Auch Cold Wallets sind nicht mehr „kalt“: Rückblick auf den Ledger-Spionagechip-Vorfall
Angriffe auf die Lieferkette schreiben den Sicherheitsmythos der Hardware-Wallets neu. Am 10. Oktober bestätigte Ledger offiziell, dass im Gerät eines betroffenen Nutzers ein „nicht autorisiertes Hardwareimplantat“ entdeckt wurde. Damit räumte Ledger erstmals eine Manipulation auf physischer Ebene ein – zugleich ist dies der erste materielle Beweis im aktuellen Fall gestohlener Gelder von Nutzern in Südostasien.
Der zeitliche Ablauf:
Am 9. Oktober kündigte Ledger eine Untersuchung zu den gestohlenen Geldern mehrerer Nutzer in Südostasien an. Alle betroffenen Geräte waren über den südostasiatischen Händler CryptoBilis (mit Vertrieb in Malaysia, Indonesien und auf den Philippinen) verkauft worden. Ledger forderte den Händler daraufhin auf, sämtliche Verkäufe und Lieferungen auszusetzen;
Am 10. Oktober bestätigte Ledger, dass mindestens ein Gerät ein illegales Hardwareimplantat enthielt. Das Unternehmen begann, die betroffenen Nutzer einzeln zu kontaktieren, und arbeitete mit den Strafverfolgungsbehörden zusammen, um die Herkunft zurückzuverfolgen;
Am 11. Oktober erklärte Ledger in einer Aktualisierung, dass „nur eine begrenzte Zahl von Geräten betroffen“ sei. Alle bestätigten Fälle beträfen weiterhin ausschließlich den Vertriebskanal von CryptoBilis; Direktverkäufe über die Website und Ledgers eigene Systeme seien nicht betroffen. CryptoBilis stellte seinerseits vorsorglich den Verkauf des gesamten Bestands an Hardware-Wallets ein – und ging damit weiter als von Ledger ursprünglich gefordert.
Bei den Schadenssummen gehen die Angaben der beiden Seiten deutlich auseinander: Die On-Chain-Forscher Specter, Bitquery und Yfarmx schätzen den Diebstahl auf 86 bis 93,4 Millionen US-Dollar. Betroffen seien mehr als 300 Wallets mit $BTC , $ETH und $TRX . Ledger selbst bestätigte keine konkrete Summe und betonte lediglich, der Umfang sei „begrenzt“. Berichten zufolge wurden in Zusammenarbeit mit Tether und Strafverfolgungsbehörden bereits mehr als 10 Millionen US-Dollar davon eingefroren.
Einige Details geben Anlass zur Sorge: Schon am 16. September hatte ein Forscher ein Spionageimplantat vorgeführt, das in eine originale Platine eingebaut war. Manipulierte Geräte gelangten sogar zum halben Preis über graue Vertriebskanäle in Umlauf. Auch Mark Karpelès entdeckte in Malaysia hinter dem Display eines Nano X zusätzliche elektronische Bauteile. Die problematischen Geräte waren also schon seit einiger Zeit im Umlauf.
Checkliste zur Selbstprüfung für Nutzer von Hardware-Wallets:
Erstens: Geräte, die über CryptoBilis gekauft und noch nicht eingerichtet wurden, nicht einschalten und keine Wiederherstellungsphrase generieren;
Zweitens: Wer das Gerät bereits aktiviert hat, sollte seine Vermögenswerte so schnell wie möglich auf ein neues Gerät übertragen, das direkt über die offizielle Website gekauft wurde, und eine völlig neue Wiederherstellungsphrase verwenden;
Drittens: Jede angeblich „offizielle“ Aufforderung, eine 24-Wörter-Wiederherstellungsphrase preiszugeben, ist Betrug. Ledger wird niemals danach fragen;
Viertens: Bei „neuen“ Geräten, deren Preis deutlich unter dem offiziellen Website-Preis liegt, sollte man die Finger davon lassen.
Dieser Vorfall ist eine Warnung an die gesamte Branche: Wenn Angreifer die Sicherheitskomponente umgehen und bereits vor der Auslieferung direkt am Gerät Hand anlegen, ist selbst das beste Gerätedesign nutzlos. Am Ende entscheidet die Transparenz der Lieferkette über die Sicherheit.
#LedgerBestätigtNichtAutorisiertesHardwareimplantatInNutzergerät
#Ledger #硬件安全
Dies stellt keine Anlageberatung dar. DYOR – der Handel birgt Risiken.
