Wie ein gefälschter Coding-Test 11,8 Millionen US-Dollar von einem Krypto-Unternehmen entwendete

Ich erhielt letzten Monat eine Nachricht auf Signal von einem Entwickler, der fast auf eine ähnliche Falle hereingefallen wäre. Der Recruiter hatte ein poliertes Profil, eine Historie von Empfehlungen bekannter Namen aus dem Web3-Bereich und eine Stellenbeschreibung, die eine Gehaltserhöhung von 40 % bot. Der Entwickler zog sich nur deshalb zurück, weil das „Coding-Assessment“ von ihm verlangte, eine benutzerdefinierte Umgebung herunterzuladen, anstatt eine standardmäßige browserbasierte IDE zu verwenden. Diese Intuition rettete sein Unternehmen. Andere hatten nicht so viel Glück. Die Singapore Police Force und die Cyber Security Agency of Singapore haben kürzlich eine Sicherheitsverletzung detailliert beschrieben, bei der der Wunsch eines einzelnen Mitarbeiters nach einem besseren Karriereweg zu einem Verlust von 11,8 Millionen US-Dollar führte.

Dieser Vorfall ist ein Paradebeispiel dafür, wie moderne Bedrohungsakteure hochentwickelte Abwehrmechanismen umgehen, indem sie das menschliche Element am Rande des Netzwerks ins Visier nehmen. Die Angreifer suchten nicht nach einem Zero-Day in einer Firewall oder einer Schwachstelle in einem kryptografischen Protokoll. Sie suchten nach einer Person, die bereit war, ihren technischen Wert auf einem vom Unternehmen ausgestellten Gerät unter Beweis zu stellen. Als das Security Operations Center die ungewöhnlichen Aktivitäten bemerkte, waren die Angreifer bereits vom LinkedIn-Posteingang in das Herz der Finanzinfrastruktur des Unternehmens vorgedrungen.

Der psychologische Köder eines Traumjobs

Social Engineering ist erfolgreich, weil es den beruflichen Ehrgeiz ausnutzt. Die Kampagne begann auf LinkedIn, wo ein Betrüger, der sich als Recruiter für eine Kryptowährungsfirma ausgab, das Opfer kontaktierte. In dieser Phase ging es darum, Rapport und Legitimität aufzubauen. Der Angreifer verlagerte das Gespräch auf E-Mail und verwendete eine gespoofte Domain, die die Adresse eines echten Unternehmens widerspiegelte. Für einen Mitarbeiter, der seinen Posteingang nur überfliegt, ist ein Unterschied von einem Buchstaben in einem Domainnamen fast unsichtbar.

Der Interviewprozess festigte die Täuschung weiter. Das Opfer nahm an mehreren Runden auf Google Meet teil. Die Person am anderen Ende ließ ihre Kamera ausgeschaltet und berief sich auf technische Probleme oder Privatsphäre – eine gängige Taktik, um die Identität von Bedrohungsakteuren zu verbergen, die aus Jurisdiktionen wie Nordkorea operieren. Diese Phase ist das digitale Trojanische Pferd. Das Ziel ist es, dem Opfer das Gefühl zu geben, sich in einer hochkarätigen beruflichen Bewertung zu befinden, was die Wachsamkeit verringert, wenn das „technische Assessment“ eintrifft.

Wenn der Coding-Test zur Waffe wird

In der letzten Phase des Rekrutierungsprozesses erhielt das Opfer einen Link zu einer gefälschten Website. Ihm wurde gesagt, er solle eine Coding-Aufgabe auf seinem vom Unternehmen ausgestellten Laptop absolvieren. Diese Aufforderung ist in der Softwarebranche Standard, was sie zu einem idealen Übertragungsmechanismus für bösartige Payloads macht. Während das Opfer den bereitgestellten Code ausführte oder die vorgeschlagene Softwareumgebung installierte, wurde im Hintergrund Malware ausgeführt.

