BitcoinWorldLedger: LTE-Implantate in CryptoBilis-Wallets stahlen Seed-Phrasen

Laut Ledger haben nicht autorisierte Implantate, die in Hardware-Wallets des südostasiatischen Wiederverkäufers CryptoBilis versteckt waren, unbemerkt die 24 Wörter umfassenden Wiederherstellungsphrasen der Nutzer abgegriffen und über Mobilfunknetze nach außen übermittelt. Die Entdeckung führte zur Einstellung des Wiederverkaufs und dazu, dass zwei konkurrierende Hersteller ihre Vertriebsvereinbarungen aufkündigten. Die Enthüllung erfolgte durch einen Beitrag, den Ledger Donjon, das Sicherheitforschungsteam des Unternehmens, am Dienstag auf X veröffentlichte, und wurde von Cointelegraph gemeldet.

Ledger sagt, dass sich die Manipulation im Gehäuse der Wallet befand, die Seed-Phrase während der Ersteinrichtung vom Bildschirm auslas und sie über LTE mithilfe einer eingebetteten eSIM exfiltrierte. Die Komponente griff weder den Secure Chip noch die Systemsoftware oder die Transaktionssignierung an, und die bislang bestätigten Verluste gehen auf Geräte zurück, die über CryptoBilis verkauft wurden.

Das technische Bild, so wie Ledger es beschreibt, ist eng gefasst, aber wirksam: Ein Mikrocontroller entschlüsselt die Recovery-Phrase in dem Moment, in dem eine neue Wallet sie zur Sicherung anzeigt, dann sendet ein Mobilfunkmodul mit eigener eSIM die Wörter vom Gerät — ohne dass in den Signaturpfad eingegriffen werden muss. Ledger sagt, dass es mehr als 8 Millionen Hardware-Wallets verkauft hat, Geräte, die private Schlüssel offline halten und Transaktionen auf dem Bildschirm bestätigen sollen.

CryptoBilis war in Indonesien, Malaysia und auf den Philippinen als autorisierter Wiederverkäufer gelistet. Das Problem wurde am 9. Okt. öffentlich, als Berichte über Krypto-Verluste im Zusammenhang mit über den Wiederverkäufer gekauften Ledger-Geräten die Runde machten. Ledger bestätigte am 10. Okt. laut PANews, dass das Gerät eines betroffenen Nutzers eine unautorisierte Komponente enthielt.

Wichtige Fakten

• Ledger Donjon identifizierte eine Manipulation, die die auf dem Bildschirm angezeigte 24 Wörter umfassende Recovery-Phrase entschlüsselt und sie über LTE durch eine eingebettete SIM überträgt, berichtet Cointelegraph.

• Ledger bestätigte den Einsatz der Manipulation in einem Gerät eines Nutzers am 10. Okt.; die damit verbundenen Verluste wurden erstmals am 9. Okt. öffentlich bekannt, berichtete PANews.

• Schätzungen von Drittparteien gehen auseinander — Specter setzte die Summe auf über 86 Millionen US-Dollar, Yfarmx erhöhte die eigene Schätzung auf 103 Millionen US-Dollar — und Ledger hat keine Gesamtsumme bestätigt.

• CryptoBilis setzte den Verkauf und Versand aller Hardware-Wallet-Marken in Malaysia, auf den Philippinen und in Indonesien aus und schloss seine physischen Geschäfte vorübergehend.

• Trezor entfernte CryptoBilis aus seinem autorisierten Wiederverkäufernetzwerk, und OneKey kündigte die Wiederverkäufervereinbarung und bot kostenlose Ersatzgeräte für zwischen dem 1. März und dem 12. Okt. 2026 bei CryptoBilis gekaufte Geräte an; Anträge sind bis zum 31. Dez. möglich.

Die beiden Berichte stimmen über den Mechanismus überein, nicht über das Geld

Cointelegraph schildert die Details auf Geräteebene — den Mikrocontroller, die eSIM, den LTE-Kanal — und betont, dass weder der Sicherheitschip noch die Transaktionsfreigabe verändert wurden. Der Bericht von PANews über denselben Ledger-Post entspricht dieser Darstellung nahezu Punkt für Punkt und ergänzt, dass sich die Komponente im Gehäuse befindet und die Gesamtzahl der betroffenen Nutzer weiterhin unbestätigt ist.

Der Unterschied zwischen den beiden Berichten liegt bei der Schadensschätzung. Cointelegraph nennt Specters Angabe von mehr als 86 Millionen US-Dollar und Yfarmx’ revidierte Schätzung von 103 Millionen US-Dollar und merkt zugleich an, dass Ledger keine Gesamtsumme bestätigt hat; PANews stellt fest, dass sich alle bestätigten Vermögensverluste auf Geräte beziehen, die über CryptoBilis verkauft wurden, ohne einen Dollarbetrag zu nennen. Die Lücke zwischen den beiden Schätzungen von Drittparteien ist selbst das deutlichste Signal dafür, dass die Zahl noch zusammengestellt wird.

