Ist mein Geld auf Coinbase sicher? Was passiert, wenn sie gehackt werden?

Sicherheitsinfrastruktur von Coinbase

1. Coinbase nutzt eine mehrschichtige Sicherheitsarchitektur, die Cold Storage für über 98 % der Kundenressourcen umfasst, was bedeutet, dass die überwiegende Mehrheit der digitalen Vermögenswerte offline gehalten wird und für Remote-Angreifer unzugänglich ist.

2. Die Plattform nutzt Verschlüsselungsstandards auf institutioneller Ebene über alle Datenübertragungs- und Speicherebenen hinweg, einschließlich AES-256-Verschlüsselung für ruhende Daten und TLS 1.3 für Daten während der Übertragung.

3. Zu den physischen Sicherheitsmaßnahmen gehören biometrische Zugangskontrollen, Überwachung rund um die Uhr und geografisch verteilte Tresore für Hardware-Sicherheitsmodule (HSMs), die kryptografische Schlüssel verwalten.

4. Interne Systeme erzwingen eine strenge rollenbasierte Zugriffskontrolle (RBAC) mit obligatorischen Genehmigungsworkflows für mehrere Personen für alle hochprivilegierten Vorgänge, bei denen es um Asset-Bewegungen oder Konfigurationsänderungen geht.

5. Regelmäßige Penetrationstests durch Dritte werden von zertifizierten Firmen wie Trail of Bits und Cure53 durchgeführt, wobei die Ergebnisse und Zeitpläne für die Behebung vollständig öffentlich bekannt gegeben werden.

Versicherungsschutz und Vermögensschutz

1. Coinbase unterhält Kriminalitätsversicherungen, die von Lloyd's of London und anderen großen Anbietern abgeschlossen werden und die in Hot Wallets gespeicherten digitalen Vermögenswerte gegen Diebstahl infolge von Cybersicherheitsverstößen absichern.

2. Die Versicherungspolice erstreckt sich nicht auf Schäden, die durch Benutzerfehler, Phishing-Angriffe auf einzelne Konten oder nicht autorisierte Transaktionen, die über kompromittierte Zugangsdaten initiiert wurden, entstehen.

3. Auf Coinbase-Konten gehaltene Fiat-Guthaben sind bis zu 250.000 US-Dollar pro Kunde durch die FDIC-Pass-Through-Versicherung abgesichert, sofern sie die Zulassungskriterien erfüllen und auf qualifizierten US-Dollar-Einlagenkonten gehalten werden.

4. Depotbestände an Wallets werden von der Unternehmensbilanz von Coinbase getrennt, um sicherzustellen, dass die Vermögenswerte der Kunden im Falle einer Insolvenz rechtlich getrennt bleiben und im Rahmen eines Insolvenzverfahrens wiederhergestellt werden können.

5. Die behördliche Aufsicht durch Einrichtungen wie das New York State Department of Financial Services (NYDFS) schreibt vierteljährliche Bescheinigungen über Reservebestände und die Einhaltung der Verwahrungsvorschriften für lizenzierte Einrichtungen wie Coinbase NY Inc. vor.

Historische Aufzeichnung der Reaktion auf Vorfälle

1. Im Jahr 2019 wurde durch einen gezielten Social-Engineering-Angriff eine kleine Anzahl von Mitarbeiteranmeldedaten kompromittiert, aber aufgrund mehrschichtiger Authentifizierungsschutzmaßnahmen und Echtzeit-Anomalieerkennungssystemen konnte nicht auf Kundengelder zugegriffen werden.

2. Während des Zusammenbruchs von LUNA/UST im Jahr 2022 hat Coinbase bestimmte Margin-Handelsfunktionen präventiv ausgesetzt und die volle Auszahlungsfunktionalität beibehalten, um Liquiditätsengpässe bei anderen Plattformen zu vermeiden.

