Der Hardware-Wallet-Hersteller Ledger hat den Umfang in einer Erklärung vom 11. Oktober eingegrenzt: Alle bestätigten Diebstahlfälle gehen auf Geräte zurück, die vom autorisierten südostasiatischen Händler CryptoBilis verkauft wurden. Bei den eigenen Systemen und direkt verkauften Produkten des Unternehmens gebe es keine Anzeichen für einen Einbruch.
Interessanter ist die Abfolge: Am 9. Oktober forderte Ledger den Händler auf, sämtliche Lieferungen auszusetzen. Am 10. Oktober bestätigte das Unternehmen, dass mindestens ein Gerät intern eine nicht autorisierte Hardware-Komponente enthielt. Am 11. Oktober grenzte es den Vorfall auf einen einzigen Vertriebskanal ein. Karpels, der frühere Chef von Mt. Gox, nahm ein äußerlich ungeöffnetes Ledger Nano X auseinander, das aus Malaysia stammte. Unter der Polsterung des Bildschirms befand sich eine zusätzliche Platine mit Mobilfunkkomponenten, die beim Einrichten die auf dem Bildschirm angezeigte Seed-Phrase abgreifen konnte. Das Gerät sah normal aus, und die Firmware-Prüfung verlief wie gewohnt erfolgreich.
Die geschätzten Verluste auf der Blockchain liegen zwischen 70 und 93 Millionen US-Dollar. Ledger hat keine einzelne Zahl bestätigt. Ein Teil der Gelder wurde eingefroren; auch die Vermögenswerte $BTC und $ETH waren betroffen.
Die Maßnahmen sind eindeutig: Wer in den vergangenen drei Monaten über diesen Vertriebskanal ein Gerät gekauft und noch nicht aktiviert hat, sollte es vorerst nicht verwenden. Wer es bereits benutzt hat, sollte seine Vermögenswerte auf ein neues Gerät übertragen und eine neue Seed-Phrase erstellen. Ledger betont erneut, dass das Unternehmen niemals nach den 24 Wörtern fragen wird.
Jede zusätzliche Zwischenstufe in der Lieferkette bedeutet eine weitere unsichtbare Hand.
Interessanter ist die Abfolge: Am 9. Oktober forderte Ledger den Händler auf, sämtliche Lieferungen auszusetzen. Am 10. Oktober bestätigte das Unternehmen, dass mindestens ein Gerät intern eine nicht autorisierte Hardware-Komponente enthielt. Am 11. Oktober grenzte es den Vorfall auf einen einzigen Vertriebskanal ein. Karpels, der frühere Chef von Mt. Gox, nahm ein äußerlich ungeöffnetes Ledger Nano X auseinander, das aus Malaysia stammte. Unter der Polsterung des Bildschirms befand sich eine zusätzliche Platine mit Mobilfunkkomponenten, die beim Einrichten die auf dem Bildschirm angezeigte Seed-Phrase abgreifen konnte. Das Gerät sah normal aus, und die Firmware-Prüfung verlief wie gewohnt erfolgreich.
Die geschätzten Verluste auf der Blockchain liegen zwischen 70 und 93 Millionen US-Dollar. Ledger hat keine einzelne Zahl bestätigt. Ein Teil der Gelder wurde eingefroren; auch die Vermögenswerte $BTC und $ETH waren betroffen.
Die Maßnahmen sind eindeutig: Wer in den vergangenen drei Monaten über diesen Vertriebskanal ein Gerät gekauft und noch nicht aktiviert hat, sollte es vorerst nicht verwenden. Wer es bereits benutzt hat, sollte seine Vermögenswerte auf ein neues Gerät übertragen und eine neue Seed-Phrase erstellen. Ledger betont erneut, dass das Unternehmen niemals nach den 24 Wörtern fragen wird.
Jede zusätzliche Zwischenstufe in der Lieferkette bedeutet eine weitere unsichtbare Hand.