Eine neu gekaufte Hardware-Wallet ist möglicherweise schon unsicher, bevor du sie überhaupt auspackst.
Ledger begann am 9.10. um 21:32 Uhr (UTC+8) / 13:32 Uhr UTC mit den Ermittlungen zu gestohlenen Vermögenswerten von Nutzern in Südostasien. Am nächsten Tag wurde bestätigt: Im Gerät eines Opfers befand sich ein „nicht autorisiertes Hardware-Implantat“. Alle bisher bestätigten Fälle betreffen denselben Händler, CryptoBilis (Medienberichten zufolge ein autorisierter Ledger-Händler in Indonesien, Malaysia und auf den Philippinen). Ledger zufolge waren die eigenen Systeme und der Direktverkauf über die offizielle Website nicht betroffen. CryptoBilis hat den Verkauf aller Hardware-Wallets eingestellt.
Ledger hat die Gesamtsumme der Verluste nicht veröffentlicht. Die in den Medien zitierten On-Chain-Schätzungen reichen von etwa 72 bis 93 Millionen US-Dollar. Ich kann sie nicht unabhängig überprüfen und betrachte sie daher vorerst als unbestätigt.
Warum sich so etwas besonders schwer verhindern lässt (meine Schlussfolgerung): Die Seed-Phrase wird in der Wallet erzeugt. Wurde die Hardware manipuliert, bevor du sie erhalten hast, könnte die Seed-Phrase bereits bei ihrer Erstellung nach außen gelangen. Eine PIN-Änderung oder ein neues Smartphone helfen dann nicht. Deshalb lautet die offizielle Empfehlung nicht, die Firmware zu aktualisieren, sondern ein vertrauenswürdiges Gerät zu verwenden und eine neue Seed-Phrase zu erzeugen.
So findest du heraus, ob du betroffen sein könntest:
1. Kauf bei CryptoBilis innerhalb der letzten 90 Tage: Richte das Gerät nicht ein, bevor du es eingeschaltet hast. Wenn du es bereits verwendest, empfiehlt Ledger, auf einem neuen, direkt von Ledger bezogenen Gerät eine neue Seed-Phrase zu erzeugen und deine Vermögenswerte dorthin zu übertragen.
2. Kauf über andere Kanäle: Betroffen war diesmal ein „autorisierter Händler“ – eine Autorisierung ist also keine Garantie. Ledger hat Händler außerdem daran erinnert, zurückgesendete Geräte nicht erneut zum Verkauf anzubieten. Verwende keine gebrauchten oder entsiegelten Geräte und auch keine Geräte, denen eine Karte mit einer „bereits notierten Seed-Phrase“ beiliegt.
3. Vorsicht vor einer zweiten Betrugswelle: Ledger sagt, dass das Unternehmen dich weder anruft noch dir private Nachrichten schickt und dich niemals nach deiner 24 Wörter langen Seed-Phrase fragt. Wenn sich in den nächsten Tagen jemand als Kundendienst ausgibt und dir helfen will, „dein Gerät zu überprüfen“, geh direkt von einem Betrugsversuch aus.
Ein neues Gerät zu kaufen und Vermögenswerte zu übertragen, verursacht Aufwand und Kosten. Wenn das Gerät aber nachweislich von diesem Händler stammt, solltest du davon ausgehen, dass deine Seed-Phrase bereits nach außen gelangt ist.
Hast du deine Hardware-Wallet auf der offiziellen Website, in einem autorisierten Ladengeschäft, bei einem Onlinehändler oder gebraucht gekauft?
Quellen: offizieller Ledger-Account auf X (Aktualisierungen vom 9.10., 10.10. und 11.10.), Cointelegraph, TokenPost | Keine Anlageberatung
Ledger begann am 9.10. um 21:32 Uhr (UTC+8) / 13:32 Uhr UTC mit den Ermittlungen zu gestohlenen Vermögenswerten von Nutzern in Südostasien. Am nächsten Tag wurde bestätigt: Im Gerät eines Opfers befand sich ein „nicht autorisiertes Hardware-Implantat“. Alle bisher bestätigten Fälle betreffen denselben Händler, CryptoBilis (Medienberichten zufolge ein autorisierter Ledger-Händler in Indonesien, Malaysia und auf den Philippinen). Ledger zufolge waren die eigenen Systeme und der Direktverkauf über die offizielle Website nicht betroffen. CryptoBilis hat den Verkauf aller Hardware-Wallets eingestellt.
Ledger hat die Gesamtsumme der Verluste nicht veröffentlicht. Die in den Medien zitierten On-Chain-Schätzungen reichen von etwa 72 bis 93 Millionen US-Dollar. Ich kann sie nicht unabhängig überprüfen und betrachte sie daher vorerst als unbestätigt.
Warum sich so etwas besonders schwer verhindern lässt (meine Schlussfolgerung): Die Seed-Phrase wird in der Wallet erzeugt. Wurde die Hardware manipuliert, bevor du sie erhalten hast, könnte die Seed-Phrase bereits bei ihrer Erstellung nach außen gelangen. Eine PIN-Änderung oder ein neues Smartphone helfen dann nicht. Deshalb lautet die offizielle Empfehlung nicht, die Firmware zu aktualisieren, sondern ein vertrauenswürdiges Gerät zu verwenden und eine neue Seed-Phrase zu erzeugen.
So findest du heraus, ob du betroffen sein könntest:
1. Kauf bei CryptoBilis innerhalb der letzten 90 Tage: Richte das Gerät nicht ein, bevor du es eingeschaltet hast. Wenn du es bereits verwendest, empfiehlt Ledger, auf einem neuen, direkt von Ledger bezogenen Gerät eine neue Seed-Phrase zu erzeugen und deine Vermögenswerte dorthin zu übertragen.
2. Kauf über andere Kanäle: Betroffen war diesmal ein „autorisierter Händler“ – eine Autorisierung ist also keine Garantie. Ledger hat Händler außerdem daran erinnert, zurückgesendete Geräte nicht erneut zum Verkauf anzubieten. Verwende keine gebrauchten oder entsiegelten Geräte und auch keine Geräte, denen eine Karte mit einer „bereits notierten Seed-Phrase“ beiliegt.
3. Vorsicht vor einer zweiten Betrugswelle: Ledger sagt, dass das Unternehmen dich weder anruft noch dir private Nachrichten schickt und dich niemals nach deiner 24 Wörter langen Seed-Phrase fragt. Wenn sich in den nächsten Tagen jemand als Kundendienst ausgibt und dir helfen will, „dein Gerät zu überprüfen“, geh direkt von einem Betrugsversuch aus.
Ein neues Gerät zu kaufen und Vermögenswerte zu übertragen, verursacht Aufwand und Kosten. Wenn das Gerät aber nachweislich von diesem Händler stammt, solltest du davon ausgehen, dass deine Seed-Phrase bereits nach außen gelangt ist.
Hast du deine Hardware-Wallet auf der offiziellen Website, in einem autorisierten Ladengeschäft, bei einem Onlinehändler oder gebraucht gekauft?
Quellen: offizieller Ledger-Account auf X (Aktualisierungen vom 9.10., 10.10. und 11.10.), Cointelegraph, TokenPost | Keine Anlageberatung