Centen, die Millionen kosten: Was den „Kraken’s Dust-Angriff“ über die Sicherung von Kryptowährungen verrät

Vom 17. bis 24. August:Rund 12.000 Kunden von Kraken erhielten Einzahlungen, die sie nicht verlangt hatten.Übertragungen im Wert von ein paar Cent – manchmal auch ein paar Dollar – wurden aus einer Wallets übermittelt. Diese Wallets sind mit der Blockchain-Analysefirma Arkham Intelligence verbunden. Die Arkham Intelligence ist außerdem an der HTX-Plattform beteiligt – einer Plattform, die vom Vereinigten Königreich und anschließend auch von der Europäischen Union genehmigt wurde. Die automatische Überprüfung durch Kraken machte diese Transaktionen sichtbar. Das System zur Überwachung der Regeln tat genau das, was es sollte: Es blockierte die Konten. Etwa 12.000 Nutzer verloren vorübergehend den Zugang zu ihren eigenen Mitteln – weil jemand ihnen kleine Geldsummen geschenkt hat.

Kraken wiederholte innerhalb weniger Tage den Zugang zu den Mitteln. Die markierten Münzen behielt er weiterhin bei. Den Vorfall nannte er „Dust Attack“. HTX behauptet, dass sie nicht hinter der Transfertätigkeit stecken. Doch man sollte vor der Berechnung noch einmal nachdenken – die Zahlen verraten die ganze Geschichte: Der „Dust“ aus dieser Kampagne war fast wertlos. Das größte bekannt gewordene Geld, das auf diese Auseinandersetzung zurückzuführen ist, betrug 4,2 Millionen Dollar. Ein paar Cent an Krypto-Valuten haben dazu geführt, dass ein regulierter Hoster Millionen von Dollar der Gelder seiner Kunden blockieren musste. Wenn man diese Zahlen umdreht, erkennt man die Schwachstelle.

Die Maschine, die Geschenke in „gefrorene“ Formen verwandelt.

Drei Maschinen machen das möglich – und keine von ihnen ist kaputt.

Zuerst gibt es einen öffentlichen Ledger. Jeder kann beliebige Tokens an eine beliebige Adresse senden. Man braucht keine Genehmigung des Empfängers – und der Blockchain überprüft auch nicht, ob eine Transaktion gewünscht ist oder nicht. Es ist genauso einfach, 12.000 unerwünschte Einzahlungen zu senden wie einfach es ist, nur einen Token zu senden; es handelt sich dabei einfach um eine einfache Reihe von Transaktionen.

Zweitens: Der Verwalter. Wenn Münzen auf eine Adresse im Kraken-System gespeichert werden, werden sie auf das Kundenkonto eingezahlt und gelten somit als Problem von Kraken. Kraken ist ein reguliertes Dienstleister – in den USA, der EU und dem UK. Die Regulierungsbehörden übernehmen die Verantwortung für alles, was durch seine Systeme geht.

Drittens die Sanktionsliste. Alle inländischen Gelder, die mit einem Account auf der Sanktionsliste verbunden sind, werden automatisch markiert. Eine solche Markierung bedeutet eine Sperre – denn eine regulierte Firma kann nicht absichtlich dazu gehen, dass die sanktionierten Gelder durch ihre Buchhaltung fließen. Und sobald sie die Münzen in der Hand hat, kann sie sie nicht einfach dem Sender zurückgeben.

Der Angreifer muss also nie etwas hacken. Er muss nur wissen, dass die Pflicht des Aufsehers eine „Kraftquelle“ ist – und dass die „Schmutzstoffe“ mit der Münze übermittelt werden. Großbritannien hat HTX im Mai offiziell ausgeschlossen.Zum ersten Mal haben britische Sanktionen direkt einen Kryptowährungshandel genannt.– undDie EU hat die Transaktionen mit ihm ab dem 23. August verboten.Dieser Zeitpunkt liegt genau innerhalb der Angriffszeit. Ab diesem Datum wird das markierte Einzahlungsverfahren nicht mehr von einer Entscheidung abhängig sein – es ist eine Regel. Das Finanzministerium der USA…Die OFAC hat HTX noch nicht eingestuft.Und Kraken ließ den „Schmutz“ trotzdem stehen – ein globaler Aufseher wird nach den strengsten Regeln in seinem Buch beurteilt. Ein Sprecher von Kraken erklärte die Logik der Angreifer klar: Sie…Es ist wahrscheinlich, dass, wenn die genehmigten Mittel auf das Konto des Kunden übergehen, das gesamte Konto gesperrt wird.."

Die Asymmetrie, die nicht abgesichert werden kann

Jetzt kostet das die Operation. Jeder Transfer war nur wenige Cent bis ein paar Dollar wert. Also sind auch die 12.000 Transferbeträge insgesamt einige Zehntausend Dollar – dazu kommen noch ein paar tausend Dollar für die Netzwerkgebühren. Die gesamte Operation kostete also fünfstelligen Betrag.

Jetzt kostet die Verteidigung:4,2 Millionen Dollar sind eingefroren – eine Zahl, die von HTX selbst bekanntgegeben wurde, aber Kraken hat sie nicht bestätigt.Zusätzlich zu den 12.000 gesperrten Konten, den Arbeitsstunden der Compliance-Mitarbeiter, der Koordination mit der Strafverfolgung, den Kunden, die nicht handeln oder Rechnungen bezahlen konnten, während ihre Konten gesperrt waren, sowie dem Zeitrahmen für die Presseberichterstattung.

