Vom Verkaufsstopp bei einem Händler bis zum Verkaufsstopp an sieben Standorten: Wo sind Ledgers 86 Millionen US-Dollar geblieben?
Am 9. Oktober wies Ledger den südostasiatischen Händler CryptoBilis an, den Verkauf einzustellen. Schätzungen auf der Blockchain zufolge stehen damit Diebstähle von über 86 Millionen US-Dollar in Verbindung (ETH ca. 42 Mio. / BTC 17,6 Mio. / USDT 16,5 Mio.; offiziell nicht bestätigt).
Am 10. Oktober wurde bestätigt, dass Geräte mit nicht autorisierten Hardware-Komponenten manipuliert worden waren.
Heute wurde die Maßnahme ausgeweitet: Die Händler in sieben Regionen Südostasiens und Hongkongs müssen den Verkauf einstellen und die Geräte aus dem Angebot nehmen. Am selben Tag verhängte auch der europäische Einzelhandelsriese
MediaMarktSaturn einen europaweiten Verkaufsstopp – bei Geräten deutscher Kunden wurden ungewöhnliche Kabel und Mobilfunkmodule entdeckt.
Die technische Analyse bringt den entscheidenden Punkt ans Licht: Das Implantat war im Gerätegehäuse versteckt und las die Bildschirmanzeige aus. Bei der Einrichtung entschlüsselte es die 24 Wiederherstellungswörter und übertrug sie über LTE mithilfe einer integrierten eSIM nach außen. Es greift weder den Sicherheitschip an noch verändert es die Firmware oder die Signatur. Alle Echtheitsprüfungen werden bestanden.
Einfach gesagt: Der Angreifer hat den Tresor nicht aufgebrochen, sondern stand hinter dir und hat dir beim Abschreiben deines Passworts „über die Schulter geschaut“ – und hatte gleich eine SIM-Karte dabei, um die Daten in Echtzeit zu versenden. Deshalb lautet die offizielle Anweisung: Gerät wechseln und eine völlig neue Wiederherstellungsphrase verwenden.
Verloren gegangen ist diesmal nicht nur Geld, sondern auch die branchenweite Grundannahme „autorisierter Händler = vertrauenswürdig“. CryptoBilis war offiziell autorisiert – und trotzdem konnte ein Gerät dort manipuliert werden. Das Sicherheitsmodell von Hardware-Wallets zeigt: Der Weg des Geräts vom Werk bis zu dir ist die größte Angriffsfläche. Das Vertrauensmodell entwickelt sich von „ein echtes Gerät kaufen“ hin zu „eine saubere Lieferkette erhalten“. Eine lückenlose Maschinenprüfung jedes einzelnen Geräts dürfte zum Branchenstandard werden. Auch Trezor und OneKey haben die Zusammenarbeit mit diesem Händler beendet.
Was zu tun ist:
① Gerät innerhalb der letzten 90 Tage bei CryptoBilis gekauft? Wenn noch nicht eingerichtet, nicht einschalten. Wenn bereits eingerichtet, Vermögenswerte sofort übertragen und eine völlig neue Wiederherstellungsphrase erstellen.
② Nur direkt auf der offiziellen Website kaufen. Aber denk daran: Eine Echtheitsprüfung schützt nicht vor Implantaten, die den Bildschirminhalt auslesen.
③ Der offizielle Support wird niemals telefonisch nach deinen 24 Wiederherstellungswörtern fragen. Gefälschte Support-Mails, Websites und Briefe sind gerade überall im Umlauf.
④ Große Vermögenswerte mit einer Multisignatur-Wallet absichern. Die Lehre aus dem Ausfall eines einzelnen Geräts als einziger Fehlerquelle ist 86 Millionen US-Dollar wert.
Risikohinweis: Die 86 Millionen US-Dollar sind eine Schätzung Dritter und wurden offiziell nicht bestätigt; der Ort der Implantierung ist noch nicht ermittelt; bei den auffälligen Geräten in Europa gibt es bislang keine finanziellen Verluste; ein Rückruf- oder Entschädigungsplan liegt nicht vor. Bitte orientiere dich an den offiziellen Kanälen von Ledger.