Angriffe auf die Lieferkette schreiben den Sicherheitsmythos der Hardware-Wallets neu. Am 10. Oktober bestätigte Ledger offiziell, dass im Gerät eines betroffenen Nutzers ein „nicht autorisiertes Hardwareimplantat“ entdeckt wurde. Damit räumte Ledger erstmals eine Manipulation auf physischer Ebene ein – zugleich ist dies der erste materielle Beweis im aktuellen Fall gestohlener Gelder von Nutzern in Südostasien.
Der zeitliche Ablauf:
Am 9. Oktober kündigte Ledger eine Untersuchung zu den gestohlenen Geldern mehrerer Nutzer in Südostasien an. Alle betroffenen Geräte waren über den südostasiatischen Händler CryptoBilis (mit Vertrieb in Malaysia, Indonesien und auf den Philippinen) verkauft worden. Ledger forderte den Händler daraufhin auf, sämtliche Verkäufe und Lieferungen auszusetzen;
Am 10. Oktober bestätigte Ledger, dass mindestens ein Gerät ein illegales Hardwareimplantat enthielt. Das Unternehmen begann, die betroffenen Nutzer einzeln zu kontaktieren, und arbeitete mit den Strafverfolgungsbehörden zusammen, um die Herkunft zurückzuverfolgen;
Am 11. Oktober erklärte Ledger in einer Aktualisierung, dass „nur eine begrenzte Zahl von Geräten betroffen“ sei. Alle bestätigten Fälle beträfen weiterhin ausschließlich den Vertriebskanal von CryptoBilis; Direktverkäufe über die Website und Ledgers eigene Systeme seien nicht betroffen. CryptoBilis stellte seinerseits vorsorglich den Verkauf des gesamten Bestands an Hardware-Wallets ein – und ging damit weiter als von Ledger ursprünglich gefordert.
Bei den Schadenssummen gehen die Angaben der beiden Seiten deutlich auseinander: Die On-Chain-Forscher Specter, Bitquery und Yfarmx schätzen den Diebstahl auf 86 bis 93,4 Millionen US-Dollar. Betroffen seien mehr als 300 Wallets mit $BTC , $ETH und $TRX . Ledger selbst bestätigte keine konkrete Summe und betonte lediglich, der Umfang sei „begrenzt“. Berichten zufolge wurden in Zusammenarbeit mit Tether und Strafverfolgungsbehörden bereits mehr als 10 Millionen US-Dollar davon eingefroren.
Einige Details geben Anlass zur Sorge: Schon am 16. September hatte ein Forscher ein Spionageimplantat vorgeführt, das in eine originale Platine eingebaut war. Manipulierte Geräte gelangten sogar zum halben Preis über graue Vertriebskanäle in Umlauf. Auch Mark Karpelès entdeckte in Malaysia hinter dem Display eines Nano X zusätzliche elektronische Bauteile. Die problematischen Geräte waren also schon seit einiger Zeit im Umlauf.
Checkliste zur Selbstprüfung für Nutzer von Hardware-Wallets:
Erstens: Geräte, die über CryptoBilis gekauft und noch nicht eingerichtet wurden, nicht einschalten und keine Wiederherstellungsphrase generieren;
Zweitens: Wer das Gerät bereits aktiviert hat, sollte seine Vermögenswerte so schnell wie möglich auf ein neues Gerät übertragen, das direkt über die offizielle Website gekauft wurde, und eine völlig neue Wiederherstellungsphrase verwenden;
Drittens: Jede angeblich „offizielle“ Aufforderung, eine 24-Wörter-Wiederherstellungsphrase preiszugeben, ist Betrug. Ledger wird niemals danach fragen;
Viertens: Bei „neuen“ Geräten, deren Preis deutlich unter dem offiziellen Website-Preis liegt, sollte man die Finger davon lassen.
Dieser Vorfall ist eine Warnung an die gesamte Branche: Wenn Angreifer die Sicherheitskomponente umgehen und bereits vor der Auslieferung direkt am Gerät Hand anlegen, ist selbst das beste Gerätedesign nutzlos. Am Ende entscheidet die Transparenz der Lieferkette über die Sicherheit.
#LedgerBestätigtNichtAutorisiertesHardwareimplantatInNutzergerät
#Ledger #硬件安全
Dies stellt keine Anlageberatung dar. DYOR – der Handel birgt Risiken.