Nach dem 320-Millionen-Dollar-Liquid-Network-Vorfall: Eine Verteidigungslinie ist gefallen – was können Plattformen für digitale Vermögenswerte noch schützen?

Die jüngsten Sicherheitsvorfälle haben die Branche für digitale Vermögenswerte erneut vor eine altbekannte Frage gestellt: Wann genau gilt eine Plattform als „sicher“?

Anfang September ereignete sich im Bitcoin-Sidechain Liquid Network ein schwerwiegender Sicherheitsvorfall. Angreifer nutzten eine Validierungsschwachstelle in der Elements-Software aus und transferierten rund 4.000 BTC – zum Zeitpunkt des Vorfalls etwa 320 Millionen US-Dollar wert. Bemerkenswert ist, dass die zugehörigen PAK- und Federation-Keys selbst nicht kompromittiert wurden. Dadurch rückt eine noch wichtigere Frage in den Vordergrund: Wie konnte eine Vermögensübertragung, die niemals hätte stattfinden dürfen, das System durchdringen, obwohl die Schlüssel selbst nicht geknackt wurden?

Ähnliche Risiken traten auch an anderer Stelle auf. Im August nutzten Angreifer eine kritische Sicherheitslücke in Cosmos EVM aus, um mehrere Netzwerke anzugreifen. Insgesamt sechs Netzwerke waren tatsächlich betroffen, obwohl die Schwachstelle zuvor bereits über ein Bug-Bounty-Programm gemeldet worden war. Im Juli wurde Triple-A Opfer eines Social-Engineering-Angriffs: Die Angreifer erlangten Zugangsdaten von Mitarbeitern und drangen weiter in die Betriebsumgebung ein. Dadurch wurden teilweise unternehmenseigene Vermögenswerte transferiert. Kundengelder blieben jedoch unberührt, da sie getrennt in Treuhandkonten verwahrt und von der kompromittierten Betriebsumgebung isoliert waren.

Die Ursachen der drei Vorfälle sind unterschiedlich, doch alle verweisen auf ein sehr reales Problem: Sicherheitsvorfälle lassen sich vielleicht nie vollständig verhindern – aber wo endet das Risiko, wenn Code, Personal oder Berechtigungen an einer einzigen Stelle durchbrochen werden?

Es geht nicht nur darum, einen Einbruch zu verhindern – sondern darum, wie weit sich das Risiko ausbreiten kann

Wichtiger als die Frage „Wurde die Plattform angegriffen?“ ist: Wie weit kann ein Angreifer nach dem Versagen der ersten Verteidigungslinie noch vordringen? Reicht die Kompromittierung eines einzigen Kontos aus, um kritische Vermögensoperationen durchzuführen? Kann ein durchbrochenes Berechtigungssystem den Zugriff auf noch zentralere Systeme ermöglichen? Und wie viele Kernvermögenswerte sind tatsächlich exponiert, wenn die Online-Umgebung kompromittiert wird?

Genau hier liegt eine wichtige Lehre aus den jüngsten Vorfällen: Das endgültige Ausmaß eines Angriffs hängt nicht nur davon ab, was der Angreifer durchbricht, sondern auch davon, wie viele Verteidigungslinien danach noch im System verbleiben.

Wenn ein kompromittiertes Konto direkten Zugriff auf Kernberechtigungen gewährt oder ein Problem in der Online-Umgebung unmittelbar große Mengen an Kernvermögenswerten gefährden kann, lässt sich jede Schwachstelle schnell eskalieren. Umgekehrt gilt: Bestehen mehrere Isolationsschichten zwischen Berechtigungen, kritischen Operationen, Risikoüberwachung und Vermögensverwahrung, muss ein einzelner Durchbruch nicht zwangsläufig zu einem vollständigen Kontrollverlust führen.

Anders ausgedrückt: Die Sicherheitsfähigkeit einer Plattform bemisst sich nicht nur daran, ob die „erste Tür“ standhält, sondern auch daran, wie viele Türen danach noch folgen.

Entlang der Angriffskette: Wo liegen die „nächsten Türen“ von BIT?

Kürzlich veröffentlichte die globale Plattform für digitale Finanzdienstleistungen BIT (ehemals Matrixport) das „BIT Trust Whitepaper“ V2.0 (https://www.bit.com/whitepaper). Liest man dieses Whitepaper unter der Fragestellung „Was passiert nach dem Versagen der ersten Verteidigungslinie?“, fällt ein wichtiger Punkt auf: Das Sicherheitssystem von BIT stützt sich nicht auf eine einzelne Verteidigungslinie, sondern etabliert mehrschichtige Schutzmechanismen zwischen Identität, Berechtigungen, Operationen und Vermögenswerten.