Der Vorfall könnte sich nicht auf einen einzigen Vertriebspartner beschränken. Ledger sagt, dass es Berichte überprüft, die außerhalb von CryptoBilis liegen, und PANews berichtet über denselben erweiterten Umfang und beschreibt eine Untersuchung ähnlicher Manipulationsberichte bei anderen Wiederverkäufern und in anderen Regionen. Cointelegraph ergänzt ein konkretes Beispiel: Ein X-Nutzer namens Johannes sagte, er habe zwei Ledger-Geräte in zwei verschiedenen MediaMarkt-Filialen in Europa gekauft und in beiden Manipulationen gefunden. Ledger hat nicht bestätigt, ob diese europäischen Geräte mit der CryptoBilis-Charge zusammenhängen.

Warum es wichtig ist

Self-Custody beruht auf einer einzigen Prämisse — dass die Recovery-Phrase das Gerät nie verlässt, außer wenn der Besitzer sie aufschreibt. Diese Manipulation bricht keine Kryptografie; sie greift den Moment der Anzeige an, was bedeutet, dass ein kompromittiertes Gerät genau wie ein echtes aussehen und funktionieren kann, bis der Seed bereits gesendet wurde. Das ist ein schwerer zu erkennendes Problem als ein Firmware-Fehler, weil im normalen Betrieb der Wallet nichts auf einen Fehler hinweist.

Die Folgen treffen nicht nur den Hersteller, sondern auch die Vertriebsebene. Zwei konkurrierende Wallet-Marken haben CryptoBilis ausgeschlossen, obwohl sie erklärten, keine Hinweise darauf gefunden zu haben, dass ihre eigenen Produkte betroffen seien — ein Zeichen dafür, dass für Käufer inzwischen nicht nur Geräte, sondern auch Wiederverkäufer Teil der Vertrauensrechnung sind. CryptoBilis erklärte, man überprüfe die eigenen Prozesse mit unabhängigen Spezialisten.

Ledger weist jeden, der Manipulationen vermutet, an, sich an das Support-Team zu wenden, eine Anzeige bei der Polizei zu erstatten und einen Prüfleitfaden zu konsultieren. Dieser Leitfaden enthält eine praktische Warnung: Das Öffnen eines Geräts kann es beschädigen, daher werden Nutzer angewiesen, zunächst ihre Recovery-Phrasen zu sichern.

Worauf zu achten ist

Zwei offene Fragen werden die nächste Phase prägen. Ledger hat noch keine verifizierte Zahl der betroffenen Nutzer oder eine Gesamtsumme des Verlusts veröffentlicht und untersucht weiterhin, ob die Manipulationen auch über andere Wiederverkäufer als CryptoBilis aufgetaucht sind. Auf Seiten des Wiederverkäufers läuft das Ersatzfenster von OneKey für zwischen dem 1. März und dem 12. Okt. bei CryptoBilis gekaufte Geräte bis zum 31. Dez. und gibt betroffenen Käufern damit eine feste Frist zum Handeln.

Häufig gestellte Fragen

Was genau hat die Manipulation in den CryptoBilis-Wallets gemacht?

Laut Ledger befand sich die Komponente im Gerätegehäuse, las ab, was auf dem Bildschirm angezeigt wurde, entschlüsselte die 24 Wörter umfassende Recovery-Phrase, die während der Ersteinrichtung angezeigt wurde, und sendete sie über LTE mithilfe einer eingebauten eSIM aus.

Hat die Manipulation den Sicherheitschip der Wallet beschädigt?

Nein. Sowohl Ledger als auch der Bericht von PANews über die Stellungnahme des Unternehmens sagen, dass die Komponente den Secure Chip, das Wallet-System oder den Prozess der Transaktionssignierung nicht verändert hat.

Welche Unternehmen haben die Zusammenarbeit mit CryptoBilis beendet?

Trezor entfernte CryptoBilis aus seinem autorisierten Wiederverkäufernetzwerk, und OneKey kündigte die Autorisierung des Wiederverkäufers, wie Cointelegraph berichtet. CryptoBilis setzte außerdem den Verkauf und Versand aller Hardware-Wallet-Marken in drei südostasiatischen Märkten aus.

Wie hoch waren die Verluste durch den Vorfall?

Schätzungen von Drittparteien unterscheiden sich: Der Blockchain-Ermittler Specter setzte die potenziellen Verluste auf über 86 Millionen US-Dollar, und Yfarmx erhöhte seine eigene Schätzung auf 103 Millionen US-Dollar, doch Ledger hat keine Gesamtsumme bestätigt.

Wurden auch außerhalb von CryptoBilis verkaufte Wallets betroffen?

Ledger prüft Berichte, die über diesen Wiederverkäufer hinausgehen, und ein X-Nutzer namens Johannes sagte, er habe in zwei Ledger-Geräten, die er in zwei verschiedenen MediaMarkt-Filialen in Europa gekauft habe, Manipulationen gefunden. Ledger hat keinen Zusammenhang zwischen den europäischen Berichten und der CryptoBilis-Charge bestätigt.

Dieser Beitrag Ledger: LTE-Manipulationen in CryptoBilis-Wallets stahlen Seed-Phrasen erschien erstmals auf BitcoinWorld.