Swiss Bitcoin Pay hat seine Server vorübergehend offline genommen, nachdem ein mutmaßlich unbefugter Akteur auf seine internen Systeme zugegriffen hatte. Dabei könnten Kontakt-, Bank- und Transaktionsdaten von Kunden offengelegt worden sein.

Der Bitcoin-Zahlungsanbieter gab das Sicherheitsproblem am 14. September bekannt. Das Unternehmen erklärte, dass die Gelder der Nutzer sicher seien, während es den Zugriff untersucht und seine Infrastruktur absichert. Swiss Bitcoin Pay hat nicht bekannt gegeben, wann seine Dienste wieder aufgenommen werden.

E-Mail-Adressen, Bitcoin-Adressen und IBANs könnten offengelegt worden sein

Zu den möglicherweise abgerufenen Informationen gehören E-Mail-Adressen von Kunden, Bitcoin-Adressen, IBANs, Transaktionshistorien und gehashte Passwörter. Die Untersuchung konnte bislang nicht feststellen, ob auf weitere Kategorien von Informationen zugegriffen wurde.

Swiss Bitcoin Pay hat nicht mitgeteilt, wie viele Konten betroffen sein könnten, wann der unbefugte Zugriff begann oder ob Daten aus seinen Systemen kopiert wurden. Das Unternehmen hat auch weder die Zugriffsmethode noch die verantwortliche Partei identifiziert. Die technische Ursache bleibt daher während der laufenden Untersuchung ungeklärt.

Eine Kombination aus E-Mail-Adressen, Transaktionshistorien und finanziellen Identifikatoren könnte einem Angreifer detaillierte Informationen für gezielte Identitätsvortäuschungen oder Phishing-Versuche liefern. Ähnliche Risiken traten nach einem kürzlich erfolgten Datenleck bei Trezor auf, bei dem Kontakt- und Versanddaten von mehreren zehntausend Käufern von Hardware-Wallets offengelegt wurden.

Swiss Bitcoin Pay nutzt ein nicht verwahrendes Zahlungsmodell

Swiss Bitcoin Pay betreibt einen Zahlungsdienst für Händler, der Bitcoin-Transaktionen sowohl über das Lightning-Netzwerk als auch onchain unterstützt. Das Händlersystem ist darauf ausgelegt, erhaltene Bitcoin an von den Kunden kontrollierte Wallets zu übertragen, anstatt die Vermögenswerte langfristig selbst zu verwahren.

Händler können Zahlungen über die mobile Anwendung, das Web-Dashboard, E-Commerce-Integrationen und eine API akzeptieren. Swiss Bitcoin Pay unterstützt außerdem die automatische Umwandlung von Bitcoin-Einnahmen in Fiat für Kunden, die Bankauszahlungen nutzen. Dafür werden Bankdaten wie IBANs benötigt.

Die Mitteilung des Unternehmens unterscheidet den mutmaßlichen Systemzugriff von der Verwahrung der Kundengelder und erklärt, dass die Gelder sicher seien. Swiss Bitcoin Pay hat keine Hinweise auf unbefugte Bitcoin-Überweisungen veröffentlicht und keinen mit dem Eindringen verbundenen Verlustbetrag genannt.

Server bleiben während der Sicherheitsüberprüfung offline

Swiss Bitcoin Pay nahm seine Infrastruktur vorsorglich offline, anstatt den Betrieb fortzusetzen, während das Unternehmen das Ausmaß des Zugriffs ermittelt. Es hat weder eine technische Hauptursache noch einen Zeitplan für die Behebung oder einen nach Diensten aufgeschlüsselten Zeitplan für die Wiederaufnahme des Betriebs veröffentlicht.

Die Mitteilung folgt auf weitere Fälle von Datensicherheitsproblemen bei Kunden im Kryptosektor, darunter die kürzlich bekannt gewordene Offenlegung von Bestelldaten bei SafePal, von der 39,798 Kunden betroffen waren. SafePal führte den separaten Vorfall auf eine Autorisierungsschwachstelle in einem Plug-in zur Bestellverfolgung zurück. Swiss Bitcoin Pay hat den mutmaßlichen Angriff bislang nicht mit einer bestimmten Anwendung, Abhängigkeit oder Schwachstelle in Verbindung gebracht.

Swiss Bitcoin Pay bleibt offline, und ein Termin für die Wiedereröffnung wurde nicht genannt. Das Unternehmen erklärte, dass alle derzeit ausstehenden Beträge an Nutzer vollständig zurückgezahlt würden, während es daran arbeitet, die betroffene Infrastruktur abzusichern.

Quelle: Crypto Adventure