Ich bin schon seit Jahren in der Szene, aber eine so perfide Methode zum Krypto-Diebstahl habe ich noch nie gesehen. Die Hacker müssen nicht einmal Code schreiben: In der Hardware-Wallet ist bereits eine eSIM-Karte eingelötet.
Das bittere Erlebnis eines Nutzers: Im Juni kaufte er für 65.000 Dollar 80 Bitcoin im Dip und überwies sie vor einer Woche auf einen Ledger. Heute ist alles verkauft und das Konto leer. Die Buchgewinne von 1,38 Millionen Dollar – samt ursprünglichem Einsatz – sind futsch.
In den vergangenen 24 Stunden hat MistTrack Verluste im Zusammenhang mit dem Vorfall von fast 90 Millionen Dollar nachverfolgt. Tether hat damit begonnen, die USDT auf den betroffenen Adressen einzufrieren. Mark Karpelès, ehemaliger CEO von Mt. Gox, zerlegte persönlich einen in Malaysia gekauften Ledger und entdeckte an der Stelle des Schaumstoffpolsters unter dem Display eine Spionagehardware mit LTE-Verbindung, Antenne, eSIM und Mikrocontroller. Der Aufkleber war original, die Schrumpffolie unbeschädigt – ohne das Gerät zu öffnen, war nichts Auffälliges zu erkennen.
/
❚ So funktioniert der Diebstahl – einfacher, als du denkst
Die Sicherheit einer Hardware-Wallet beruht im Kern auf zwei Worten: Abschottung
Der private Schlüssel bleibt im Chip und verlässt das Gerät nicht
Die Signatur wird auf dem Gerät erstellt. Nur der Host ist online, nicht die Wallet selbst.
Dieser Angriff hat genau diese Grundannahme ausgehebelt. Der eingebaute Mikrocontroller ist mit dem SPI-Bus des Ledgers verbunden und kann die Zeichen auslesen, die auf dem Display angezeigt werden sollen. Auf den Seiten zur Einrichtung der Seed-Phrase werden genau die 24 Wörter nacheinander angezeigt. Das Modul sendet diese Zeichen per LTE nach außen. Sobald die Angreifer die Seed-Phrase haben, spielen weder die Stärke deines Passworts noch deine Nutzungsgewohnheiten eine Rolle. Sie müssen nur auf den richtigen Moment warten, um mit einem Klick alles leerzuräumen.
Einfach gesagt: Du glaubst, du hast es mit einem abgeschotteten Tresor zu tun. Aber unter dem Tresor versteckt sich ein Handy. Von außen wirkt alles unauffällig, doch es kann alles sehen, was auf dem Bildschirm angezeigt wird.
❚ Ledgers bisherige Sicherheitsgeschichte
Wer schon länger in der Szene ist, kennt Ledger-Probleme nur zu gut. Gehen wir die Vorfälle chronologisch durch ⬇️
1/ 2018: Schwachstelle bei früher Hardware-Studie
Forscher demonstrierten, dass der Nano S vor der Auslieferung manipuliert werden konnte und sich der MCU-Bootloader umgehen ließ
Meist Probleme auf Forschungsniveau; vor allem vom Hersteller behoben, kaum tatsächliche Verluste
2/ 2020: Massiver Datenleak bei einer E-Commerce-Datenbank
Über 1 Million E-Mail-Adressen sowie Namen, Telefonnummern und Anschriften von mehr als 270.000 Kunden wurden veröffentlicht
Hardware und private Schlüssel waren nicht betroffen, aber der Vorfall löste jahrelang immer neue Phishing-Mails und gefälschte offizielle Nachrichten aus
3/ Dezember 2023: Supply-Chain-Angriff auf das Connect Kit
Ein ehemaliger Mitarbeiter wurde Opfer von Phishing, sein npm-Konto wurde übernommen und eine bösartige Version in alle DApps eingeschleust, die diese Bibliothek verwendeten
Innerhalb von zwei Stunden wurden 480.000 bis 600.000 Dollar gestohlen
Die Hardware war nicht betroffen, aber allen wurde zum ersten Mal klar, dass auch Abhängigkeiten im Frontend ein Einfallstor für Risiken sind
4/ Januar 2026: Erneuter Datenleak bei Bestelldaten des Drittanbieters Global-e
Ein altes Problem, das die Phishing-Ökologie weiter befeuert
5/ April 2026: Betrug mit gefälschtem Ledger Live im App Store
Über 50 Personen wurden innerhalb einer Woche um 9,5 Millionen Dollar bestohlen, nachdem sie dazu verleitet worden waren, ihre 24 Wörter lange Seed-Phrase einzugeben
Bis zu diesem Vorfall war das der größte Einzelschaden
6/ August 2026: Ethereum-Signaturschwachstelle LSB-023
Clear Signing ließ sich mit einem bösartigen Host umgehen; Belege für eine tatsächliche Ausnutzung gibt es nicht
7/ Oktober 2026: Supply-Chain-Angriff auf CryptoBillis
Die nachverfolgten Verluste liegen bei fast 90 Millionen Dollar – nahezu das Zehnfache des bisherigen Rekords
Ein klares Muster: Bei allen bisherigen Vorfällen wurden entweder nur Metadaten offengelegt oder der Nutzer musste selbst etwas Dummes tun (eine gefälschte App installieren, die Seed-Phrase eingeben). Doch diesmal hast du deine Seed-Phrase nie aus der Hand gegeben, das Gerät war nie online und der ganze Ablauf war völlig normal. Trotzdem ist das Geld weg.
