Hinter acht Millionen verkauften Geräten steckt ein Chip, den jemand in eine Hardware-Wallet eingebaut hat und der selbst SMS verschicken kann 🦖
🚨 行情变了群里说
Das Sicherheitsteam Donjon von Ledger bestätigte am Dienstag, dass einige Signiergeräte, die über den südostasiatischen Händler CryptoBilis verkauft wurden, ein nicht autorisiertes Hardware-Modul enthielten. Es hatte es gezielt auf den Gerätebildschirm abgesehen: Sobald die Wiederherstellungsphrase angezeigt wurde, las es alle 24 Wörter aus und sendete die Daten über eine integrierte eSIM in Echtzeit per LTE weiter ⚠️
Das Absurde an diesem Angriff: Er greift weder den Sicherheitschip an noch verändert er das System oder die Transaktionssignatur. In deiner Hand scheint das Gerät völlig normal zu funktionieren – doch die Coins sind längst weg.
Die Fakten: Das Implantat ist eine eigenständige Komponente mit eigener Stromversorgung, die ausschließlich den Bildschirm ausliest. Bislang hat das Unternehmen offiziell ein betroffenes Gerät bestätigt. Der Blockchain-Ermittler Specter hat mutmaßlich gestohlene Beträge von mehr als 86 Millionen US-Dollar nachverfolgt. Ein anderes Sicherheitsmedium schätzt die Summe sogar auf 103 Millionen US-Dollar – verteilt auf Ethereum, Tron und Bitcoin. Ledger selbst sagt, in zehn Jahren mehr als acht Millionen Hardware-Wallets verkauft zu haben 📉
Der zeitliche Ablauf ist kurz: Am Freitag, dem 9. Oktober, meldete ein Nutzer den Verlust. Am Samstag bestätigte das Unternehmen, dass tatsächlich ein Gerät manipuliert worden war. Erst am Dienstag wurde der Angriffsmechanismus veröffentlicht. Inzwischen hat die europäische Handelskette MediaMarkt Ledger-Produkte aus dem Sortiment genommen, der Händler CryptoBilis hat den Verkauf vollständig eingestellt, und selbst Trezor und OneKey haben sich umgehend davon distanziert.
Meine Einschätzung: Das war kein Software-Hack, sondern ein Angriff auf die Lieferkette. Das größte Verkaufsargument einer Hardware-Wallet ist, dass der private Schlüssel niemals mit dem Internet verbunden wird. Doch wenn das Gerät schon manipuliert wurde, bevor es bei dir ankommt, ist dieses Versprechen wertlos. Das erklärt auch, warum immer mehr Institutionen ihr Geld lieber Verwahrdiensten anvertrauen. Vielleicht kannst du deinen privaten Schlüssel selbst schützen – aber nicht unbedingt den Versandweg.
Beobachten sollte man Folgendes: White-Hat-Hacker haben bereits darauf hingewiesen, dass sich die Kosten solcher Angriffe deutlich erhöhen lassen, wenn Manipulationserkennung ab Werk und klare Verantwortlichkeit entlang der Lieferkette konsequent umgesetzt werden. Worüber man sich also wirklich Sorgen machen sollte, ist nicht ein einzelnes Unternehmen, sondern jeder Hardware-Vertriebskanal ohne durchgängige Verantwortlichkeit.
Schreibt in die Kommentare: Würdet ihr eure Wiederherstellungsphrase einer Hardware-Wallet heute noch direkt auf dem Gerät anzeigen lassen?
Ich halte euch täglich über wichtige Entwicklungen rund um die Kryptosicherheit auf dem Laufenden – nicht nur darüber, was passiert, sondern auch über die Hintergründe und Chancen 👀🚀
🚨 行情变了群里说
Das Sicherheitsteam Donjon von Ledger bestätigte am Dienstag, dass einige Signiergeräte, die über den südostasiatischen Händler CryptoBilis verkauft wurden, ein nicht autorisiertes Hardware-Modul enthielten. Es hatte es gezielt auf den Gerätebildschirm abgesehen: Sobald die Wiederherstellungsphrase angezeigt wurde, las es alle 24 Wörter aus und sendete die Daten über eine integrierte eSIM in Echtzeit per LTE weiter ⚠️
Das Absurde an diesem Angriff: Er greift weder den Sicherheitschip an noch verändert er das System oder die Transaktionssignatur. In deiner Hand scheint das Gerät völlig normal zu funktionieren – doch die Coins sind längst weg.
Die Fakten: Das Implantat ist eine eigenständige Komponente mit eigener Stromversorgung, die ausschließlich den Bildschirm ausliest. Bislang hat das Unternehmen offiziell ein betroffenes Gerät bestätigt. Der Blockchain-Ermittler Specter hat mutmaßlich gestohlene Beträge von mehr als 86 Millionen US-Dollar nachverfolgt. Ein anderes Sicherheitsmedium schätzt die Summe sogar auf 103 Millionen US-Dollar – verteilt auf Ethereum, Tron und Bitcoin. Ledger selbst sagt, in zehn Jahren mehr als acht Millionen Hardware-Wallets verkauft zu haben 📉
Der zeitliche Ablauf ist kurz: Am Freitag, dem 9. Oktober, meldete ein Nutzer den Verlust. Am Samstag bestätigte das Unternehmen, dass tatsächlich ein Gerät manipuliert worden war. Erst am Dienstag wurde der Angriffsmechanismus veröffentlicht. Inzwischen hat die europäische Handelskette MediaMarkt Ledger-Produkte aus dem Sortiment genommen, der Händler CryptoBilis hat den Verkauf vollständig eingestellt, und selbst Trezor und OneKey haben sich umgehend davon distanziert.
Meine Einschätzung: Das war kein Software-Hack, sondern ein Angriff auf die Lieferkette. Das größte Verkaufsargument einer Hardware-Wallet ist, dass der private Schlüssel niemals mit dem Internet verbunden wird. Doch wenn das Gerät schon manipuliert wurde, bevor es bei dir ankommt, ist dieses Versprechen wertlos. Das erklärt auch, warum immer mehr Institutionen ihr Geld lieber Verwahrdiensten anvertrauen. Vielleicht kannst du deinen privaten Schlüssel selbst schützen – aber nicht unbedingt den Versandweg.
Beobachten sollte man Folgendes: White-Hat-Hacker haben bereits darauf hingewiesen, dass sich die Kosten solcher Angriffe deutlich erhöhen lassen, wenn Manipulationserkennung ab Werk und klare Verantwortlichkeit entlang der Lieferkette konsequent umgesetzt werden. Worüber man sich also wirklich Sorgen machen sollte, ist nicht ein einzelnes Unternehmen, sondern jeder Hardware-Vertriebskanal ohne durchgängige Verantwortlichkeit.
Schreibt in die Kommentare: Würdet ihr eure Wiederherstellungsphrase einer Hardware-Wallet heute noch direkt auf dem Gerät anzeigen lassen?
Ich halte euch täglich über wichtige Entwicklungen rund um die Kryptosicherheit auf dem Laufenden – nicht nur darüber, was passiert, sondern auch über die Hintergründe und Chancen 👀🚀