Blockchain Bandit steelt €217 miljoen met zwakke keys
Foto: Shutterstock/Viktoriia Hnatiuk
Vijf jaar geleden onthulde een beveiligingsanalist een schokkend lek in de wereld van crypto. Zwakke wachtwoorden maakten wallets van ethereum (ETH) enorm kwetsbaar voor aanvallen. Dit bracht hem op het spoor van de ‘Blockchain Bandit’, een hacker die met slechts 10.000 geraden keys meer dan €167 miljoen wist te stelen. Nu, na jaren van stilte, is de Bandit terug.
Hacker steelt honderden miljoen door zwakke beveiliging van cryptowallets
In 2019 ontdekte de beveiligingsanalist Adrian Bednarek iets verbazingwekkends. Hij deed onderzoek naar portfolio’s van ethereum voor een zakelijke klant. Daarin vond hij honderden private keys die zó zwak waren dat ze kwetsbaar bleken voor aanvallen. Dit leidde hem naar de zogenaamde Blockchain Bandit. Dat is een hacker die door het raden van 10.000 private keys maar liefst $172 miljoen wist te stelen. Omgerekend gaat het om zo’n €167 miljoen.
Op het Ethereum-netwerk worden private keys weergegeven als 256-bit nummers, wat inhoudt dat ze bestaan uit een extreem groot aantal mogelijke combinaties. Dit betekent dat er een 1 gevolgd door 77 nullen aan verschillende mogelijke private keys zijn. Door de enorme omvang van dit getal, zou het willekeurig proberen van alle mogelijke combinaties totdat de juiste gevonden wordt, astronomisch veel tijd en rekenkracht vereisen. Hierdoor is het in de praktijk onmogelijk om een private key te kraken door simpelweg alle mogelijkheden uit te proberen.
Echter maakten sommige wallets gebruik van zeer slechte random nummer generatoren, wat leidde tot zwakke wachtwoorden zoals “password123” of zelfs “1”. De Bandit maakte slim gebruik van een op maat gemaakte Ethereum-node die geprogrammeerd was om transacties vanuit zwakke private keys te detecteren. Zodra er fondsen op zo’n zwakke wallet terechtkwamen, werd het geld onmiddellijk gestolen door een geautomatiseerd script.
Blockchain Bandit keert terug en slaat toe: wees gewaarschuwd
De aanpak van de Bandit was bijzonder geavanceerd. Naast het gebruik van zwakke keys, maakte hij ook gebruik van zwakke wachtwoord-gebaseerde wallets en slecht geconfigureerde Ethereum-nodes. Hierdoor was hij bijna niet tegen te houden. Tegen 2016 had hij in totaal meer dan 51.000 ETH en 470 bitcoin (BTC) gestolen. De gestegen cryptoprijzen hebben het bedrag miljoenen meer waard gemaakt. De waarde is vandaag de dag €170 miljoen ETH en €47 miljoen BTC, wat samen een bedrag van €217 miljoen maakt.
Maar toen verdween hij plotseling van de radar. Jarenlang bleven zijn persoonlijke wallets onaangeraakt, tot hij recent weer opdook en zijn crypto samenvoegde in één multisig-wallet. De terugkeer van de Blockchain Bandit werd onthuld door een onderzoek van cryptojournalist ZachXBT. Het benadrukte een belangrijk punt: dergelijke aanvallen zijn tegenwoordig nog steeds mogelijk. Slechte key-generatoren en zwakke wallets zijn nog altijd veel in gebruik.
Dat betekent dat menselijke fouten altijd een risicofactor blijven. De strategie van de Bandit is een waarschuwing voor iedereen die crypto bezit. Om jezelf te beschermen is het cruciaal om alleen vertrouwde platformen te gebruiken en het merendeel van je crypto op hardware-wallets op te slaan. Bekende voorbeelden hiervan zijn Ledger en Trezor. Probeer tot slot de voorspelbare private keys te vermijden en nooit (maar dan ook echt nooit) private keys online op te slaan. Zorg ervoor dat jouw portfolio niet het volgende slachtoffer wordt van hackers zoals de Blockchain Bandit. Meer van deze tips volg je via het cryptonieuws. Wil je nou altijd op de hoogte zijn – volg ons net als duizenden anderen gratis op Whatsapp.
Bitvavo viert bitcoin op $100.000: Nederlanders krijgen gratis crypto
Bitcoin springt naar de $100.000 – is dit het laatste moment om in te stappen? Bitvavo geeft alle Nederlanders de kans: Alle nieuwe gebruikers ontvangen €10 gratis crypto naar keuze. Of je nu geïnteresseerd bent in bitcoin, ethereum of een andere cryptomunt – jij bepaalt.
Registreer je vandaag bij Nederlands grootste handelsplatform Bitvavo en pak direct je crypto-cadeau uit en ontvang direct €10 crypto.
Het Crypto Congres komt er aan, 17 april in de Rai Amsterdam – met een bomvol programma. Bekijk het programma & early bird tickets
