Verdammt! Der Skandal um Ledger-Hardware-Wallets wird immer größer!
Zuerst dachte man, es sei einfach ein gewöhnlicher Fall von Kryptodiebstahl. Doch jetzt wurde sogar der neue chinesische Eigentümer des Händlers ausfindig gemacht.
Die Sache ist ziemlich absurd:
In der ersten Jahreshälfte wurde der autorisierte Ledger-Händler CryptoBilis weiterverkauft.
Aus den jüngsten veröffentlichten Firmenunterlagen geht hervor, dass die Anteile im August auf eine Person namens Jiaming übertragen wurden. Als Adresse ist ein Ort in der chinesischen Provinz Heilongjiang eingetragen.
Noch krasser: Mark Karpelès, ehemaliger CEO von Mt. Gox und heute in Tokio lebend, veröffentlichte Fotos eines Ledger-Hardware-Wallets, an dem offenbar manipuliert worden war.
Beim Aufschrauben zeigte sich unter dem Bildschirm Folgendes:
LTE-Kommunikationsmodul
eSIM
Antenne
Mikrocontroller
Was bedeutet das?
Falls diese Module tatsächlich die Bildschirminhalte auslesen können, könnten sie bei der Ersteinrichtung des Wallets und der Erstellung der Seed-Phrase heimlich den Bildschirminhalt abgreifen und ihn anschließend über das Mobilfunknetz versenden.
Du glaubst, deine Bitcoin und Ethereum liegen in einem Offline-Wallet.
Dabei könnte die Seed-Phrase schon durchgesickert sein, sobald das Wallet aktiviert wurde.
Noch beunruhigender:
Blockchain-Forscher schätzen, dass die mutmaßlich gestohlenen Beträge bereits 86 Millionen US-Dollar übersteigen. Betroffen sind unter anderem BTC, ETH und TRON.
Und das könnte noch nicht die endgültige Summe sein.
Ledger hat CryptoBilis inzwischen aufgefordert, Verkauf und Versand auszusetzen. Der Vorfall wird noch untersucht. Ein Zusammenhang zwischen den Spionagemodulen und den gestohlenen Geldern sowie eine mögliche Beteiligung des neuen Anteilseigners sind bislang nicht bestätigt.
Früher dachte ich immer, ein Cold Wallet sei sicherer als eine Kryptobörse.
Jetzt wird mir klar: Die größte Gefahr bei einem Cold Wallet ist vielleicht nicht die Verbindung zum Internet, sondern dass man gar nicht weiß, ob jemand daran herumgebastelt hat, bevor man es gekauft hat.
Sollte es sich tatsächlich um einen Angriff auf die Lieferkette handeln, muss das gesamte Vertrauensmodell der Hardware-Wallet-Branche neu überdacht werden.
Zuerst dachte man, es sei einfach ein gewöhnlicher Fall von Kryptodiebstahl. Doch jetzt wurde sogar der neue chinesische Eigentümer des Händlers ausfindig gemacht.
Die Sache ist ziemlich absurd:
In der ersten Jahreshälfte wurde der autorisierte Ledger-Händler CryptoBilis weiterverkauft.
Aus den jüngsten veröffentlichten Firmenunterlagen geht hervor, dass die Anteile im August auf eine Person namens Jiaming übertragen wurden. Als Adresse ist ein Ort in der chinesischen Provinz Heilongjiang eingetragen.
Noch krasser: Mark Karpelès, ehemaliger CEO von Mt. Gox und heute in Tokio lebend, veröffentlichte Fotos eines Ledger-Hardware-Wallets, an dem offenbar manipuliert worden war.
Beim Aufschrauben zeigte sich unter dem Bildschirm Folgendes:
LTE-Kommunikationsmodul
eSIM
Antenne
Mikrocontroller
Was bedeutet das?
Falls diese Module tatsächlich die Bildschirminhalte auslesen können, könnten sie bei der Ersteinrichtung des Wallets und der Erstellung der Seed-Phrase heimlich den Bildschirminhalt abgreifen und ihn anschließend über das Mobilfunknetz versenden.
Du glaubst, deine Bitcoin und Ethereum liegen in einem Offline-Wallet.
Dabei könnte die Seed-Phrase schon durchgesickert sein, sobald das Wallet aktiviert wurde.
Noch beunruhigender:
Blockchain-Forscher schätzen, dass die mutmaßlich gestohlenen Beträge bereits 86 Millionen US-Dollar übersteigen. Betroffen sind unter anderem BTC, ETH und TRON.
Und das könnte noch nicht die endgültige Summe sein.
Ledger hat CryptoBilis inzwischen aufgefordert, Verkauf und Versand auszusetzen. Der Vorfall wird noch untersucht. Ein Zusammenhang zwischen den Spionagemodulen und den gestohlenen Geldern sowie eine mögliche Beteiligung des neuen Anteilseigners sind bislang nicht bestätigt.
Früher dachte ich immer, ein Cold Wallet sei sicherer als eine Kryptobörse.
Jetzt wird mir klar: Die größte Gefahr bei einem Cold Wallet ist vielleicht nicht die Verbindung zum Internet, sondern dass man gar nicht weiß, ob jemand daran herumgebastelt hat, bevor man es gekauft hat.
Sollte es sich tatsächlich um einen Angriff auf die Lieferkette handeln, muss das gesamte Vertrauensmodell der Hardware-Wallet-Branche neu überdacht werden.