Ein jetzt enthüllter Bitcoin-Diebstahl stellt in seinem Ausmaß alles bisher Dagewesene in den Schatten: 127.426 Bitcoins sollen Cyberkriminelle von einem chinesischen Mining-Pool entwendet haben – das entspricht mittlerweile einem Wert von 14,5 Milliarden US-Dollar. Das Besondere an dem Fall: Er ereignete sich bereits vor fast fünf Jahren, erst jetzt machte das Blockchain-Analyseportal Arkham Intelligence ihn bekannt.

Betroffen ist der chinesische Bitcoin-Mining-Pool LuBian, der seine Aktivitäten bereits im Frühjahr 2021 einstellte. In solchen Pools können Bitcoin-Miner ihre Rechenkapazitäten zusammenschließen, um gemeinsam Bitcoin zu schürfen und die Erträge untereinander aufzuteilen. LuBian zählte einst zu den größten Pools am Markt: Bis zu sechs Prozent der globalen Hashrate entfielen auf den Pool, der laut Arkham neben China auch im Iran ansässig war.

Massenhaft Bitcoins erbeutet

Doch am 28. Dezember 2020 geschah nach Arkhams Darstellung ein beispielloser Angriff auf LuBians Bitcoin-Bestände. Unbekannten Angreifern gelang es demnach, massenhaft Transaktionen von LuBians Wallets an ihre eigenen durchzuführen. Auf der Webseite von Arkham Intelligence sind die Transaktionen noch nachvollziehbar. Dass es sich um einen Cyberangriff handelte, wurde allerdings erst jetzt öffentlich bekannt. Warum das so ist, geht aus dem Report von Arkham nicht hervor.

In Form dutzender Transaktionen ist zu sehen, wie massenhaft Bitcoins unrechtmäßig ihren Besitzer wechseln. Arkham spricht von 90 Prozent von LuBians Bitcoin-Vermögen, die in diesem Moment erbeutet wurden. Am 29. Dezember schlugen die Akteure gleich wieder zu: Sie stahlen noch einmal rund 154 Bitcoins, was damals 4,18 Millionen US-Dollar entsprach.

Eine erste größere und sichtbare Reaktion auf das Desaster zeigte LuBian am 31. Dezember 2020: Da verschoben die Betreiber 11.886 Bitcoins in ein Recovery Wallet, welche sie noch heute halten. Das entspricht inzwischen einem Wert von rund 1,3 Milliarden US-Dollar.

Verzweifelte Kontaktversuche

Möglich machte den Milliardencoup offenbar eine schwache Verschlüsselung, welche die Cyberkriminellen knackten. Laut Arkham nutzte LuBian zur Generierung privater Schlüssel lediglich eine 32-Bit-Entropie. Moderne Sicherheitsstandards verwenden mindestens 128 Bit.

In den Tagen nach dem Klau tätigte LuBian 1516 Transaktionen mit sehr geringen Bitcoin-Beträgen an die Wallets der Angreifer, um mit OP_RETURN-Notizen eine Kontaktaufnahme zu versuchen. Diese Notizen lassen sich bei einer Transaktion in der Blockchain hinterlegen und werden dauerhaft gespeichert. Häufig werden sie zum Beispiel als Zeitstempel genutzt. LuBian versuchte stattdessen, die Krypto-Diebe zum Verhandeln per E-Mail zu bewegen. Was jedoch erfolglos blieb.