3. Von einem API-Schlüssel-Offenlegungsvorfall im Jahr 2021 waren weniger als 0,01 % der aktiven Benutzer betroffen; Coinbase hat alle betroffenen Schlüssel innerhalb von 90 Minuten rotiert und branchenweit strengere API-Berechtigungsbereiche implementiert.

4. Das Unternehmen hat seit seiner Gründung im Jahr 2012 noch nie einen erfolgreichen Einbruch in seine Cold-Storage-Infrastruktur erlitten und kann eine ununterbrochene Bilanz von null Verlusten durch Cold-Wallet-Kompromittierungen vorweisen.

5. Playbooks zur Reaktion auf Vorfälle werden alle zwei Jahre durch Red-Team-Simulationen getestet, die koordinierte Anstrengungen der Abteilungen Technik, Recht, Kommunikation und Compliance umfassen.

Vom Benutzer kontrollierte Risikofaktoren

1. Die Zwei-Faktor-Authentifizierung bleibt für viele Kontoaktionen optional, wodurch Benutzer, die SMS oder die Einrichtung der Authentifizierungs-App überspringen, anfällig für SIM-Swap- und Session-Hijacking-Angriffe sind.

2. Die Kompromittierung von E-Mail-Konten stellt den häufigsten Vektor für unbefugten Kontozugriff dar, da das Zurücksetzen von Passwörtern häufig auf unverschlüsselten E-Mail-Kanälen ohne zusätzliche Überprüfungsschritte beruht.

3. Es wurde beobachtet, dass Browsererweiterungen, die vom internen Threat-Intelligence-Team von Coinbase als bösartig eingestuft wurden, beim Signieren von Transaktionen auf kompromittierten Rechnern gefälschte Auszahlungsadressen einschleusten.

4. Gemeinsam genutzte Geräte oder öffentliche Computer, die für den Zugriff auf Coinbase-Konten verwendet werden, erhöhen die Gefährdung durch Keylogging-Malware und zwischengespeicherte Sitzungstoken, die den Standard-Anmeldeschutz umgehen.

5. Benutzer, die Wiederherstellungsphrasen lokal ohne Air-Gap-Backups speichern, riskieren einen dauerhaften Verlust, wenn ein Geräteausfall mit vergessenen Passwörtern und deaktivierten Zwei-Faktor-Optionen einhergeht.

Häufig gestellte Fragen

F: Verwahrt Coinbase meine privaten Schlüssel? Ja. Wenn Sie das gehostete Wallet von Coinbase verwenden, verwaltet die Plattform Ihre privaten Schlüssel. Sie haben keinen direkten Zugriff darauf, es sei denn, Sie verwenden Coinbase Wallet – ein nicht verwahrtes Produkt, bei dem sich die Schlüssel ausschließlich auf Ihrem Gerät befinden.

F: Kann Coinbase mein Konto ohne Vorankündigung sperren? Ja. Gemäß seiner Benutzervereinbarung kann Coinbase den Kontozugriff vorübergehend oder dauerhaft einschränken, wenn es Verstöße gegen Richtlinien zur Bekämpfung der Geldwäsche (AML), verdächtige Aktivitätsmuster oder regulatorische Anforderungen in Ihrem Land feststellt.

F: Sind eingesetzte Vermögenswerte auf die gleiche Weise geschützt wie reguläre Guthaben? Nein. Abgesteckte Vermögenswerte unterliegen netzwerkspezifischen Kürzungsbedingungen und Leistungsrisiken des Validators. Der Versicherungsschutz von Coinbase gilt nicht für Verluste durch Strafen auf Protokollebene oder den Verlust von Einsatzprämien im Zusammenhang mit Ausfallzeiten.

F: Was passiert mit meinem Vermögen, wenn Coinbase Insolvenz anmeldet? Depotvermögen wird nach US-amerikanischem Insolvenzrecht als Treuhandvermögen behandelt. Vom Gericht bestellte Treuhänder würden die Aussonderung und Rückgabe identifizierbarer Kundenbestände überwachen, allerdings können sich Verzögerungen und Verwaltungskosten auf die endgültigen Rückforderungsfristen auswirken.