❚ Warum ausgerechnet Südostasien?
CryptoBillis ist ein autorisierter Ledger-Händler in Südostasien. Im Vergleich zur Bestellung auf der offiziellen Website ist der Kauf über einen Händler etwas günstiger, die Lieferung geht schneller und man muss sich nicht mit internationalem Versand herumschlagen. In der Kryptoszene Südostasiens ist das eine sehr gängige Kaufmethode. Ich selbst lebe in Bangkok und kenne etliche Leute, die über diesen Weg kaufen.
Das Unheimliche an Supply-Chain-Angriffen ist:
Ledger selbst muss dafür nicht gehackt werden
Kein Fehler des Nutzers nötig
Es reicht, einen einzigen Händler in der Lieferkette zu kompromittieren, um massenhaft Schaden anzurichten
Ledger hat CryptoBillis bereits aufgefordert, Verkauf und Versand auszusetzen, und empfiehlt Nutzern, die in den letzten 90 Tagen über diesen Händler ein Gerät gekauft haben, ihre Assets so schnell wie möglich zu übertragen. Wie viele Geräte aber bereits ausgeliefert wurden und ob nur dieser eine Händler betroffen ist, kann selbst Ledger nicht bestätigen.
❚ Praktische Empfehlungen
Genug zur Funktionsweise – hier ein paar praktische Tipps
1/ Hardware-Wallets ausschließlich direkt auf der offiziellen Website kaufen – niemals über Drittanbieter
Dazu zählen Empfehlungslinks großer Influencer, Händler, Taobao, Xianyu und Einkäufe, die Freunde für dich mitbringen
Für die paar Euro Ersparnis kann man das Gerät auch gleich verbrennen
2/ Verwende keine der beiliegenden Seed-Phrase-Karten. Richte das Gerät neu ein.
Unbedingt die Echtheitsprüfung auf der offiziellen Ledger-Website durchführen
Bei Bedarf zur physischen Überprüfung an den offiziellen Support zurücksenden
3/ Große Bestände auf mehrere Wallets aufteilen
Pack nicht dein ganzes Vermögen in eine einzige Wallet
Vermögen durch Multisig oder mehrere Adressen verteilen und so die Kosten eines einzelnen Ausfalls erhöhen
4/ Wallets regelmäßig wechseln
Auch wenn heute nichts passiert, heißt das nicht, dass es in drei Jahren noch genauso ist
Das ist, als würde man das Schloss des Kontos austauschen
Beobachtet die Echtzeitüberwachung von Anbietern wie MistTrack und SlowMist
Zwischen dem Angriff und seiner Aufdeckung vergeht Zeit. Ein früher Wallet-Wechsel kann Leben retten.
/
Kurz gesagt: Das Beängstigendste an diesem Vorfall sind nicht die Verluste, sondern dass er die Grundannahmen zur Sicherheit von Hardware-Wallets verändert.
Früher dachten wir: Solange wir uns nicht selbst ins Unglück stürzen, ist unser Geld sicher. Jetzt müssen wir ergänzen: Das Produkt, das du kaufst, ist womöglich gar nicht das, wofür du es hältst.
Ehrlich gesagt will ich nach dem Schreiben dieses Artikels meinen Ledger selbst am liebsten wegpacken und zu einer anderen Marke wechseln. Der Markt ist ohnehin schon beschissen, und dann muss man sich auch noch von so etwas erschrecken lassen.
(Dieser Artikel basiert auf Informationen von MistTrack, öffentlichen Angaben von Mark Karpelès und früheren Mitteilungen von Ledger. Er enthält keine Empfehlungen. Bitte überprüft die Angaben selbst.)