Per Touch und QR-Code: Bitcoin-Geldautomat ohne Tastatur geknackt
Im Januar 2024 haben Sicherheitsforscher von IOActive Labs eine Sicherheitslücke bei Bitcoin-Geldautomaten (ATMs) aufgedeckt, die es Angreifern ermöglicht, die vollständige Kontrolle über einen ATM zu erlangen, ohne dabei Spuren zu hinterlassen.
Die Sicherheitslücke liegt in der Art und Weise, wie die ATMs mit Touchscreens umgehen. Unmittelbar nach dem Bootvorgang des ATMs für einige Sekunden mit dem Fenstermanager des darauf installierten Linux-Betriebssystems interagieren konnten. In dieser Zeit konnten die Forscher einen QR-Code auf den Touchscreen des ATMs projizieren. Wenn ein Nutzer den QR-Code dann scannte, wurde ein bösartiges Skript auf dem Gerät ausgeführt, das den Angreifern die vollständige Kontrolle über den ATM verschaffte.
Mit dieser Kontrolle konnten die Angreifer dann Geld abheben, ohne dabei eine Spur zu hinterlassen. Sie konnten die Transaktionsdaten des ATMs manipulieren, so dass es so aussah, als hätte der Nutzer eine legitime Transaktion durchgeführt.
IOActive Labs hat die Sicherheitslücke an die Hersteller von Bitcoin-ATMs gemeldet. Diese haben die Sicherheitslücke inzwischen behoben.
Die Sicherheitslücke zeigt, dass auch Bitcoin-ATMs nicht vor Sicherheitslücken gefeit sind. Die Hersteller von Bitcoin-ATMs sollten daher ihre Geräte regelmäßig auf Sicherheitslücken untersuchen und diese schnellstmöglich beheben.
Hier sind einige Maßnahmen, die die Sicherheit von Bitcoin-ATMs erhöhen können:
- Die Verwendung von Tastaturen statt Touchscreens kann die Sicherheit erhöhen, da Tastaturen schwieriger zu manipulieren sind als Touchscreens.
- Die Verwendung von Sicherheitsmaßnahmen wie Fingerabdruckscannern oder Gesichtserkennung kann die Sicherheit erhöhen, indem sie die Authentifizierung von Nutzern erschweren.
- Die regelmäßige Aktualisierung der Firmware der ATMs kann die Sicherheit erhöhen, indem sie Sicherheitslücken behebt.
Nutzer von Bitcoin-ATMs sollten sich der Sicherheitsrisiken bewusst sein und sich vor dem Gebrauch eines ATMs über die Sicherheitsmaßnahmen informieren.