Im Frühjahr 2021 stellte LuBian seine Mining-Aktivitäten dann komplett ein. LuBian oder die Angreifer haben sich selbst nie zu dem Vorfall geäußert. Was bleibt, ist ein Diebstahl, dessen Umfang jedes gekannte Maß überschreitet und der erst Jahre später bekannt wird. Der Schaden betrug nach dem damaligen Bitcoin-Kurs mit 3,5 Milliarden US-Dollar fast das Dreifache und nach heutigem Kurs mit 14,5 Milliarden US-Dollar fast das Zehnfache des zuvor größten bekannten Diebstahls, welcher die Kryptobörse Bybit im Frühjahr 2025 traf. Dabei wurden Bitcoins im Wert von 1,3 Milliarden US-Dollar entwendet. Dass sich bereits rund viereinhalb Jahre zuvor ein viel drastischerer Fall ereignete und bis jetzt unbekannt blieb, zeigt: Auch wenn Bitcoin-Transaktionen öffentlich sichtbar sind, kann es äußerst komplex sein, die wirklichen Vorgänge dahinter nachzuvollziehen.

(nen)

Videokurse zu aktuellen IT-Themen

Die heise academy bietet derzeit einen Videokurs ohne Gebühr an. IT-Fachkräfte können aus Inhalten zu IT-Security, Data Science & KI oder Softwareentwicklung wählen. Der Kurs steht online zur Verfügung und kann zeitlich flexibel abgerufen werden.

Diese Kurse stehen zur Auswahl

Red Hat Enterprise Linux: Sicherheitsmanagement

Red Hat Enterprise Linux (RHEL) bietet eine stabile und sichere Plattform für Administratoren, die Netzwerke in Unternehmen oder Rechenzentren betreiben. Tom Wechsler, selbstständiger Cloud Solution Architect, stellt die wichtigsten Sicherheitskonzepte und -techniken für RHEL-Systeme vor.

Microsoft Fabric – Synapse Data Science

Data Science ist für viele Unternehmen eine zentrale Kompetenz, um datenbasierte Entscheidungen zu treffen und Geschäftsergebnisse zu optimieren. Der Data Scientist und Data Engineer Emil Vinčazović zeigt das flexible Erstellen von Datenanalysen und Machine-Learning-Modellen in Fabric.

Mutation Testing in Java

Mutation Testing in Java ist eine fortgeschrittene Methode zur Bewertung der Effektivität von Unit-Tests. Der Java-DevSecOps-Experte Sven Ruppert vermittelt, mithilfe von Mutationstests die Effektivität von Testsuiten zu bewerten und robuste, langfristig wartbare Java-Anwendungen zu entwickeln.

Angebot einlösen

Der kostenfreie Videokurs kann über die Landingpage des academy Campus direkt ausgewählt und angefragt werden:

Zum Videokurs

Von IT-Profis für IT-Profis

IT-Professionals erleben den technologischen Wandel hautnah – und wissen genau, welche Skills sie benötigen. Aber wie baut man sie kontinuierlich auf? Dabei unterstützt das On-Demand-Angebot im heise academy Campus.

Die heise academy bietet moderne, digitale Weiterbildung, zugeschnitten auf die heutigen Bedürfnisse von IT-Professionals. Im Mittelpunkt steht die Interaktion zwischen Lernenden und IT-Expertinnen und Experten. Das bedeutet, IT-Weiterbildung flexibel in den Arbeitsalltag integrieren, immer auf dem neuesten Stand sein und Innovationspotential für das Unternehmen schaffen.

(lomo)

KI-Branchenverbände fordern das US-Berufungsgericht für das Nördliche Kalifornien auf, eine Sammelklage wegen Copyright-Verletzungen gegen das KI-Unternehmen Anthropic zu blockieren. Sie monieren, dass dieses juristische Verfahren, dem sich potenziell bis zu sieben Millionen Kläger anschließen könnten, die gesamte US-amerikanische Industrie für Künstliche Intelligenz finanziell ruinieren und die technologische Wettbewerbsfähigkeit der USA gefährden könnte.

