Ledger bestätigt nicht autorisierte Hardwareimplantate in über Händler vertriebenen Geräten und setzt entsprechende Verkäufe aus
Der Sicherheitsvorfall in der Lieferkette des Herstellers von Hardware-Wallets für Kryptowährungen Ledger zieht weitere Kreise. Am 9. Oktober veröffentlichte der offizielle Ledger-Supportaccount einen Beitrag, in dem bestätigt wurde, dass Berichten über gestohlene Gelder von Nutzern nachgegangen wird, die ihre Geräte in Südostasien über den Händler CryptoBilis gekauft hatten. Der Händler wurde aufgefordert, den Verkauf und Versand sämtlicher Ledger-Geräte einzustellen. Am 10. Oktober bestätigte Ledger außerdem, dass mindestens ein über CryptoBilis verkauftes Gerät ein nicht autorisiertes Hardwareimplantat enthielt, das möglicherweise mit den jüngsten Verlusten von Nutzergeldern in Zusammenhang steht.
Zunächst zu den bestätigten Fakten. Erstens erklärte Ledger, dass bislang alle bestätigten Fälle im Zusammenhang mit den am 9. Oktober bekannt gewordenen Geldverlusten Produkte betreffen, die von CryptoBilis vertrieben wurden. Zweitens ist CryptoBilis in Indonesien, Malaysia und auf den Philippinen tätig, wird selbst im offiziellen Ledger-Händlerverzeichnis geführt und hat den Verkauf seines gesamten Hardware-Wallet-Bestands bis zum Abschluss der Untersuchung ausgesetzt. Drittens betonte Ledger, dass seine internen Systeme, Direktvertriebskanäle und Dienstleistungen nicht betroffen seien. Viertens schätzen unabhängige Blockchain-Forscher die Verluste auf 86 bis 93 Millionen US-Dollar. Betroffen seien mehr als 300 Wallets auf mehreren Blockchains, darunter Bitcoin, Ethereum und Tron. Dabei ist zu beachten, dass es sich bei der Schadenssumme um eine Schätzung Dritter handelt; Ledger hat keine offizielle Zahl bestätigt.
Betrachten wir nun die Hintergründe des Vorfalls. Es handelt sich um eine physische Manipulation im Vertrieb und nicht um einen Angriff auf die Gerätefirmware. Das bestimmt den Umfang des Risikos und die Verantwortungsgrenzen: Ledger beschränkt das Problem auf eine einzelne Händlercharge und weist zugleich darauf hin, dass das Vertriebsnetz ausschließlich über autorisierte Kanäle einkaufen und zurückgesendete Produkte keinesfalls wieder in den Verkauf bringen darf. Die Behauptung von Binance-Mitgründer Changpeng Zhao, die Angreifer hätten den Händler gekauft und ihn zur Unterzeichnung einer Vertraulichkeitsvereinbarung gezwungen, ist bislang nicht unabhängig überprüft und kann daher nur als Spekulation gelten. Ebenfalls klarzustellen ist, dass es für die im Internet verbreitete Behauptung, Händler in Südostasien und Hongkong hätten den Verkauf flächendeckend eingestellt, derzeit keine offizielle Grundlage gibt. Öffentlich bestätigt ist lediglich die Aussetzung des Verkaufs über die mit CryptoBilis verbundenen Kanäle. Im offiziellen Ledger-Verzeichnis sind für Hongkong weitere autorisierte Händler aufgeführt; ob auch sie betroffen sind, bleibt abzuwarten.
Die möglichen Auswirkungen auf den Kryptomarkt lassen sich auf drei Ebenen betrachten. Kurzfristig wird das Narrativ der sicheren Selbstverwahrung erschüttert. Nutzer, die nach dem Zusammenbruch von FTX im Jahr 2022 auf Hardware-Wallets umgestiegen sind, könnten die Kosten von Verwahrung und Selbstverwahrung neu abwägen. Mittelfristig dürfte die Nachfrage nach Audits der Händler-Lieferketten, manipulationssicheren Verpackungen und einer Überprüfung der Vertriebskanäle steigen; die Branche für Hardware-Wallets könnte daher ihre Prozesse verschärfen. Für die Sekundärmärkte wirken sich solche Sicherheitsvorfälle eher auf die Stimmung aus, als dass sie die Preisbildungslogik unmittelbar verändern.
Anmerkung der Redaktion: Physische Offline-Speicherung bedeutet nicht absolute Sicherheit. Im Juli dieses Jahres wurde eine Schwachstelle in der Seed-Generierungsfirmware von Coldcard dazu genutzt, schätzungsweise Bitcoin im Wert von 100 bis 130 Millionen US-Dollar zu stehlen. Zu den konkreten Maßnahmen für normale Nutzer zählen, den Kaufkanal zu überprüfen und Geräte aus zweifelhafter Quelle nicht zu initialisieren. Ledger empfiehlt Nutzern, die ihr Gerät bereits eingerichtet haben, ihre Vermögenswerte auf ein neues Gerät mit einer neuen Wiederherstellungsphrase zu übertragen. Außerdem sollten sie sich vor Betrugsversuchen in Acht nehmen, bei denen sich Anrufer oder Absender privater Nachrichten als offizielle Vertreter ausgeben und nach der Wiederherstellungsphrase fragen. Fakten und Spekulationen auseinanderzuhalten, ist der erste Schritt, um solche Vorfälle zu verstehen.