Beispielsweise bedeutet der Diebstahl von Konto-Zugangsdaten nicht, dass der Angreifer über sämtliche Berechtigungen für kritische Vermögensoperationen verfügt. Laut Whitepaper beschränkt BIT durch das Prinzip der minimalen Rechtevergabe den System- und Operationszugriff der Mitarbeiter. Für kritische Vorgänge wie Vermögenstransfers, Kontosicherheit, Berechtigungsänderungen sowie die Erstellung und Prüfung von Handelsanweisungen sind mindestens zwei autorisierte Personen erforderlich. Am Beispiel von Cactus Custody wird dieser mehrschichtige Ansatz auch auf institutionelle Verwahrungsszenarien für digitale Vermögenswerte ausgeweitet.

Eine erfolgreiche Authentifizierung bedeutet zudem nicht, dass alle nachfolgenden Aktionen automatisch „grünes Licht“ erhalten. BIT überwacht kontinuierlich ungewöhnliche Anmeldungen, unbekannte Geräte und auffällige Auszahlungsaktivitäten. Auf der Vermögensseite wird der Großteil der digitalen Vermögenswerte in Cold Wallets verwahrt, wodurch die Exposition von Kernvermögenswerten bei Problemen in der Online-Umgebung weiter reduziert wird.

Betrachtet man diese Mechanismen zusammen, wird die Sicherheitslogik von BIT klarer: Eine kompromittierte Identität bedeutet nicht den Zugriff auf alle Berechtigungen; eine erlangte Berechtigung bedeutet nicht die Fähigkeit, kritische Operationen eigenständig durchzuführen; eine erfolgreiche Authentifizierung bedeutet nicht, dass nachfolgende Handlungen keiner Risikoprüfung mehr unterliegen; und ein Problem in der Online-Umgebung bedeutet nicht, dass alle Kernvermögenswerte gleichzeitig exponiert sind.

Genau diese „bedeutet nicht“-Aussagen bestimmen letztlich, wie weit ein Angriff vordringen kann. Das heißt nicht, dass sich jeder Angriff vollständig verhindern lässt – aber es bedeutet, dass selbst bei einem Versagen einer Verteidigungslinie weiterhin die Möglichkeit besteht, Anomalien zu erkennen, Berechtigungen einzuschränken oder Risiken zu isolieren.

Der Unterschied in der Sicherheit liegt oft genau hinter der ersten Tür, die versagt.

Wer darf wirklich den „Stopp-Knopf“ drücken, wenn ein Risiko entdeckt wird?

Doch zusätzliche technische Verteidigungslinien sind nicht alles. Ein bemerkenswertes Detail des Cosmos-EVM-Vorfalls: Die Schwachstelle war zuvor bereits über ein Bug-Bounty-Programm gemeldet worden, wurde jedoch nach den damals verfügbaren Informationen zunächst als nicht verlustbringend für bekannte Produktionsnetzwerk-Konfigurationen eingestuft.

Das offenbart ein weiteres, oft übersehenes Problem: Das Entdecken eines Risikos bedeutet nicht, dass es bereits korrekt bewertet und angemessen behandelt wurde.

Wer entscheidet nach der Einreichung einer Schwachstelle, wie schwerwiegend sie ist? Darf das Sicherheitsteam die weitere Produkteinführung stoppen, wenn es das Risiko für inakzeptabel hält? Wer hat das letzte Wort, wenn Geschäftsfortschritt und Sicherheitsbewertung in Konflikt geraten?

Das „BIT Trust Whitepaper“ V2.0 legt offen, dass das Sicherheitsteam bei erheblichen Sicherheitsrisiken in Produktplänen, Anforderungen, Architektur oder Release-Änderungen – oder bei Verstößen gegen Sicherheits-Baselines und Compliance-Anforderungen – über ein „Vetorecht“ verfügt. Es kann damit verbundene Aktivitäten aussetzen und Nachbesserungen sowie eine erneute Prüfung verlangen, bevor fortgefahren wird.