Diese spezifische Malware war darauf ausgelegt, Session-Token zu ernten. Aus Risikoperspektive ist dies ein Albtraumszenario für jede IT-Abteilung. Session-Token sind das digitale Äquivalent zu einem Türsteher in einem VIP-Club, der Ihr Gesicht wiederkennt, nachdem Sie bereits Ihren Ausweis gezeigt haben. Da das Token beweist, dass der Benutzer bereits authentifiziert ist, muss der Angreifer das Passwort nicht kennen und keinen Zugriff auf das physische MFA-Gerät des Opfers haben. Sie injizieren das gestohlene Token einfach in ihren eigenen Browser und übernehmen die aktive Sitzung des Opfers.

Die Software-Deployment-Pipeline vergiften

Sobald die Angreifer das Session-Token hatten, griffen sie auf das Bitbucket-Konto des Opfers zu. Bitbucket ist die dunkle Materie einer Entwicklungsumgebung; es ist für das allgemeine Personal oft unsichtbar, enthält aber die Kernlogik des Geschäftsbetriebs des Unternehmens. Der Zugriff auf ein Repository ist ein Systemfehler, da er es Angreifern ermöglicht, zu sehen, wie das Unternehmen Software erstellt und bereitstellt.

Hinter den Kulissen modifizierten die Eindringlinge die automatisierten Anweisungen zur Softwarebereitstellung. Durch die Änderung des Codes im Repository oder der Skripte, die den Servern sagen, wie dieser Code auszuführen ist, erlangten die Angreifer ein Standbein in der internen Infrastruktur. Diese Seitwärtsbewegung (Lateral Movement) ermöglichte es ihnen, von einem einzelnen kompromittierten Laptop auf die Produktionsserver zu springen, die tatsächliches Geld verwalten. Im Falle einer solchen Sicherheitsverletzung ist das Vertrauensmodell des gesamten Entwicklungslebenszyklus gebrochen. Die Angreifer waren nicht mehr nur Gäste auf einem Laptop; sie waren faktisch Administratoren des Codes des Unternehmens.

Die letzte finanzielle Verteidigungslinie umgehen

Der schädlichste Teil des Eindringens ereignete sich, als die Angreifer die Systeme erreichten, die für die Verarbeitung von Kryptowährungstransfers verwendet werden. Die meisten Firmen nutzen Transaktionslimits und Mehr-Personen-Genehmigungsprüfungen als Gegenmaßnahme gegen internen Betrug oder Single-Point-of-Failure. Die Angreifer nutzten jedoch die Anmeldedaten, die sie während ihrer Bewegung durch das Netzwerk gesammelt hatten, um diese Kontrollen zu modifizieren.

Durch das Umschreiben der Regeln, die festlegten, wie viel Geld das Unternehmen verlassen durfte und wer dies genehmigen musste, machten die Angreifer den Weg für massive Überweisungen frei. Die resultierenden Transaktionen beliefen sich auf insgesamt 11,8 Millionen US-Dollar. Dies unterstreicht ein architektonisches Paradoxon: Selbst wenn Ihr Netzwerkperimeter widerstandsfähig ist, bleibt Ihre interne Logik ausnutzbar, wenn ein Angreifer einen hochprivilegierten Benutzer auf Root-Ebene imitieren kann. Die Angreifer haben nicht die Verschlüsselung der Blockchain geknackt; sie haben den menschlichen Prozess geknackt, der die Schlüssel verwaltete.

Der Schatten staatlich geförderter Aktivitäten

Obwohl die singapurischen Behörden diesen spezifischen Angriff nicht offiziell einer bestimmten Gruppe zuordneten, sind die Taktiken bemerkenswert ähnlich zu Kampagnen, die von nordkoreanischen Bedrohungsakteuren durchgeführt werden. Gruppen wie UNC4899, auch bekannt als TraderTraitor, konzentrieren sich seit mindestens 2020 stark auf Kryptowährungs- und Blockchain-Unternehmen. Sie sind dafür bekannt, Entwickler über LinkedIn und Telegram anzusprechen und sie davon zu überzeugen, bösartige Docker-Container auszuführen oder „Community-Plugins“ für Apps wie Obsidian zu installieren.

