Angreifer kapern Bitcoin-Miner und lenken 13 EH/s zum Pool OCEAN

Unbekannte haben in der Nacht zum Sonntag Zehntausende Bitcoin-Miner fremder Betreiber auf den Pool OCEAN umgestellt, mit einer eigenen Auszahlungsadresse. Ausgezahlt wurde an sie bis Sonntagabend nichts, nach den Daten des Pools stehen ihr aber noch Anteile an künftigen Blöcken zu. Wie die Angreifer an die Geräte kamen, ist nicht bestätigt.

“Just a heads up, there is a big miner hack going on as we speak”, warnte der US-Hosting-Anbieter CoreX am Sonntag um 4:08 Uhr MEZ auf X: Gerade laufe ein großer Angriff auf Miner. Die Geräte würden auf OCEAN gerichtet, mit der Bitcoin-Adresse bc1qphukp9rjfc4rcej7erpm9ae20xmtspw8pcddrr als Empfänger.

Auf diese Adresse liefen nach Angaben von PANews und Crypto Briefing in der Spitze rund 13 Exahash pro Sekunde (EH/s), also 13 Trillionen Rechenversuche je Sekunde. Das wäre etwa 1,4 Prozent der gesamten Rechenleistung im Bitcoin-Netz, die mempool.space am Sonntag auf rund 928 EH/s schätzte. Die Zahl der betroffenen Geräte beziffern Berichte auf etwa 64.000.

Die Statistikseite von OCEAN bestätigt das Ausmaß. Zur Adresse führt der Pool 78.564 Worker-Namen, die Kennungen einzelner Geräte oder Gerätegruppen. Im Schnitt der vergangenen 24 Stunden kam die Adresse auf 1,41 EH/s, im Schnitt der letzten drei Stunden nur noch auf 16,3 Petahash pro Sekunde (Stand Sonntag, 18:06 Uhr MEZ). 23 Geräte rechneten zu diesem Zeitpunkt noch für die Angreifer.

Den Großteil haben die Betreiber also zurückgeholt.

Ganz erledigt ist der Fall damit nicht. OCEAN verteilt die Belohnung eines Blocks auf die Anteile der zurückliegenden Rechenarbeit, und davon hält die Adresse nach Angaben des Pools 2,64 Prozent.

Findet OCEAN den nächsten Block, schätzt die Seite die Auszahlung an die Angreifer auf 0,081 BTC, über das ganze Belohnungsfenster auf rund 0,66 BTC. Den letzten Block hatte der Pool am Sonntag um 2:00 Uhr MEZ gefunden, kurz bevor der Angriff einsetzte. Auf der Kette hat die Adresse bisher keine einzige Transaktion. Ob OCEAN die Anteile sperren kann oder will, geht aus den Daten nicht hervor.

Ein Betreiber schrieb unter dem CoreX-Beitrag, seine gesamte Farm sei gekapert worden, und machte die Verwaltungssoftware Commander des Anbieters Luxor verantwortlich. Belegt ist das nicht; eine Stellungnahme von Luxor fanden wir bis Sonntagabend nicht.

Für Bitcoin-Halter ändert der Vorfall nichts an der Sicherheit ihrer Coins, die Regeln des Netzes hat niemand gebrochen. Getroffen sind die Betreiber, deren Geräte stundenlang für fremde Rechnung liefen, und zwar in einer ohnehin schwachen Lage: Die Mining-Schwierigkeit sank am Samstag nach den Daten von mempool.space um 9,1 Prozent, ein Zeichen dafür, dass zuletzt viele Geräte vom Netz gingen, nachdem schon im Oktober Rechenleistung dauerhaft zur KI abgewandert war. Welche Rechte Kunden gegenüber einem Hoster haben, über dessen Software ein solcher Zugriff lief, wird sich erst zeigen, wenn der Einstiegsweg geklärt ist.