Celsius-Client-Daten bei derselben Sicherheitslücke wie OpenSea durchgesickert

Laut der Celsius-Community hat das Unternehmen angeblich Benutzer kontaktiert, um sie über eine Datenschutzverletzung zu informieren, die sie direkt betrifft und leicht zu Phishing-Versuchen führen könnte.

Ein verärgerter Mitarbeiter, zwei Mailinglisten

Ankündigung von Celsius: „Wir schreiben Ihnen, um Ihnen mitzuteilen, dass wir
wurden kürzlich von unserem Lieferanten informierthttps://t.co/452EROQtbc dass einer ihrer Mitarbeiter
hat auf eine Liste von Celsius-Client-E-Mails zugegriffen
Adressen auf ihrer Plattform und
diese an Dritte übertragen.“

— Celsianer (@CelsiansNetwork) 28. Juli 2022

Der Verstoß wurde Berichten zufolge am 30. Juni zur gleichen Zeit wie die OpenSea-Kundendaten identifiziert Leck. Damals wandte sich Celsius an Customer.io – das Unternehmen, das die Marktkommunikation sowohl für OpenSea als auch für Celsius abwickelt – das erklärte, dass die Kundendaten des Krypto-Kreditgebers nicht betroffen seien.

Am 8. Juli widerriefen Vertreter von Customer.io jedoch angeblich ihre Aussage und teilten Celsius mit, dass einige ihrer Kundendaten tatsächlich verletzt worden seien. Dem Mitarbeiter wurde inzwischen gekündigt, und Customer.io aktualisierte seine Erklärung zu dem Vorfall und erklärte, dass die Daten von fünf weiteren Kunden ebenfalls gekündigt worden seien gestohlen.

„Nach weiteren Untersuchungen des Vorfalls mit kompromittierten OpenSea-E-Mail-Adressen haben wir heute erfahren, dass die E-Mail-Adressen von fünf anderen Kunden ebenfalls demselben externen Angreifer zur Verfügung gestellt wurden.“

Es scheint, dass Celsius einer der fünf gewesen sein könnte, da Benutzer zu Twitter gingen, um Screenshots von Warn-E-Mails zu teilen, die sie erhalten hatten.

pic.twitter.com/hIOxPPPxf7

—db (@tier10k) 28. Juli 2022

Phishing-Versuche erwartet

Laut den von Celsius-Benutzern geteilten Screenshots sind die einzigen Client-Daten, die an schlechte Akteure weitergegeben wurden, eine Liste von E-Mail-Adressen ohne andere personenbezogene Daten (PII).

Berichten zufolge sieht Celsius keine größeren Bedrohungen für die weitere Sicherheit der Kundendaten. Das Team hat die Benutzer jedoch gewarnt, auf der Hut zu sein und sich gegebenenfalls an den Celsius-Support zu wenden.

„Wir betrachten den Vorfall nicht als ein hohes Risiko für unsere Kunden, deren E-Mail-Adressen möglicherweise betroffen sind, veröffentlichen diese Mitteilung jedoch, um sicherzustellen, dass Sie sich dessen bewusst sind.“

In der Zwischenzeit haben Cybersicherheitsforscher die Benutzer vor möglichen Phishing-E-Mails gewarnt wahrscheinlich in Form eines Links zu einem gefälschten Verifizierungsprozess vorliegen, mit dem Benutzer Geld abheben können. Es ist jedoch ziemlich ironisch, dass, obwohl dies ein raffiniertes Stück Social Engineering wäre – zumal die Celsius-Abhebungen immer noch eingefroren sind – Abhebungen von der Plattform immer noch, nun ja, ausgesetzt sind. Daher ist es ziemlich unklar, wie schlechte Schauspieler die Brieftasche eines ahnungslosen Opfers leeren können.

Dennoch ist der Vorfall eine weitere wichtige Erinnerung an alle, ihre privaten Schlüssel sicher und offline aufzubewahren und zu vermeiden, Links oder QR-Codes zu folgen, deren Herkunft nicht festgestellt werden kann.

Während der Gerichtsprozess von Celsius weitergeht, wird dieser Vorfall wahrscheinlich ein weiterer besorgniserregender Gedanke in den Köpfen der Benutzer der Plattform sein.