Tokens geklaut: Krypto-Wallet Metamask warnt vor iCloud-Backups
Metamask speichert Daten im iCloud-Backup des iPhones. Nach einem Betrugsfall warnt der Anbieter, dass gezielte Phishing-Angriffe den Klau des Wallets erlauben.
(Bild: Metamask)
- Leo Becker
Krypto-Wallet-Klau per iCloud: Der auf Ethereum spezialisierte Dienst Metamask weist iOS-Nutzer nach einem Betrugsfall darauf hin, dass das lokale Wallet der Metamask-App über das automatische iPhone-Backup zugleich in iCloud gespeichert wird. Über einen Phishing-Angriff auf die iCloud-Zugangsdaten ist es Angreifern so offenbar möglich, das Wallet aus dem Backup zu extrahieren und anschließend zu knacken – falls das Passwort "nicht stark genug ist", wie Metamask auf Twitter mitteilte.
Metamask vom iPhone-Backup ausschließen
Metamask rät nun zur Erhöhung der Sicherheit, die App manuell vom iCloud-Backup des iPhones auszuschließen. Das ist in den Einstellungen für die Apple-ID unter iCloud > Speicher verwalten > Backups > Dieses iPhone möglich. Man könne iCloud-Backups auch ganz abschalten, um nicht mehr "durch iCloud von unaufgeforderten Backups überrascht zu werden". Dadurch werden natürlich auch andere iPhone-Daten nicht länger gesichert.
Der Metamask-Nutzer Domenic Iacovone hatte zuvor berichtet, dass sein komplettes Wallet – mit einem geschätzten Wert aus NFTs und Coins in Höhe von über 650.000 US-Dollar – leergeräumt wurde. Er habe nach mehreren Hinweisen auf Login- und Passwort-Zurücksetzversuche bei seiner Apple-ID einen Anruf erhalten, der vorgeblich von Apple stammte. Der Anrufer habe ihm erzählt, sein Account sei kompromittiert und gebeten, zur Authentifizierung einen Zwei-Faktor-Code anzugeben, den er auch weitergab. So konnten die Betrüger, die offenbar bereits in Besitz von Iacovones iCloud-Zugangsdaten waren, auch Zugriff auf das iCloud-Backup mitsamt den Metamask-Daten bekommen.
Landet die Seed mit im iCloud-Backup?
Iacovone wirft Metamask vor, auch die Seed-Phrase des Wallets als Teil des Backups auf iCloud abzulegen, die eine sofortige Wiederherstellung einer Wallet auf einem anderen Gerät ermöglicht. Davor sollten Nutzer explizit gewarnt werden. Metamask selbst spricht nur vom Vault, der in iCloud gesichert wird – und dessen Passwort dann von einem Angreifer erst geknackt werden müsse. Warum Metamask die App-Daten nicht direkt von den iCloud-Backups ausklammert, bleibt unklar.
(lbe)