Abo
  • Services:

Statcounter/Gate.io: Gehacktes Statistiktool klaut Bitcoin

Der Webseiten-Statistikanbieter Statcounter wurde gehackt. Dabei fügten die Angreifer Javascript-Code ein, der auf Kunden der Bitcoin-Plattform Gate.io abzielte.

Artikel veröffentlicht am , Hanno Böck
Kunden von Gate.io, einer Bitcoin-Handelsplattform, wurden von einer Javascript-Schadsoftware bestohlen.
Kunden von Gate.io, einer Bitcoin-Handelsplattform, wurden von einer Javascript-Schadsoftware bestohlen. (Bild: Mike Cauldwell/Wikimedia Commons)

Ein gehacktes Skript des Statistikanbieters Statcounter zielte darauf ab, Kunden der Bitcoin-Plattform Gate.io zu bestehlen. Darüber berichtete die Webseite ZDnet. Das gehackte Skript änderte die Empfängeradresse bei Bitcoin-Transaktionen. Der entsprechende Code wurde inzwischen entfernt und Gate.io nutzt Statcounter nicht mehr.

Stellenmarkt
  1. Bosch Gruppe, Stuttgart
  2. Ultratronik GmbH, Gilching bei München

Statcounter ist ein Statistiktool für Webseiten, vergleichbar mit Google Analytics. Um den Service zu nutzen, fügen Kunden von Statcounter deren Javascript-Code auf ihrer Webseite ein. Dieser Code wurde laut der Sicherheitsfirma ESET am 3. November 2018 durch eine Version mit Schadcode ersetzt. Inzwischen ist der Schadcode entfernt, wir konnten die Angaben von ESET aber anhand einer über Wayback Machine abrufbaren alten Version der entsprechenden Javascript-Datei nachvollziehen.

Angriff zielt auf Bitcoin-Plattform

Der Code wurde aktiv, wenn eine URL mit einem bestimmten Pfad (myaccount/withdraw/BTC) aufgerufen wurde. Dabei handelt es sich um einen Pfad, der vom Service Gate.io genutzt wird. Gate.io ist eine Bitcoin-Handelsplattform, die auf den Caymaninseln gemeldet ist.

Das Skript änderte bei Bitcoin-Transaktionen über Gate.io die Empfängeradresse. Laut ESET wurde dabei jedes Mal eine neue Empfängeradresse generiert. Somit lässt sich nicht feststellen, wie viele Gate.io-Kunden betroffen waren und wie viel Bitcoin gestohlen wurde.

Statcounter ist ein relativ häufig genutzter Statistikservice, allerdings zielt er eher auf kleinere Kunden ab. Bekannte Webangebote findet man bei den Kunden nicht. Insgesamt nutzen jedoch mehrere Hunderttausend Webseiten den Service.

Der von ESET gefundene Angriff zielte aber offenbar nicht auf alle Kunden von Statcounter, sondern nur auf Gate.io. Wir haben Statcounter und Gate.io um ein Statement gebeten, eine Antwort haben wir bislang nicht erhalten.

Generell ist es immer mit Risiken verbunden, wenn Webseiten Javascript-Code von anderen Services einbinden. Wenn ein solcher Service gehackt wird, können die Angreifer potenziell sehr viele Webseiten kontrollieren. Schützen vor solchen Angriffen kann die Verwendung von Subressource Integrity, allerdings ist dies bislang wenig verbreitet.



Anzeige
Spiele-Angebote
  1. (-50%) 29,99€
  2. 49,95€
  3. 69,95€
  4. 59,99€ mit Vorbesteller-Preisgarantie (Release 26.02.)

conker 08. Nov 2018 / Themenstart

Ich hasse 3rd Party Scripts. Die nerven unheimlich. Ich hab uBlock & uMatrix schon seit...

Kommentieren


Folgen Sie uns
       


Huawei Mate 20 Pro - Hands on

Huaweis neues Mate 20 Pro hat eine neue Dreifachkamera, die zusätzlich zum Weitwinkel- und Teleobjektiv jetzt noch ein Ultraweitwinkelobjektiv bietet. In einem ersten Kurztest macht das neue Smartphone einen guten Eindruck.

Huawei Mate 20 Pro - Hands on Video aufrufen
Dark Rock Pro TR4 im Test: Be Quiet macht den Threadripper still
Dark Rock Pro TR4 im Test
Be Quiet macht den Threadripper still

Mit dem Dark Rock Pro TR4 hat Be Quiet einen tiefschwarzen CPU-Kühler für AMDs Threadripper im Angebot. Er überzeugt durch Leistung und den leisen Betrieb, bei Montage und Speicherkompatiblität liegt die Konkurrenz vorne. Die ist aber optisch teils deutlich weniger zurückhaltend.
Ein Test von Marc Sauter

  1. Dark Rock Pro TR4 Be Quiets schwarzer Doppelturm kühlt 32 Threadripper-Kerne

Battlefield 5 im Test: Klasse Kämpfe unter Freunden
Battlefield 5 im Test
Klasse Kämpfe unter Freunden

Umgebungen und Szenario erinnern an frühere Serienteile, das Sammeln von Ausrüstung motiviert langfristig, viele Gebiete sind zerstörbar: Battlefield 5 setzt auf Multiplayermatches für erfahrene Squads. Wer lange genug kämpft, findet schon vor der Erweiterung Firestorm ein bisschen Battle Royale.

  1. Dice Raytracing-Systemanforderungen für Battlefield 5 erschienen
  2. Dice Zusatzinhalte für Battlefield 5 vorgestellt
  3. Battle Royale Battlefield 5 schickt 64 Spieler in Feuerring

Job-Porträt Cyber-Detektiv: Ich musste als Ermittler über 1.000 Onanie-Videos schauen
Job-Porträt Cyber-Detektiv
"Ich musste als Ermittler über 1.000 Onanie-Videos schauen"

Online-Detektive müssen permanent löschen, wo unvorsichtige Internetnutzer einen digitalen Flächenbrand gelegt haben. Mathias Kindt-Hopffer hat Golem.de von seinem Berufsalltag erzählt.
Von Maja Hoock

  1. Software-Entwickler CDU will Online-Weiterbildung à la Netflix
  2. Bundesagentur für Arbeit Ausbildungsplätze in der Informatik sind knapp
  3. IT-Jobs "Jedes Unternehmen kann es besser machen"

    •  /