Das wirklich Bemerkenswerte an diesem Mechanismus ist nicht nur die zusätzliche Genehmigungsstufe, sondern dass er eine sehr praktische Frage beantwortet: Gibt es jemanden, der bei einem tatsächlichen Risiko „Nein“ sagen darf? Für ein Sicherheitssystem ist die Fähigkeit, Probleme zu erkennen, zwar wichtig – aber ebenso entscheidend ist, dass Sicherheitsurteile tatsächlich Einfluss auf Geschäftsentscheidungen nehmen können. Genau das bestimmt, ob eine Verteidigungslinie nur auf dem Papier existiert oder tatsächlich wirksam ist.

Wenn das Geschäft komplexer wird, umfasst „Sicherheit“ mehr als nur die Vermögenswerte in der Wallet

Wenn Plattformen für digitale Finanzdienstleistungen gleichzeitig verschiedene Anlageklassen und Finanzinfrastrukturen wie digitale Vermögenswerte, US-Aktien und RWA anbinden, betreffen Sicherheitsfragen nicht mehr nur Wallets und Konten. Wer die Vermögenswerte verwaltet, über welche Institutionen sie laufen und wo sie abgewickelt und verwahrt werden, wird ebenfalls zu einem wichtigen Bestandteil der Risikobewertung durch die Nutzer.

Genau hier setzt das „BIT Trust Whitepaper“ V2.0 an, um das Sicherheits- und Vertrauenssystem weiter auszubauen. Neben Risikokontroll- und Sicherheitsmaßnahmen legt das Whitepaper auch die regulatorischen, prüfungsbezogenen und unabhängigen Verifizierungsvereinbarungen der verschiedenen Geschäftseinheiten offen. Dadurch können Außenstehende besser nachvollziehen: Wer ist wofür verantwortlich, welche Mechanismen sind überprüfbar und wie weit reicht ihre Abdeckung?

Am Beispiel des US-Aktiengeschäfts von BIT: Der Wertpapierbetrieb wird von Matrix Gelephu Pte. Ltd. durchgeführt und unterliegt der Aufsicht der GFSO. Gleichzeitig ist das Geschäft an lizenzierte US-Finanzinstitute sowie die entsprechenden Clearing- und Verwahrinfrastrukturen angebunden.

Für normale Nutzer lassen sich diese komplex erscheinenden Finanzstrukturen letztlich auf einige einfache Fragen reduzieren: Wer verwaltet meine Vermögenswerte? Welche Stationen durchlaufen sie? Wofür sind die verschiedenen Institutionen jeweils verantwortlich? Lassen sich Identität und regulatorischer Status dieser Institutionen überprüfen?

Genau darin liegt der eigentliche Wert von „Verifizierbarkeit“: Sicherheit darf sich nicht nur auf die Aussagen der Plattform selbst stützen, sondern muss auch darauf beruhen, was Nutzer und Außenstehende tatsächlich überprüfen können.

Blickt man auf Liquid Network, Cosmos EVM und Triple-A zurück, so waren die Einstiegspunkte der drei Vorfälle völlig unterschiedlich – doch alle erinnern den Markt daran: Keine Verteidigungslinie sollte als unfehlbar vorausgesetzt werden. Der entscheidende Unterschied in der Sicherheit liegt möglicherweise nicht in einer einzelnen Sicherheitstechnologie, sondern darin, wer zwischen Identität, Berechtigungen, Operationen, Vermögenswerten und organisatorischen Entscheidungen ausreichend Isolation und gegenseitige Kontrolle schaffen kann, damit ein lokaler Durchbruch nicht zu einem vollständigen Kontrollverlust eskaliert.

Aus dieser Perspektive ist das „BIT Trust Whitepaper“ V2.0 nicht nur wegen der Anzahl der aufgeführten Sicherheitsmaßnahmen bemerkenswert, sondern weil es zeigt, ob diese Maßnahmen ein vollständiges Verteidigungssystem bilden: Fällt ein Glied aus, gibt es eine nächste Ebene; fällt auch diese aus, besteht weiterhin die Möglichkeit, Risiken zu erkennen, zu blockieren und zu isolieren.

Für Plattformen für digitale Vermögenswerte mag „noch nie angegriffen worden“ kaum ein dauerhaftes Versprechen sein. Doch etwas anderes lässt sich kontinuierlich aufbauen: Echte Sicherheit bedeutet, dass selbst beim Versagen einer Verteidigungslinie ein einzelner Durchbruch nicht ohne Weiteres zu einem vollständigen Kontrollverlust führt. Und wenn diese Verteidigungslinien nicht nur existieren, sondern auch von außen kontinuierlich überprüft werden können, ist „Vertrauen“ nicht länger nur eine Behauptung der Plattform selbst.