,037 Ethers ter waarde van $31 miljoen over vanuit drie zeer grote wallets van SwarmCity, Edgeless Casino en Eternity. Onbekende fraudeurs wisten het eigendom van de wallets te wijzigen door misbruik te maken van de kwetsbaarheid met meerdere handtekeningen.

Eerst werd de diefstal opgemerkt door de ontwikkelaars van SwarmCity.

Verdere gebeurtenissen verdienen een plaats in de geschiedenis: “white hackers” gaven de gestolen fondsen terug en beschermden daarna andere gecompromitteerde accounts. Ze handelden op dezelfde manier als criminelen die geld uit kwetsbare wallets stalen — alleen niet voor zichzelf. En dat alles gebeurde in minder dan een dag.

5. Dao-hack, $70 mln (ETH), 18 juni 2016

Op 18 juni 2016 merkten leden van de Ethereum-community op dat er geld werd weggesluisd uit de DAO en dat het totale ETH-saldo van het smart contract daalde. In de eerste paar uur werd in totaal 3.6 miljoen Ether (destijds ongeveer $70 miljoen waard) door de hacker weggesluisd. De aanval was mogelijk door een exploit in de splitfunctie. De aanvallers haalden meerdere keren Ether uit het DAO-smart contract met dezelfde DAO-tokens. Dit was mogelijk door wat bekendstaat als een recursive call exploit.

Bij deze exploit kon de aanvaller het smart contract (DAO) meerdere keren “vragen” om de Ether terug te geven voordat het smart contract zijn eigen saldo kon bijwerken. Er waren twee hoofdproblemen die dit mogelijk maakten: het feit dat de programmeurs bij het maken van het DAO-smart contract geen rekening hielden met de mogelijkheid van een recursive call, en het feit dat het smart contract eerst de ETH-fondsen verstuurde en pas daarna het interne tokensaldo bijwerkte.

Het is belangrijk te begrijpen dat deze bug niet uit Ethereum zelf kwam, maar uit deze ene applicatie die op Ethereum was gebouwd. De code die voor de DAO was geschreven bevatte meerdere bugs, en de recursive call exploit was er daar één van. Een andere manier om naar deze situatie te kijken is Ethereum te vergelijken met het internet en elke applicatie op basis van Ethereum met een website: als een website niet werkt, betekent dat niet dat het internet niet werkt, het betekent simpelweg dat één website een probleem heeft.

Om onbekende redenen stopte de hacker met het leegtrekken van de DAO, hoewel hij daarmee had kunnen doorgaan.

De Ethereum-community en het team kregen de situatie snel onder controle en presenteerden meerdere voorstellen om met de exploit om te gaan. Om te voorkomen dat de hacker na de standaard 28 dagen zijn Ether uit zijn child DAO zou verzilveren, werd over een soft-fork gestemd en deze kwam zeer dicht bij invoering. Enkele uren voordat deze zou worden uitgebracht, ontdekten enkele leden van de community een bug in de implementatie die een denial-of-service-aanvalsvector opende. Deze soft fork was ontworpen om alle transacties van de DAO op een blacklist te zetten.

6. NiceHash-hack, 4736.42 (BTC), 6 december 2017

NiceHash is een Sloveense broker in cryptografische hash power met een geïntegreerde marktplaats die verkopers van hashkracht (miners) verbindt met kopers van hashkracht via een sharing-economy-aanpak.

Op 6 december 2017 werden de servers van het bedrijf het doelwit van een aanval. In eerste instantie meldden Reddit-gebruikers dat ze geen toegang kregen tot hun geld en geen transacties konden uitvoeren — wanneer ze probeerden in te loggen, kregen ze een bericht te zien over een onderbreking van de dienst. Uiteindelijk bleek dat de dienst een grote cyberaanval had ondergaan en dat 4736,42 Bitcoins spoorloos waren verdwenen.

Ondanks de zware verliezen kon NiceHash blijven werken, maar CEO en oprichter Marco Koval trad af en maakte plaats voor een nieuw team. Het bedrijf slaagde erin het vertrouwen van investeerders te behouden en begon de beveiliging van zijn systemen te versterken.

7. Mt. Gox-hack, 850000 (BTC), 19 juni 2011

De hack van Mt. Gox was een van de grootste Bitcoin-diefstallen in de geschiedenis. Het was het werk van hoogprofessionele hackers die complexe kwetsbaarheden gebruikten.

Een hacker (of een groep hackers) kreeg naar verluidt toegang tot een computer van een van de auditors en gebruikte een beveiligingslek om toegang te krijgen tot de servers van Mt. Gox, waarna de nominale waarde van Bitcoin werd gewijzigd naar 1 cent per munt.

Daarna brachten ze ongeveer 2000 BTC naar buiten. Sommige klanten voerden zonder het te weten transacties uit tegen deze lage prijs, in totaal 650 BTC, en ondanks het feit dat de hack wereldwijd de krantenkoppen haalde, kon geen enkele Bitcoin worden teruggekregen.

Om het vertrouwen van investeerders te vergroten, heeft het bedrijf alle gestolen munten gecompenseerd, het grootste deel van de resterende fondsen in offline opslag geplaatst, en werd het de daaropvolgende paar jaar beschouwd als de meest betrouwbare Bitcoin-exchange ter wereld.

Maar het was slechts een illusie van betrouwbaarheid.

De problemen van de organisatie waren veel ernstiger, en het management wist er waarschijnlijk zelfs niets van.

CEO van Mt. Gox, Mark Karpeles, was oorspronkelijk ontwikkelaar, maar na verloop van tijd verdiepte hij zich niet langer in technische details en baadde hij in de glans van roem — omdat hij het grootste platform ter wereld voor cryptovalutahandel had gecreëerd. Destijds verwerkte Mt. Gox meer dan 70% van alle Bitcoin-transacties.

