Krypto-Zahlungen zu akzeptieren ist inzwischen eine unkomplizierte Produktentscheidung. Das dahinterliegende System abzusichern hingegen nicht.
Bei BlockSec verbringen wir unsere Tage damit, Smart Contracts zu prüfen, Transaktionen zu überwachen und Teams zu helfen, wenn etwas schiefläuft. Das Muster ist konsistent: Schwerwiegende Vorfälle entstehen selten durch ausgeklügelte Angriffe. Sie entstehen durch einige wenige Kontrollen, die fehlten, falsch konfiguriert oder niemals getestet wurden.
Deshalb haben wir gemeinsam mit NOWPayments die Checkliste für Krypto-Zahlungssicherheit & Compliance entwickelt — die Kontrollen, die jeder Zahlungsanbieter vor dem Go-live bestätigen sollte und auch danach regelmäßig überprüfen sollte.
Wo Zahlungssysteme tatsächlich versagen
Die Checkliste umfasst neun Bereiche. Dies sind die Bereiche, bei denen Teams am häufigsten auf dem falschen Fuß erwischt werden:
- Wallet-Sicherheit: Wenn ein einziger Schlüssel oder eine einzige Person allein über Produktionsmittel verfügen kann, haben Sie ein Angriffsziel — kein Sicherheitsmodell.
- Transaktionssignierung: Wesentliche Transaktionen erfordern eine menschenlesbare, unabhängig verifizierte Genehmigung durch mehrere Personen — nicht einen einzigen Klick.
- Kontoschutz: SMS- und App-Code-MFA ist genau das, was Phishing auszuhebeln versucht. Sensible Konten benötigen Phishing-resistente Faktoren (FIDO2 / WebAuthn).
- On-Chain-Monitoring: Eine auffällige Transaktion bei der täglichen Abstimmung zu entdecken ist keine Erkennung — das ist eine nachträgliche Analyse. Echtzeit-Benachrichtigungen verschaffen Reaktionszeit.
- AML/CFT-Screening: Zu verifizieren, wer ein Kunde ist, sagt nichts darüber aus, woher seine Gelder stammen. Identitätsprüfungen müssen mit On-Chain-Screening kombiniert werden (KYA + KYT).
- Stablecoin-Einfrierrisiko: Wenn eine Adresse eingefroren wird, sind die Teams am stärksten betroffen, die improvisieren müssen. Ein dokumentierter Eskalationspfad verwandelt einen Notfall in ein geregeltes Verfahren.
Das sind sechs der neun Bereiche. Die vollständige Checkliste umfasst außerdem Smart-Contract-Sicherheit, DNS- und Domain-Absicherung sowie kontinuierliche Verbesserung — Schulungen, Übungen und das Lernen aus Branchenvorfällen — mit jeweils zwei oder drei konkreten, technologieneutralen Grundsätzen pro Bereich.
Checkliste herunterladen
Die meisten Vorfälle, auf die wir reagieren, lassen sich auf eine Kontrolle zurückführen, die dem Team bereits bekannt war, aber nie vollständig überprüft wurde. Eine Checkliste macht ein System nicht von allein sicher — aber sie macht es unmöglich, Lücken zu ignorieren.
Ob Sie Ihren ersten Krypto-Zahlungsfluss einführen oder einen bestehenden in der Produktion absichern: Es ist eine schnelle Möglichkeit, das Vorhandene gegen das, was tatsächlich schiefläuft, auf die Probe zu stellen — und Ihre Sicherheits-, Compliance-, Betriebs- und Produktteams vor dem Launch aufeinander abzustimmen.