Diese Asymmetrie ist eine anhaltende Eigenschaft. Dasselbe Trick hat bereits bei Coinbase funktioniert.Benutzer berichteten, dass ihre Konten wegen Staub aufgehoben wurden – der Wert des Staubs beträgt sogar nur 7 USDT.Wie Andy Zhou, der CEO von BlockSec, sagte: Dieser Ansatz nutzt die Einhaltung von Regeln als Waffe.Manipulation des Transaktionsgrafiken zu niedrigen Kosten, um die Transaktionshistorien der Nutzer zu beeinträchtigen.Es gibt keine Schutzmaßnahmen gegen diese Transaktionen: Es kann die Tür zwischen dem öffentlichen Buchhaltungssystem und den Depots nicht schließen – dadurch würde das eigene Geschäft zerstört werden. Auch kann man die „Glocken“ nicht wieder läuten, sobald die Konten verseucht sind. Die eigentliche Frage ist: Wer hat das getan? Kraken bezeichnet diese Aktion als einen Versuch…Sie verteilen von durch das UK und die EU genehmigten Fonds auf andere Plattformen – mit dem Ziel, die gesamte Branche zu diskreditieren.„Während HTX auf unabhängige Akteure hinweist.“Vielleicht sind es Menschen, deren eigenes Kapital in den früheren Phasen eingefroren wurde.Die Zuordnung der Verantwortung ist ungeklärt. Was die Risiken bei der Preisgestaltung angeht, spielt das fast keine Rolle: Der Angriff funktioniert unabhängig davon, ob der Absender ein genehmigter Handelplatz ist, ein Rival oder jemand, der Geld im Tiefschlaf hat.

Was das für Ihr Geld bedeutet

Es geht nicht darum, dass Wall Street ein Fehler in einem neuen Produkt entdeckt – es handelt sich vielmehr um die Zusammenwirkung des vorgesehenen Systems mit den Vorgaben bezüglich der Sanktionen. Angriffe auf die Privatsphäre sind seit Jahren üblich – sie werden seit Jahren verwendet, um die Identität von Personen zu enthüllen. Das „Tainted Weapon“ ist bereits etabliert: Als die US-Behörden im Jahr 2022 das Tornado Cash-Mixer-System sanktionierten, wurden Prominente, die 0,1 ETH an „verunreinigten“ Coins erhalten hatten, informiert, dass sie nicht strafrechtlich verfolgt werden würden. Im Jahr 2026 ist das Neue daran, dass das Ziel von der individuellen Privatsphäre auf das Compliance-System der Vermittler verschoben wurde – und dieses System reagiert darauf, indem es die unschuldigen Konten sperrt.

Für Kraken ist insbesondere die Skalierung wichtig. Seine Elternunternehmen, Payward,In November letzten Jahres wurde das Dokument vertraulich eingereicht, um eine IPO zu beantragen.Im März wurde die Listung pausiert. Es wird berichtet, dass das Produkt voraussichtlich im zweiten Halbjahr 2026 auf den Markt kommen wird.Privatmarken im Bereich von etwa 13 bis 20 Milliarden Dollar.Gegen eine Plattform mit etwa 59 Milliarden Dollar an Kundenaktiva ist ein Freigieb von 4,2 Millionen Dollar lediglich ein Rundungsfehler – doch diese Situation ist eine Vorübung für den Risikofaktor, den in einem Prospekt beschrieben werden muss: Sanktionen, Kampagnen zur Beseitigung von Staub, Kosten für die Freigabe sowie Ausgaben für die Einhaltung der Vorschriften – all das kann niemals abgeschaltet werden. Jeder Verwalter, der den öffentlichen Buchführer akzeptiert, hat einen dauerhaften Aufwand übernommen, den er nicht wieder abbuchen kann.

Das führt letztendlich zu den eigenen Risikomanagementsmaßnahmen des Lesers. Der größte Teil der Risiken im Bereich der Kryptowährungen wird durch Schlagzeilen und Angst verursacht. Doch dieses Risiko ist eher struktureller Natur: Auf regulierten Börsen kann man nun dafür bestraft werden, dass man Coins erhält, die man nicht wollte. Die „Schäden“ bleiben also bestehen – unabhängig von den Absichten des Nutzers. Es ist also kein Grund, nur Offline-Wallets zu verwenden – Staub kann auch in Wallets mit Selbstkontrolle gelangen, und die „Schäden“ bleiben trotzdem bestehen. Es ist also eine Anregung, „wer meine Coins hält und wie sie ein Konto sperren“, als wichtige Komponente des Risikomanagements zu betrachten – genauso wie man die Bedingungen einer Bank prüft, bevor man dort ein Jahr lang Geld parkt. Das Kraken-Szenario hat niemanden seinen Geld verloren lassen. Es zeigt, dass der Preis für das Angreifen auf das gesamte System der Sicherheit nur wenige Cent sind – und der Preis für die Verteidigung dieses Systems wird von allen bezahlt, die es nutzen.