En natuurlijk waren er mensen die wilden profiteren van de technologische zwakte van de dienst. Op een gegeven moment zorgden hackers ervoor dat Bitcoins tegen elke prijs konden worden gekocht, en binnen enkele minuten werden munten ter waarde van miljoenen dollars verkocht — meestal voor een habbekrats. De wereldwijde Bitcoin-prijzen stabiliseerden binnen enkele minuten, maar toen was het al te laat.

Als gevolg daarvan verloor Mt. Gox ongeveer 850,000 Bitcoins. De exchange moest faillissement aanvragen, honderdduizenden mensen verloren geld en de Japanse autoriteiten arresteerden CEO Mark Karpeles wegens fraude. Hij pleitte onschuldig en werd vervolgens vrijgelaten. In 2014 herstelden de autoriteiten een deel van de Bitcoins die op de oude adressen waren achtergebleven, maar ze werden niet naar de exchange overgedragen en er werd een trust opgericht om de verliezen van schuldeisers te vergoeden.

8. Coincheck-hack, $530 mln, 26 januari 2018

Het bedrag was verbazingwekkend en overtrof zelfs de beruchte Mt. Gox-hack.

Terwijl Mt. Gox kort na de hack faillissement aanvroeg, bleef Coincheck verrassend genoeg gewoon actief en werd het onlangs zelfs goedgekeurd als een gelicentieerde exchange door Japan’s Financial Services (FSA).

Coincheck werd in 2014 opgericht in Japan en was een van de populairste cryptocurrency-exchanges in het land. Met een breed aanbod aan digitale activa, waaronder Bitcoin, Ether, LISK en NEM, was Coincheck een opkomende exchange die zich aansloot bij de Japan Blockchain Association.

Omdat Coincheck in 2014 werd opgericht, viel het overigens niet onder de nieuwe registratievereisten voor exchanges van Japan’s FSA, die na Mt. Gox een kader invoerde, en dit was uiteindelijk een van de factoren die bijdroegen aan de slechte beveiligingsstandaarden die tot de Coincheck-hack leidden.

Op 26 januari 2018 plaatste Coincheck een bericht op hun blog waarin werd uitgelegd dat ze NEM-stortingen en opnames beperkten, samen met de meeste andere manieren om cryptovaluta op het platform te kopen of verkopen. Er ontstonden speculaties dat de exchange gehackt was, en de ontwikkelaars van NEM brachten een verklaring uit waarin zij zeiden dat zij zich niet bewust waren van technische storingen in het NEM-protocol en van eventuele problemen die het gevolg waren van de beveiliging van de exchange.

Coincheck hield vervolgens een spraakmakende conferentie waarin zij bevestigden dat hackers 500 miljoen NEM-tokens hadden buitgemaakt, die vervolgens werden verspreid over 19 verschillende adressen op het netwerk. Met een totale waarde van ongeveer $530 miljoen destijds — NEM schommelde toen rond de $1 — werd de Coincheck-hack beschouwd als de grootste diefstal in de geschiedenis van de sector.

Coincheck werd gedwongen enkele beschamende details over de beveiliging van hun exchange te onthullen, waaronder dat zij alle NEM in één enkele hot wallet opsloegen en geen gebruikmaakten van de NEM-multisignature contractbeveiliging die door de ontwikkelaars werd aanbevolen.

Tegelijkertijd had het ontwikkelteam van NEM alle bij de hack gestolen NEM gemarkeerd met een bericht dat de fondsen als gestolen identificeerde, zodat andere exchanges ze niet zouden accepteren. NEM kondigde echter enkele maanden later aan om onduidelijke redenen hun zoektocht naar de gestolen NEM te beëindigen, en er bleef speculatie bestaan dat de hackers dicht bij het verzilveren van de gestolen fondsen op het dark web waren.

De mainstream media berichtten uitgebreid over de hack en vergeleken deze met soortgelijke mislukkingen van cryptocurrency-exchanges in het verleden om aan adequate beveiligingsnormen te voldoen. Destijds draaide de meeste media-aandacht voor cryptocurrencies om hun obscure karakter, dramatische volatiliteit en gebrek aan beveiliging. De hack van Coincheck voedde dat narratief aanzienlijk, omdat het gestolen bedrag duizelingwekkend was en de gebruikte cryptocurrency — NEM — voor de meesten in de mainstream onbekend was.

NEM daalde snel in waarde na de hack, en de prijs daalde in de loop van 2018 nog verder, in lijn met de aanhoudende berenmarkt in de bredere sector. Momenteel handelt NEM rond $0.07, een scherpe daling ten opzichte van de ATH van meer dan $1.60 begin januari.

De omvang van de Coincheck-hack werd slechts door enkele andere hacks geëvenaard, met name de Mt. Gox-hack. Hoewel Coincheck nominaal de grootste hack in de geschiedenis van de sector is, waren de gevolgen van Mt. Gox aanzienlijk groter, omdat de gestolen fondsen uitsluitend uit Bitcoin bestonden en zorgden voor een langdurige marktcorrrectie, evenals een voortdurende controverse rond de gestolen fondsen en de oprichter. Bovendien verkwistte Mt. Gox 6% van de totale Bitcoin-omloop in die tijd, in een markt die veel minder volwassen was dan vandaag.

Ondanks de nasleep is Coincheck nu volledig operationeel en geregistreerd bij Japan’s FSA.

De praktijk laat zien dat mensen fouten maken en dat die fouten veel kunnen kosten. Zeker als we het over de gekke cryptowereld hebben. Wees voorzichtig en bewaar je private keys op een veilige plek.