Mehrere Nutzer von Bitcoin.de haben eine Warnung über die missbräuchliche Verwendung ihrer API-Keys erhalten. Bitcoin.de hat bestätigt, dass es bei einigen API-Keys zu Versuchen unautorisierter Auszahlungen kam – es wurde jedoch in keinem Fall tatsächlich Geld abgezogen.
Was wurde festgestellt?
Bitcoin.de stellte eine Liste der betroffenen API-Keys sowie die von Nutzern vergebenen Tags zur Verfügung. Aus den Tags geht hervor, dass die Keys unter anderem bei CoinTracking, Koinly und CoinTracker verwendet wurden.
Nach Abgleich mit unserer Datenbank ergab sich folgendes Bild:
- 2.123 von 2.846 Keys (75 %) waren in CoinTracking hinterlegt
723 Keys (25 %) waren nicht bei CoinTracking registriert - Viele weitere bei CoinTracking gespeicherte Keys waren nicht betroffen
Wir untersuchen weiterhin unsere Systeme und stehen in engem Austausch mit Bitcoin.de, um den Ursprung des Vorfalls zu klären.
Es wurden keine unautorisierten Zugriffe auf CoinTracking festgestellt.
Unsere Empfehlung
Aus Sicherheitsgründen sollten alle Nutzer ihre API-Keys auf Bitcoin.de löschen und neu erstellen – insbesondere, wenn derselbe Key auch auf anderen Plattformen eingesetzt wurde.
Wichtige Sicherheitshinweise für API-Keys
Falsch konfigurierte API-Keys können zum Verlust aller Coins führen. Bitte beachte daher folgende Punkte (vollständige Liste findest du in unseren API-Sicherheitshinweisen):
- CoinTracking benötigt nur Leseberechtigung (read-only)
- Keine Trade- oder Auszahlungsrechte vergeben
- API-Key nur für einen Dienst verwenden
- API-Secrets werden bei CoinTracking verschlüsselt gespeichert und sind für Mitarbeiter nicht einsehbar
- Keys regelmäßig überprüfen und erneuern – wie Passwörter
- Keine Keys oder Secrets lokal speichern oder im Browser automatisch sichern lassen
- Nur Dienste nutzen, denen du vertraust
- Börsen ohne Berechtigungssteuerung (Vollzugriff) vermeiden
- Einige Börsen erlauben IP-Whitelisting. Die von CoinTracking verwendeten IPs findest du hier.
Bei Fragen steht dir unser Team jederzeit zur Verfügung.
Dein CoinTracking-Team
