Politische Delinquenz und Bitcoins

Der US-Thin-Tank Rand hat einen Report geschrieben, wie nichtstaatliche Akteure virtuelle Währungen nutzen und nutzen könnten – und wie die US-Regierung dagegen vorgehen kann. Ein Teil des Berichts liest sich wie eine Anleitung, virtuelle Währungen anzugreifen.

Der kürzliche erschienene Bericht “National Security Implication of Virtual Currencies” ist spannend, weil er erstmal virtuelle Währung aus Perspektive einer paranoiden Regierung wahrnimmt, fragt, welche Bedrohung in virtuellen Währungen liegt und explizit erörtert, wie Regierungen virtuelle Währungen bekämpfen können.

Verfasst wurde der etwa 100-seitige Report vom Rand-Institut, einem regierungsnahen Think Tank, der vornehmlich die bewaffneten Kräfte der USA mit Studien beliefert. Der Bericht fragt:

“Warum sollte ein nicht-staatlicher Akteur virtuelle Währungen benutzen? Welche politischen oder wirtschaftlichen Ziele kann er damit erreichen? Wie könnte dieser nicht-staatliche Akteur dabei vorgehen? Welche Herausforderungen müsste er meistern?”

Nicht-staatliche Akteure sind in diesem Report keineswegs so sympathisch zu verstehen wie NGOs und so weiter. Nicht-staatliche Akteure meint hier vor allem kriminelle Organisationen, Terroristen, Rebellen, Sezessionisten. Also alle Gruppen, die sich anmaßen, staatliche Vorrechte zu okkupieren. Alles, was diesen Gruppen hilft, wird prinzipiell als Bedrohung des einen und wahren staatlichen Souveräns verstanden.

Virtuelle Währungen, meint der Bericht, könnten attraktiv für nichtstaatliche Akteure sein, um die Souveränität des Staates zu stören und ihren eigenen politischen und wirtschaftlichen Einfluss zu stärken.

Weder Terroristen noch Sezessionisten haben eigene virtuelle Währung

Wer aber benutzt virtuelle Währungen? Und gibt es bereits die ersten nicht-staatlichen Organisatoren, die eigene Währungen auf Grundlage virtueller Währungen herausgeben? Ist die Gefahr also hypothetisch – oder bereits konkret?

Während es zahlreiche Hinweise darauf gibt, dass kriminelle Gruppen Bitcoin verwenden, etwa um Lösegeld für Ransomware einzuziehen oder um Drogen im Darknet zu handeln, gibt es weder Hinweise darauf, dass solche Gruppen eigene Währungen bilden, noch dass Terroristen bestehende virtuelle Währungen in einem signifikanten Ausmaß benutzen. Von einem Crime- oder IScoin bislang keine Spur.

Allerdings findet der Bericht in den vergangenen Jahren vereinzelte politisch motivierte Entwicklungen von virtuellen Währungen mit dem Ziel, die souveräne Währung eines Staates zu ersetzen. Beispiele sind der Auroacoin oder der Scottcoin – beides Währungsexperimente, die gescheitert sind (wie ungefähr die 30-40 weiteren lokalen/nationalen Währungen, die 2014 entstanden sind, und bei denen politische Delinquenz und skrupellose Abzocke nur schwer zu unterscheiden waren).

Insgesamt bleibt die Anwendung virtueller Währungen durch delinquente politische Gruppen weit hinter dem zurück, was man erwarten könnte. “Bis heute wurden virtuelle Währungen nicht erfolgreich genutzt, um als Konkurrenten zu den Fiat-Währungen der jeweiligen Länder anzutreten. Auch für Aufständische in Bürgerkriegen waren virtuelle Währungen bislang nicht das Mittel der Wahl, was wenig überrascht angesichts der hohen Anforderungen an die technologische Infrastruktur.”

Dennoch meint der Report, dass virtuelle Währungen eine angemessene Lösung sein könnten, wenn die Regierung daran scheitert, die Stabilität und Zugänglichkeit von Fiat-Währungen zu erhalten. Sie sind mehr oder weniger eine Lösung im Ruhemodus, die darauf wartet, dass das richtige Problem in der richtigen Umgebung auftritt.

Einen weiteren Anwendungsraum für virtuelle Währungen identifiziert der Bericht in Communities. So sollte beispielsweise der Mazacoin die nationale Währung der Lakota Nation sein. Oder der Irish Coin den Tourismus in Irland unterstützen. Allerdings ist auch hier hinzuzufügen, dass der Unterschied zwischen politischem Aktivismus und aktiver Abzocke fließend ist.

Der Bericht findet also auch bei den Communities nur sehr sporadisch aktuelle Anwendungen – geht jedoch davon aus, dass sich diese in Zukunft mehren werden:

“Wenn sich die Technologie virtueller Währungen verbessert, könnten virtuelle Währungen für Communities verbreiteter werden.”

So kann man virtuelle Währungen knacken

Anschließend schlägt der Bericht eine etwas absurde Wendung ein. Er stellt Schwächen und Angriffsszenarien auf virtuelle Währungen vor, scheinbar, um zu zeigen, mit welchen Problemen und Risiken die Anwendung virtueller Währungen durch nicht-staatliche Akteure verbunden ist – während er diese Schwächen explizit als Möglichkeit darstellt, wie Regierungen wie die der USA die Währungsexperimente von Terroristen, Aufständischen und Kriminellen beenden können. Falls es diese denn jemals geben sollte.