In früheren Vorfällen haben diese Gruppen KI-generierte Personas verwendet, um vertrauenswürdige Kontakte zu imitieren. Diese Kampagnen setzen Entwicklerumgebungen als Kompromittierungspunkt an und suchen nach GitHub-Token, SSH-Schlüsseln und Cloud-Anmeldedaten. Proaktiv gesprochen handelt es sich hierbei nicht um willkürliche Akte der Cyberkriminalität, sondern um gezielte Operationen zur Finanzierung nationaler Interessen. Die Präzision, die erforderlich ist, um Deployment-Pipelines zu modifizieren und Transaktionsprüfungen zu umgehen, deutet auf eine tiefe Vertrautheit mit den internen Workflows von Kryptowährungsfirmen hin.

Härtung der menschlichen und technischen Firewall

Um eine Wiederholung dieser 11,8-Millionen-Dollar-Katastrophe zu verhindern, müssen Unternehmen über grundlegende Schulungen zum Sicherheitsbewusstsein hinausgehen. Sich darauf zu verlassen, dass ein Mitarbeiter eine gefälschte Domain erkennt, ist eine reaktive Strategie, die irgendwann scheitern wird. Ein granularerer Ansatz besteht darin, die Infrastruktur so abzusichern, dass ein einzelnes kompromittiertes Gerät nicht die gesamte Firma zu Fall bringen kann.

Erstens müssen Unternehmen eine hardwarebasierte Multi-Faktor-Authentifizierung wie FIDO2-Sicherheitsschlüssel erzwingen. Gestohlene Session-Token sind viel schwieriger zu verwenden, wenn das System für sensible Aktionen wie den Zugriff auf Code-Repositories eine physische Berührung an einem dedizierten Gerät erfordert. Zweitens sollte der Zugriff auf Bitbucket und andere geschäftskritische Tools über Just-in-Time (JIT) Provisioning verwaltet werden. Kein Entwickler sollte permanenten, dauerhaften Zugriff auf Produktions-Deployment-Pipelines haben.

Schließlich sollte jedes berufsbezogene technische Assessment in einer Sandbox-Umgebung stattfinden, die vollständig vom Unternehmensnetzwerk isoliert ist. Wenn ein Recruiter einen Kandidaten auffordert, Code auf einem Firmenlaptop auszuführen, sollte dies einen sofortigen Alarm im Security Operations Center auslösen. Die Bewertung der Angriffsfläche bedeutet zu erkennen, dass der Laptop eines Entwicklers oft das wertvollste Ziel im Gebäude ist.

Praktische Erkenntnisse für technische Teams

1. Verwenden Sie dedizierte, nicht unternehmenseigene Hardware für alle rekrutierungsbezogenen Aufgaben, einschließlich Coding-Tests und Interviews.
2. Implementieren Sie strenge Plugin-Richtlinien auf Anwendungsebene für Produktivitätstools, um die Ausführung von nicht autorisiertem Code zu verhindern.
3. Überprüfen Sie Ihre Bitbucket- und GitHub-Zugriffsprotokolle auf Anzeichen von Session-Hijacking, wie z. B. Logins von unerwarteten IP-Adressen unter Verwendung gültiger Token.
4. Widerrufen Sie aktive Sitzungen sofort, wenn ein Mitarbeiter verdächtiges Verhalten während einer externen Interaktion meldet.
5. Stärken Sie interne Transaktionskontrollen, indem Sie Genehmigungen von Geräten verlangen, die physisch vom Entwicklungsnetzwerk getrennt sind.

Quellen: Singapore Police Force (SPF), Cyber Security Agency of Singapore (CSA), Google Cloud Mandiant (UNC4899 Report), MITRE ATT&CK Framework.

Haftungsausschluss: Dieser Artikel dient nur zu Informations- und Bildungszwecken und ersetzt kein professionelles Cybersecurity-Audit oder einen Incident-Response-Service.