Ledger hat in einem Gerät eines betroffenen Kunden ein unautorisiertes Hardware-Implantat bestätigt. Der Fund steht im Zusammenhang mit gemeldeten Verlusten nach Käufen beim südostasiatischen Reseller CryptoBilis und zeigt: Die Echtheitsprüfung kann das Secure Element kontrollieren, aber nicht jede Manipulation des gesamten Geräts erkennen.
Das Wichtigste im Überblick:
- Ledger bestätigte am Samstag, 10. Oktober, ein Implantat in einem Gerät eines betroffenen Nutzers.
- Genuine Check prüft das Secure Element, kann laut Ledgers Sicherheitsdokumentation aber bestimmte Spionage-Implantate übersehen.
- Bitquery schätzte mutmaßliche Verluste auf 93,2 Millionen US-Dollar; diese Summe belegt weder die Zahl manipulierter Geräte noch einen ursächlichen Zusammenhang.
Ledger bestätigt Implantat, Umfang bleibt offen
In einer Stellungnahme vom Samstag, 10. Oktober, teilte Ledger mit, dass ein Gerät eines betroffenen Kunden ein unautorisiertes Hardware-Implantat enthielt. Die Untersuchung war angelaufen, nachdem Kunden Verluste gemeldet hatten, die sie mit zuvor über CryptoBilis gekauften Ledger-Geräten in Verbindung brachten.
CryptoBilis, ein autorisierter Reseller in Südostasien, setzte den Verkauf seines gesamten Hardware-Wallet-Bestands bis zum Ende der Untersuchung aus. Ledger hat bislang weder mitgeteilt, wie viele Geräte verändert wurden, noch bestätigt, dass das Implantat sämtliche gemeldeten Verluste verursacht hat.
Zugleich erklärte das Unternehmen, es gebe keine Hinweise darauf, dass seine Sicherheitsinfrastruktur, Systeme oder Dienste kompromittiert worden seien. Eine separate On-Chain-Auswertung von Bitquery bezifferte die mutmaßlichen Abflüsse in einem Update vom Sonntag, 11. Oktober, auf rund 93,2 Millionen US-Dollar aus 315 Wallets auf sechs Blockchains. Diese Schätzung erfasst Transaktionen und Wallets, nicht die Zahl veränderter Geräte.
Genuine Check prüft den Chip, nicht jede Komponente
Die Sicherheitsdokumentation von Ledger beschreibt Genuine Check als Prüfung der Echtheit des Secure Elements – des Sicherheitschips im Wallet. Bleibt dieser Chip unverändert, kann die Prüfung laut Ledgers Threat Model ein zusätzliches Spionage-Implantat übersehen, das andere Teile des Geräts manipuliert.
Tibane Labs dokumentierte über die Untersuchung des früheren Mt.-Gox-Chefs Mark Karpelès drei Generationen von Implantaten für Ledger Nano X. Die beschriebenen Bauteile können elektronische Signale zwischen Secure Element und Display überwachen. Da die Recovery-Wörter bei der Einrichtung auf dem Bildschirm erscheinen, könnten zusätzliche Mikrocontroller Displaydaten auslesen und die Wörter rekonstruieren; in den untersuchten Varianten kam auch Mobilfunktechnik zur Übertragung infrage.
Wichtig ist die Abgrenzung: Die beiden von Tibane Labs im September untersuchten Exemplare stammten laut dessen Bericht von japanischen Marktplätzen. Sie belegen daher nicht, dass dieselbe Bauart im CryptoBilis-Fall verwendet wurde; Ledger hat das von ihm gefundene Implantat öffentlich nicht technisch beschrieben. Der Vorfall unterstreicht, dass auch ein echter Sicherheitschip keine vollständige Garantie für die Unversehrtheit sämtlicher Hardwarekomponenten bietet. Ähnliche Risiken rund um Hardware-Wallet-Nutzer entstehen zudem durch kompromittierte Kundendaten, wie ein Fall mit offengelegten Kundendaten eines Hardware-Wallet-Anbieters zeigt.
On-Chain-Schätzungen und nächste Schritte
Die Verlustangaben unterscheiden sich je nach Datensatz und Methode. Alex Thorn von Galaxy Digital Research schätzte am Freitag, 9. Oktober, rund 91 Millionen US-Dollar über 477 Adressen auf Bitcoin-, Ethereum-bezogenen Netzwerken und Tron; Bitquery kam auf 93,2 Millionen US-Dollar aus 315 Wallets auf sechs Blockchains. Keine der beiden Auswertungen zählt manipulierte Geräte oder bestätigt für sich allein, wie die Angreifer Zugriff erhielten.
Bitquery zufolge signierten 25 Tron-Wallets innerhalb von drei Sekunden dieselbe Token-Freigabe; daraufhin seien rund 29 Millionen USDT kurzfristig abgezogen worden. Die Firma identifizierte außerdem kleine Testtransaktionen über etwa zwei Wochen vor den größeren Abflüssen. In ihrem Update nannte sie rund 10 Millionen US-Dollar in USDT, die Tether eingefroren habe, sowie 5,35 Millionen USDC, die Circle nach ihrer Analyse hätte einfrieren können.
Ledger kontaktiert betroffene Nutzer, arbeitet mit Behörden zusammen und entwickelt nach eigenen Angaben zusätzliche Schutzmaßnahmen gegen Manipulationen. Kunden, die ein Gerät bei CryptoBilis gekauft, aber noch nicht eingerichtet haben, sollen es nicht initialisieren. Wer es bereits verwendet hat, sollte Bestände auf ein vertrauenswürdiges Gerät übertragen und dafür eine neu erzeugte Recovery-Phrase nutzen; eine alte Phrase kann weiter Zugriff auf das Wallet ermöglichen, wenn sie zuvor offengelegt wurde.
Offen bleiben die Zahl veränderter Geräte, die genaue Bauart des bestätigten Implantats und dessen Zusammenhang mit den gemeldeten Verlusten. Auch die On-Chain-Schätzungen können sich ändern, wenn Ermittler weitere Wallets zuordnen. Eine Prüfung anderer regionaler Reseller wurde als Möglichkeit angesprochen, doch eine Ausweitung der Lieferkettenmanipulation ist derzeit nicht durch bestätigte Belege gestützt. Für Nutzer gilt zugleich: Eine Recovery-Phrase auf einem verdächtigen Gerät sollte als kompromittiert behandelt werden; Phishing-Angriffe auf Recovery-Phrasen zeigen, dass Zugangsdaten auch unabhängig von Hardware-Implantaten gefährdet sein können.
Warum Sie 99Bitcoins vertrauen können
99Bitcoins wurde 2013 gegründet und verfügt über ein Team von Experten, deren Erfahrung bis in die Anfänge der Kryptozeit zurückreicht.
Wöchentliche Recherche
100k+Monatliche Leser
Experten
2000+Krypto-Projekte unter die Lupe genommen