Interessant wird der Bericht an dieser Stelle dennoch. Er unterteilt den möglichen Angreifer auf virtuelle Währungen in verschiedene Stufen von 1-6, wobei unter die 1 z. B. Script-Kiddies fallen, während die 6. Stufe Staaten mit hochentwickelten Cyber-Armeen darstellen.

Stufe I & II (Angreifer mit wenig bis keinem Verständnis für den Code)

Bereits für die tiefsten Stufen zugänglich ist der 51-Prozent oder Goldfinger-Angriff: “Ein Goldfinger-Angriff beinhaltet die Formierung eines Mining-Kartells, welche durch seine dominante Rechenkaft die Regeln des Marktes ändern, bestimmte User ausschließen und die Geldschöpfung unterbinden kann.” Während dieser Angriff bei neuen und kleinen Währungen einigermaßen vielversprechend ist, meint der Bericht, dass es unklar sei, wie eine Partei 51 Prozent der Rechenkraft einer etablierten virtuellen Währung wie Bitcoin erhaschen kann.

Es gibt aber noch eine weitere Möglichkeit: indem ein Angreifer mehrere Mining-Pools hackt. Damit könnte er mit relativ geringen Ressourcen eine solche Attacke durchführen. In der Praxis, meint der Bericht, ist dies jedoch Angreifern einer höheren Stufe vorbehalten.

Ebenfalls möglich sind DDoS-Angriffe auf zentrale Dienstleister. Während bei semi-dezentralen Währungen wie Ripple solche Angriffe das ganze System außer Gefecht setzen können, können sie bei dezentralen Währungen wie Bitcoin immerhin Online-Wallets, Börsen oder Mining-Pools treffen und damit durchaus Schaden anrichten. Darüber hinaus sind weitere DDoS-Angriffe möglich wie ein Transaktions-Spam oder das Versenden von Transaktionen, die mehr Rechenleistung benötigen, um verifiziert zu werden.

Stufe III & IV (einzelne und organisierte Hacker)

Akteure dieser Stufen können ausgeklügeltere Angriffe starten. Beispiele sind zero-day-exploits (die Ausnutzung bislang unbekannter Schwachstellen in Software), um die Infrastruktur virtueller Währungen zu beschädigen. Sie könnten dadurch etwa den Mechanismus, der im Bitcoin-Netzwerk zu einem Konsens führt, welche Transaktionen gültig sind und welche nicht, angreifen.

Angreifer dieser Stufe können auch Zero-Day-Lücken entdeckten und ausnutzen, etwa um Mining-Pools zu hacken und dadurch 51 Prozent der Rechenleistung an sich zu reissen. Bei semi-dezentralen Währungen wie Ripple könnten Angreifer dadurch sogar Authoritäts-Server hacken und die Währung zerstören. Bei dezentralen Währungen wäre es hingegen möglich, gezielt wichtige Personen anzugreifen und zu berauben, um das Vertrauen in diese zu untergraben.

Auch Zero-Day-Angriffe auf Wallets, Börsen oder mobile Anwendungen könnten dazu beitragen, dass eine virtuelle Währung schlechter benutzbar und das Vertrauen in sie unterminiert wird. Tier IV Angreifern könnte es sogar möglich sein, heimlich die Software-Implementierungen kryptographischer Anwendungen zu ändern, um künftige Angriffe zu ermöglichen.

Stufe V & VI (staatliche Hacker)

Angreifer auf dieser Stufe können Supply-Chain-Angriffe ausführen. Diese Akteure sind in der Lage, manipulierte Hard- und Software auf breiter Basis einzuführen und zu verbreiten. Sie könnten etwa Smartphones, Server oder Miner vor der Auslieferung manipulieren. Dadurch könnten sie die Chance, einen 51-Prozent-Angriff zu starten oder Zero-Day-Lücken auszunutzen, deutlich erhöhen. Darüber hinaus könnten sie auf diese Weise kryptographische Standards brechen, welche für die Sicherheit von virtuellen Währungen sorgen. Wenn eine solche Strategie bekannt wird, würde dies das Vertrauen in Kryptowährungen eroieren.

Akteure dieser Stufen können darüber hinaus Einfluss auf die wichtigen Entwickler der Kryptowährung gewinnen oder ein eigenes Personal in die wichtigen Positionen im Management von Kryptowährungen oder von mit ihnen verbundenen Dienstleistern bringen.

Nur ein Teil des Ganzen

Der Bericht erklärt explizit, dass er nur ein Teil einer umfassenderen Diskussion virtueller Währungen sei. Derzeit sei die Einführung virtueller Währungen noch von erheblichen Herausforderungen begleitet, vor allem hinsichtlich der Akzeptanz bei der Bevölkerung, doch im Lauf der Zeit, wenn virtuelle Währungen gebräuchlicher werden, würden diese Herausforderungen abnehmen.

Um herauszufinden, wann dies soweit ist und wie sich Regierungen dann verhalten sollten, seien allerdings noch weitere Studien nötig.