#Ledger要求东南亚及香港经销商暂停销售 #BTC #ETH #BNB
Der Sicherheitsvorfall in der Lieferkette des Herstellers von Hardware-Wallets für Kryptowährungen Ledger zieht weitere Kreise. Am 9. Oktober veröffentlichte der offizielle Ledger-Supportaccount einen Beitrag, in dem bestätigt wurde, dass Berichten über gestohlene Gelder von Nutzern nachgegangen wird, die ihre Geräte in Südostasien über den Händler CryptoBilis gekauft hatten. Der Händler wurde aufgefordert, den Verkauf und Versand sämtlicher Ledger-Geräte einzustellen. Am 10. Oktober bestätigte Ledger außerdem, dass mindestens ein über CryptoBilis verkauftes Gerät ein nicht autorisiertes Hardwareimplantat enthielt, das möglicherweise mit den jüngsten Verlusten von Nutzergeldern in Zusammenhang steht.
Zunächst zu den bestätigten Fakten. Erstens erklärte Ledger, dass bislang alle bestätigten Fälle im Zusammenhang mit den am 9. Oktober bekannt gewordenen Geldverlusten Produkte betreffen, die von CryptoBilis vertrieben wurden. Zweitens ist CryptoBilis in Indonesien, Malaysia und auf den Philippinen tätig, wird selbst im offiziellen Ledger-Händlerverzeichnis geführt und hat den Verkauf seines gesamten Hardware-Wallet-Bestands bis zum Abschluss der Untersuchung ausgesetzt. Drittens betonte Ledger, dass seine internen Systeme, Direktvertriebskanäle und Dienstleistungen nicht betroffen seien. Viertens schätzen unabhängige Blockchain-Forscher die Verluste auf 86 bis 93 Millionen US-Dollar. Betroffen seien mehr als 300 Wallets auf mehreren Blockchains, darunter Bitcoin, Ethereum und Tron. Dabei ist zu beachten, dass es sich bei der Schadenssumme um eine Schätzung Dritter handelt; Ledger hat keine offizielle Zahl bestätigt.
Betrachten wir nun die Hintergründe des Vorfalls. Es handelt sich um eine physische Manipulation im Vertrieb und nicht um einen Angriff auf die Gerätefirmware. Das bestimmt den Umfang des Risikos und die Verantwortungsgrenzen: Ledger beschränkt das Problem auf eine einzelne Händlercharge und weist zugleich darauf hin, dass das Vertriebsnetz ausschließlich über autorisierte Kanäle einkaufen und zurückgesendete Produkte keinesfalls wieder in den Verkauf bringen darf. Die Behauptung von Binance-Mitgründer Changpeng Zhao, die Angreifer hätten den Händler gekauft und ihn zur Unterzeichnung einer Vertraulichkeitsvereinbarung gezwungen, ist bislang nicht unabhängig überprüft und kann daher nur als Spekulation gelten. Ebenfalls klarzustellen ist, dass es für die im Internet verbreitete Behauptung, Händler in Südostasien und Hongkong hätten den Verkauf flächendeckend eingestellt, derzeit keine offizielle Grundlage gibt. Öffentlich bestätigt ist lediglich die Aussetzung des Verkaufs über die mit CryptoBilis verbundenen Kanäle. Im offiziellen Ledger-Verzeichnis sind für Hongkong weitere autorisierte Händler aufgeführt; ob auch sie betroffen sind, bleibt abzuwarten.
Die möglichen Auswirkungen auf den Kryptomarkt lassen sich auf drei Ebenen betrachten. Kurzfristig wird das Narrativ der sicheren Selbstverwahrung erschüttert. Nutzer, die nach dem Zusammenbruch von FTX im Jahr 2022 auf Hardware-Wallets umgestiegen sind, könnten die Kosten von Verwahrung und Selbstverwahrung neu abwägen. Mittelfristig dürfte die Nachfrage nach Audits der Händler-Lieferketten, manipulationssicheren Verpackungen und einer Überprüfung der Vertriebskanäle steigen; die Branche für Hardware-Wallets könnte daher ihre Prozesse verschärfen. Für die Sekundärmärkte wirken sich solche Sicherheitsvorfälle eher auf die Stimmung aus, als dass sie die Preisbildungslogik unmittelbar verändern.
Anmerkung der Redaktion: Physische Offline-Speicherung bedeutet nicht absolute Sicherheit. Im Juli dieses Jahres wurde eine Schwachstelle in der Seed-Generierungsfirmware von Coldcard dazu genutzt, schätzungsweise Bitcoin im Wert von 100 bis 130 Millionen US-Dollar zu stehlen. Zu den konkreten Maßnahmen für normale Nutzer zählen, den Kaufkanal zu überprüfen und Geräte aus zweifelhafter Quelle nicht zu initialisieren. Ledger empfiehlt Nutzern, die ihr Gerät bereits eingerichtet haben, ihre Vermögenswerte auf ein neues Gerät mit einer neuen Wiederherstellungsphrase zu übertragen. Außerdem sollten sie sich vor Betrugsversuchen in Acht nehmen, bei denen sich Anrufer oder Absender privater Nachrichten als offizielle Vertreter ausgeben und nach der Wiederherstellungsphrase fragen. Fakten und Spekulationen auseinanderzuhalten, ist der erste Schritt, um solche Vorfälle zu verstehen.
#Ledger要求东南亚及香港经销商暂停销售 #BTC #ETH #BNB