Die ursprüngliche Klage reichten die drei Buchautoren Andrea Bartz, Charles Graeber und Kirk Wallace Johnson voriges Jahr ein. Sie behaupten, Anthropic habe ihre geschützten Werke zum Training seiner KI-Modelle wie Claude verwendet. Nachdem ein Bundesbezirksgericht die Eingabe als Sammelklage im Juni zumindest teilweise zuließ, legte Anthropic vor Kurzem Berufung ein. Das Unternehmen argumentiert, der federführende, schon seit rund 50 Jahren im Silicon Valley Recht sprechende Richter William Alsup, habe bei seiner Entscheidung keine gründliche Analyse durchgeführt und die potenziellen Risiken des Falls unterschätzt.

Sollte die Sammelklage zugelassen werden, befürchtet Anthropic Forderungen in Höhe von Hunderten Milliarden US-Dollar an Schadensersatz binnen weniger Monate. Angesichts dieses existenziellen Risikos könnte das Unternehmen gezwungen sein, sich auf einen Vergleich einzulassen, argumentiert es. Dabei habe die Firma prinzipiell das Recht, die Vorwürfe zu bestreiten. Der Claude-Betreiber warnt: Eine kostspielige außergerichtliche Einigung würde einen beunruhigenden Präzedenzfall für die ganze Branche der generativen KI schaffen.

Herausforderung der Rechteklärung

IT-Verbände wie die Consumer Technology Association (CTA) und die Computer and Communications Industry Association (CCIA) unterstützen Anthropic in einer am Donnerstag eingereichten Stellungnahme an das Gericht. Auch sie zeigen sich alarmiert, dass „die fehlerhafte Sammelklage“ des Bezirksgerichts immensen Schaden „nicht nur für ein einzelnes KI-Unternehmen“ schaffen würde. Generell gälten Copyright-Auseinandersetzungen als ungeeignet für Sammelklagen, da jeder einzelne Autor das Eigentum an seinen Werken nachweisen müsse.

Sogar Autorenvertretungen und Bürgerrechtsorganisationen wie die Authors Alliance, die American Library Association, die Association of Research Libraries, die Electronic Frontier Foundation (EFF) und Public Knowledge unterstützen die Berufung von Anthropic. Sie weisen darauf hin, der Fall Google Books habe gezeigt, dass der Nachweis des Eigentums an Nutzungs- und Verwertungsrechten alles andere als einfach sei.

Die Fürsprecher der Kreativwirtschaft kritisieren, dass Richter Alsup die Identifizierung von bis zu sieben Millionen Rechteinhabern als zu einfach angesehen habe. In Wahrheit sei es extrem kompliziert, die Eigentumsverhältnisse bei so vielen Werken zu klären, da Verlage nicht mehr existieren könnten, Rechte an einzelne Personen vererbt worden seien oder es sich potenziell um „verwaiste Werke“ ohne klare Rechteinhaber handele.

Falscher Ansatz Sammelklage

Laut der entsprechenden Eingabe gibt es „keinen realistischen Weg“, diese Probleme auf kollektive Weise zu lösen. Ein unzulängliches Benachrichtigungssystem für potenzielle Kläger und die immense Komplexität der Rechteklärung würden das Verfahren unkontrollierbar machen. Die Organisationen warnen, dass eine Fortführung der Klage die Unsicherheit über KI-Training mit urheberrechtlich geschütztem Material nur weiter verstärken würde. Zudem könnten einige Autoren nie erfahren, dass die Klage überhaupt geführt wird. Dies würde verhindern, dass sie den ihnen zustehenden Schadenersatz geltend machen. Es wäre daher besser, das Verfahren zu stoppen.

Laut dem Urteil der ersten Instanz ist die Nutzung von Buchkopien zum KI-Training zulässig, der Download elektronischer Bücher von „Piratenseiten“ aber illegal. Bevor Anthropic mit dem Scannen legal gekaufter Druckausgaben begann, lud die Firma mehr als sieben Millionen E-Books aus dem Internet, ohne sich um Lizenzen zu kümmern. In den USA sind Dutzende weitere Klagen mit dem Vorwurf von Copyright-Verstößen durch KI-Betreiber anhängig.

(nie)