#Ledger要求东南亚及香港经销商暂停销售
Am 9. Oktober wies Ledger den südostasiatischen Händler CryptoBilis an, den Verkauf einzustellen. Schätzungen auf der Blockchain zufolge stehen damit Diebstähle von über 86 Millionen US-Dollar in Verbindung (ETH ca. 42 Mio. / BTC 17,6 Mio. / USDT 16,5 Mio.; offiziell nicht bestätigt).
Am 10. Oktober wurde bestätigt, dass Geräte mit nicht autorisierten Hardware-Komponenten manipuliert worden waren.
Heute wurde die Maßnahme ausgeweitet: Die Händler in sieben Regionen Südostasiens und Hongkongs müssen den Verkauf einstellen und die Geräte aus dem Angebot nehmen. Am selben Tag verhängte auch der europäische Einzelhandelsriese
MediaMarktSaturn einen europaweiten Verkaufsstopp – bei Geräten deutscher Kunden wurden ungewöhnliche Kabel und Mobilfunkmodule entdeckt.
Die technische Analyse bringt den entscheidenden Punkt ans Licht: Das Implantat war im Gerätegehäuse versteckt und las die Bildschirmanzeige aus. Bei der Einrichtung entschlüsselte es die 24 Wiederherstellungswörter und übertrug sie über LTE mithilfe einer integrierten eSIM nach außen. Es greift weder den Sicherheitschip an noch verändert es die Firmware oder die Signatur. Alle Echtheitsprüfungen werden bestanden.
Einfach gesagt: Der Angreifer hat den Tresor nicht aufgebrochen, sondern stand hinter dir und hat dir beim Abschreiben deines Passworts „über die Schulter geschaut“ – und hatte gleich eine SIM-Karte dabei, um die Daten in Echtzeit zu versenden. Deshalb lautet die offizielle Anweisung: Gerät wechseln und eine völlig neue Wiederherstellungsphrase verwenden.
Verloren gegangen ist diesmal nicht nur Geld, sondern auch die branchenweite Grundannahme „autorisierter Händler = vertrauenswürdig“. CryptoBilis war offiziell autorisiert – und trotzdem konnte ein Gerät dort manipuliert werden. Das Sicherheitsmodell von Hardware-Wallets zeigt: Der Weg des Geräts vom Werk bis zu dir ist die größte Angriffsfläche. Das Vertrauensmodell entwickelt sich von „ein echtes Gerät kaufen“ hin zu „eine saubere Lieferkette erhalten“. Eine lückenlose Maschinenprüfung jedes einzelnen Geräts dürfte zum Branchenstandard werden. Auch Trezor und OneKey haben die Zusammenarbeit mit diesem Händler beendet.
Was zu tun ist:
① Gerät innerhalb der letzten 90 Tage bei CryptoBilis gekauft? Wenn noch nicht eingerichtet, nicht einschalten. Wenn bereits eingerichtet, Vermögenswerte sofort übertragen und eine völlig neue Wiederherstellungsphrase erstellen.
② Nur direkt auf der offiziellen Website kaufen. Aber denk daran: Eine Echtheitsprüfung schützt nicht vor Implantaten, die den Bildschirminhalt auslesen.
③ Der offizielle Support wird niemals telefonisch nach deinen 24 Wiederherstellungswörtern fragen. Gefälschte Support-Mails, Websites und Briefe sind gerade überall im Umlauf.
④ Große Vermögenswerte mit einer Multisignatur-Wallet absichern. Die Lehre aus dem Ausfall eines einzelnen Geräts als einziger Fehlerquelle ist 86 Millionen US-Dollar wert.
Risikohinweis: Die 86 Millionen US-Dollar sind eine Schätzung Dritter und wurden offiziell nicht bestätigt; der Ort der Implantierung ist noch nicht ermittelt; bei den auffälligen Geräten in Europa gibt es bislang keine finanziellen Verluste; ein Rückruf- oder Entschädigungsplan liegt nicht vor. Bitte orientiere dich an den offiziellen Kanälen von Ledger.
#Ledger要求东南亚及香港经销商暂停销售