Debatte über Zwei-Faktor-Authentifizierung per SMS, nachdem das Sim-Swap-Opfer Coinbase verklagt hat

Die Kryptowährungs-Community diskutiert, ob die SMS-Zwei-Faktor-Authentifizierung (2FA) für die Kontosicherheit verwendet werden soll, nachdem bekannt wurde, dass ein Coinbase-Kunde die Kryptowährungsbörse auf 96.000 US-Dollar verklagt.

Am 6. März reichte Jared Ferguson beim US-Bezirksgericht für den nördlichen Bezirk von Kalifornien eine Klage gegen Coinbase ein und behauptete, er habe „90 % seiner Lebensersparnisse“ verloren, nachdem das Geld von Identitätsdieben von seinem Konto abgehoben worden war und Coinbase dies ablehnte ihn zu entschädigen.

Ferguson soll Opfer einer Art Identitätsdiebstahl geworden sein, der als „Sim-Swapping“ bekannt ist und es Betrügern ermöglicht, die Kontrolle über eine Telefonnummer zu übernehmen, indem sie einen Telekommunikationsanbieter dazu verleiten, die Nummer mit ihrer SIM-Karte zu verknüpfen.

Dies ermöglicht es ihnen, jede SMS 2FA auf dem Konto zu umgehen, in diesem Fall erlaubte es ihnen angeblich, eine Auszahlung von 96.000 $ von Fergusons Coinbase-Konto zu bestätigen.

Ferguson behauptete, er habe den Dienst verloren, nachdem sein Telefon am 9. Mai gehackt worden war, und bemerkte, dass Gelder von seinem Coinbase-Konto abgebucht wurden, nachdem er eine neue SIM-Karte erhalten und seinen Dienst gemäß den Anweisungen seines Dienstanbieters T-Mobile wiederhergestellt hatte.

T-Mobile wurde zuvor im Februar 2021 von einem Sim-Swap-Opfer verklagt, nachdem Bitcoin (BTC) im Wert von fast 450.000 US-Dollar gestohlen worden war.

Coinbase lehnte jegliche Verantwortung für Fergusons Konto-Hack ab und teilte ihm in einer E-Mail mit, dass er „für die Sicherheit Ihrer E-Mails, Passwörter, 2FA-Codes und Geräte verantwortlich“ sei.

Verwandt: Der Hacker gibt das gestohlene Geld an Tender.fi zurück und erhält eine Belohnung von 97.000 US-Dollar

Mitglieder der Krypto-Community waren im Allgemeinen skeptisch gegenüber dem Erfolg von Fergusons Klage und wiesen darauf hin, dass Coinbase Authentifizierungs-Apps ermutigt, 2FA anstelle von SMS zu verwenden, und letzteres als die „weniger sichere“ Form der Authentifizierung bezeichnet.

Ich glaube, sein Passwort wurde gehackt, weil es auf anderen Seiten verwendet wurde, von denen eine gehackt wurde. Außerdem bewirbt Coinbase Authenticator für 2FA, indem es ihn als „sicher“ und SMS als „mäßig sicher“ bezeichnet.

– Dave Ferguson (@_sc0rn) 7. März 2023

Einige Reddit-Benutzer, die die Klage in einem Beitrag mit dem Titel „Don’t Use SMS 2FA“ diskutierten, gingen so weit, vorzuschlagen, dass SMS 2FA verboten werden sollte, wiesen jedoch darauf hin, dass dies die einzige verfügbare Authentifizierungsoption für viele Dienste sei, wie ein Benutzer sagte Es:

“Leider bieten noch nicht viele der von mir genutzten Dienste Authenticator 2FA an. Aber ich bin definitiv der Meinung, dass sich der SMS-Ansatz als unsicher erwiesen hat und verboten werden sollte.”

Die Blockchain-Sicherheitsfirma CertiK warnte im September 2022 vor den Gefahren der Verwendung von SMS 2FA, wobei der Sicherheitsexperte Jesse Leclere gegenüber Cointelegraph in einem Interview sagte: „SMS 2FA ist besser als nichts, aber es ist die anfälligste Form von 2FA, die derzeit verwendet wird.“

Dedizierte Authentifizierungs-Apps wie Google Authenticator oder Duo bieten fast den gesamten Komfort der Verwendung von SMS 2FA und beseitigen gleichzeitig das Risiko des Sim-Tauschs, sagte Leclere.

Reddit-Benutzer teilten ähnliche Tipps, aber die hinzugefügten Authentifizierungs-Apps auf Telefonen machen dieses Gerät auch zu einem Single Point of Failure und sie empfehlen die Verwendung separater Hardware-Authentifizierungsgeräte.