Kunnen digitale munten malware bevatten?

Hoewel ze op steeds meer weerwerk kunnen rekenen, hebben cryptocurrencies hun plaats in onze samenleving veroverd. Of ze traditioneel geld ooit zullen vervangen, valt moeilijk te voorspellen. Feit is wel dat de wereldwijde marktwaarde van alle digitale valuta vandaag al meer dan 60 miljard dollar bedraagt.

Op korte termijn winnen de virtuele munten aan belang als ruilmiddel en manier om investeringskapitaal te verhogen. Door hun succes en populariteit komen ze ook in het vizier van cybercriminelen. Dat leidt automatisch tot de vraag: kunnen cryptocurrencies malware bevatten?

“Dat lijkt een beetje vergezocht”, meent Bob Hinden, Security evangelist bij Check Point. “Het impliceert dat iemand tracht tokens te infecteren via gecompromitteerde updates van blockchainsoftware, knoeit met het protocol dat transacties controleert of zelf een eigen cryptocurrency uitbrengt die vooraf geïnfecteerde tokens gebruikt.”

Ondoenbaar

Zo’n token is de eenheid van een cryptocurrency, terwijl een blockchain de rol van bankkluis en grootboek op zich neemt. Alle token-transacties worden door de blockchain geverifieerd en geregistreerd door een nieuw blok aan de keten te naaien. De volledige blockchain wordt gedecentraliseerd bewaard, wat betekent dat identieke kopieën op verschillende computers bewaard worden via een peer-to-peernetwerk. “Om tokens te stelen of een blockchain te veranderen, zouden criminelen tegelijkertijd duizenden computers moeten compromitteren. De decentralisatie en encryptie van blockchain maakt cryptocurrencies bestand tegen deze manipulatie”, verduidelijkt Hinden.

Omdat tokens worden ingevoerd in een blockchain en niet direct worden uitgewisseld tussen gebruikers, kunnen ze gebruikers niet rechtstreeks infecteren. Het is volgens Hinden wel nog denkbaar dat hackers via tokens met ingebedde malware stiekem computers in het peer-to-peernetwerk van de blockchain kunnen infecteren. “Die malware zou bijvoorbeeld bots kunnen installeren die gebruikt worden voor DDoS-aanvallen. Of, als een cybercrimineel een tracking pixel in een token zou kunnen plaatsen, kan hij data verzamelen over transacties. Met deze informatie zou de aanvaller de valutawaarde kunnen manipuleren.”

Hinden benadrukt evenwel dat het manipuleren van tokens bijzonder omslachtig en nagenoeg ondoenbaar is. Er zijn andere, efficiëntere manieren waarop cybercriminelen hun voordeel halen uit de populariteit van cryptocurrencies. De bekendste methode is wellicht het gebruik van cryptocurrencies als betaalmiddel bij een ransomware-aanval. Het aanvallen van beurzen of individuele cryptowallets is eveneens populair. Met een DDoS-aanval op een beurs kan de waarde van een cryptomunt worden gemanipuleerd, terwijl een inbraak in je wallet betekent dat hackers met je virtuele centen aan de haal kunnen gaan. Ten slotte zijn ook witwaspraktijken, frauduleuze ICO’s en pump & dump fraude veelvoorkomende technieken.

Nieuwe risico’s

De kans dat je via cryptocurrencies met malware wordt besmet is nagenoeg onbestaande, maar het digitale geld brengt wel nieuwe risico’s met zich mee. Het verwerken van blockchaintransacties, het zogenaamde ‘minen’, kost erg veel rekenkracht en energie. Dat maakt het voor cybercriminelen de moeite waard om een groot aantal computers te kapen om dat werk voor hen te laten doen. “Bedrijven moeten zich hiervan bewust zijn”, waarschuwt Hinden. “Dit is vooral riskant als een organisatie schaalbare virtuele machines gebruikt in een zwak beveiligde openbare cloudomgeving.”

Wie zelf een digitale munt uitgeeft, moet eveneens maatregelen treffen. “Valuta-uitgevende instellingen dienen zorgvuldig te screenen voor wie ze toelaten aan hun open source communities. Daarnaast moeten ze hun blockchain-software testen op kwetsbaarheden en kwaadaardige code.” Beurzen moeten hun netwerken en websites dan weer beschermen tegen DDoS-aanvallen, manipulatie en datalekken. Ook de eindgebruiker heeft zijn verantwoordelijkheid: “Gebruikers van cryptocurrencies moeten hun toestellen waarop hun cryptowallet staat zo goed mogelijk beveiligen en nooit hun credentials aan iemand doorgeven”, besluit Hinden.