Am 13. Oktober änderte sich die Natur der Sache.
Zunächst gab es ein Problem bei einem südostasiatischen Händler namens CryptoBilis.
Jetzt fordert Ledger alle Händler und Distributoren in sieben Märkten auf, den Verkauf einzustellen und die Produkte aus dem Sortiment zu nehmen:
Indonesien, Singapur, Thailand, die Philippinen, Vietnam, Malaysia und Hongkong.
Ledger Donjon (das offizielle Sicherheitsteam des Unternehmens) bestätigte in einem Update vom 13. Oktober das genaue Modell des Implantats: ST STM32G431KBU6 (ARM-Cortex-M4-Prozessor, 128 KB Flash-Speicher) + LTE-Modul + eSIM. Es ist im Inneren des Gerätegehäuses versteckt und fängt Daten ab, während das Gerät bei der Einrichtung die Wiederherstellungsphrase anzeigt. Diese werden dann in Echtzeit über das 4G-Netz übertragen.
Die Genuine Check-Funktion (Ledgers offizielle Echtheitsprüfung) kann dieses Implantat nicht erkennen, da sie nur das Sicherheitselement überprüft. Das Implantat hat das Sicherheitselement gar nicht berührt – es „lauscht“ lediglich daneben.
Der Schaden wird derzeit auf 92,9 Millionen US-Dollar geschätzt und betrifft 311 Wallets.
Noch aufschlussreicher ist jedoch die Lage in Europa:
Mark Karpelès (ehemaliger CEO von Mt. Gox) entdeckte in einem Ledger Flex, den er am Flughafen Singapur gekauft hatte, ein überarbeitetes Implantatdesign. Ein Nutzer aus Deutschland berichtete, er habe in zwei verschiedenen MediaMarkt-Filialen jeweils ein Ledger-Gerät gekauft – und in beiden sei ein Implantat gewesen. MediaMarktSaturn kündigte daraufhin an, Ledger-Produkte weltweit aus dem Sortiment zu nehmen.
Ledgers offizielle Stellungnahme: Die bislang bestätigten Fälle gestohlener Vermögenswerte betreffen weiterhin ausschließlich Geräte, die bei CryptoBilis gekauft wurden. Es gebe bisher keine Belege dafür, dass Geräte in anderen Regionen zu Vermögensverlusten geführt hätten. Berichte aus Europa würden jedoch untersucht.
Trezor und OneKey haben die Geschäftsbeziehungen zu CryptoBilis beendet.
Die Frage lautet nun nicht mehr: „Gab es ein Problem bei CryptoBilis?“, sondern: „An welcher Stelle der Lieferkette wurde das Implantat eingeschleust, und wie weit reicht dieser Teil der Lieferkette?“
Wenn du in den vergangenen 120 Tagen eine Hardware-Wallet über einen beliebigen Kanal in Südostasien oder Hongkong gekauft hast, der nicht der offizielle Ledger-Shop war:
Noch nicht eingerichtet – schalte das Gerät nicht ein.
Bereits verwendet – übertrage deine Vermögenswerte auf ein neues Gerät, das mit einer völlig neuen Wiederherstellungsphrase eingerichtet wurde. Behandle deine bisherige Wiederherstellungsphrase als „kompromittiert“.
$BTC
#Ledger
#ledger要求东南亚及香港经销商暂停销售
Zunächst gab es ein Problem bei einem südostasiatischen Händler namens CryptoBilis.
Jetzt fordert Ledger alle Händler und Distributoren in sieben Märkten auf, den Verkauf einzustellen und die Produkte aus dem Sortiment zu nehmen:
Indonesien, Singapur, Thailand, die Philippinen, Vietnam, Malaysia und Hongkong.
Ledger Donjon (das offizielle Sicherheitsteam des Unternehmens) bestätigte in einem Update vom 13. Oktober das genaue Modell des Implantats: ST STM32G431KBU6 (ARM-Cortex-M4-Prozessor, 128 KB Flash-Speicher) + LTE-Modul + eSIM. Es ist im Inneren des Gerätegehäuses versteckt und fängt Daten ab, während das Gerät bei der Einrichtung die Wiederherstellungsphrase anzeigt. Diese werden dann in Echtzeit über das 4G-Netz übertragen.
Die Genuine Check-Funktion (Ledgers offizielle Echtheitsprüfung) kann dieses Implantat nicht erkennen, da sie nur das Sicherheitselement überprüft. Das Implantat hat das Sicherheitselement gar nicht berührt – es „lauscht“ lediglich daneben.
Der Schaden wird derzeit auf 92,9 Millionen US-Dollar geschätzt und betrifft 311 Wallets.
Noch aufschlussreicher ist jedoch die Lage in Europa:
Mark Karpelès (ehemaliger CEO von Mt. Gox) entdeckte in einem Ledger Flex, den er am Flughafen Singapur gekauft hatte, ein überarbeitetes Implantatdesign. Ein Nutzer aus Deutschland berichtete, er habe in zwei verschiedenen MediaMarkt-Filialen jeweils ein Ledger-Gerät gekauft – und in beiden sei ein Implantat gewesen. MediaMarktSaturn kündigte daraufhin an, Ledger-Produkte weltweit aus dem Sortiment zu nehmen.
Ledgers offizielle Stellungnahme: Die bislang bestätigten Fälle gestohlener Vermögenswerte betreffen weiterhin ausschließlich Geräte, die bei CryptoBilis gekauft wurden. Es gebe bisher keine Belege dafür, dass Geräte in anderen Regionen zu Vermögensverlusten geführt hätten. Berichte aus Europa würden jedoch untersucht.
Trezor und OneKey haben die Geschäftsbeziehungen zu CryptoBilis beendet.
Die Frage lautet nun nicht mehr: „Gab es ein Problem bei CryptoBilis?“, sondern: „An welcher Stelle der Lieferkette wurde das Implantat eingeschleust, und wie weit reicht dieser Teil der Lieferkette?“
Wenn du in den vergangenen 120 Tagen eine Hardware-Wallet über einen beliebigen Kanal in Südostasien oder Hongkong gekauft hast, der nicht der offizielle Ledger-Shop war:
Noch nicht eingerichtet – schalte das Gerät nicht ein.
Bereits verwendet – übertrage deine Vermögenswerte auf ein neues Gerät, das mit einer völlig neuen Wiederherstellungsphrase eingerichtet wurde. Behandle deine bisherige Wiederherstellungsphrase als „kompromittiert“.
$BTC
#Ledger
#ledger要求东南亚及香港经销商暂停销售