Ledger setzt den Verkauf seiner Hardware-Wallets in sieben asiatischen Märkten aus, nachdem unbefugt Komponenten in die Geräte eingebaut wurden. Es besteht der Verdacht, dass dadurch ein Schaden von 86 Millionen US-Dollar verursacht wurde.
Ledger hat seine Händler und Vertriebspartner in Südostasien und Hongkong aufgefordert, den Verkauf seiner Hardware-Wallets einzustellen und die Produkte während der Untersuchung der Geräte, in die unbefugt Komponenten eingebaut wurden, aus den Regalen zu nehmen. Das Unternehmen gab die Information am Dienstag im sozialen Netzwerk X bekannt. Die Verkaufsunterbrechung gilt in sieben Märkten: Indonesien, Singapur, Thailand, den Philippinen, Vietnam, Malaysia und Hongkong.
Ledger zufolge beschränken sich die bislang bestätigten Fälle auf Südostasien. Das Unternehmen konnte keine Vermögensverluste im Zusammenhang mit Geräten bestätigen, die in anderen Regionen gekauft wurden. Zuvor hatte Ledger mitgeteilt, dass alle bestätigten Verlustfälle Geräte betrafen, die über CryptoBilis, einen regionalen Vertriebspartner, verkauft wurden.
Das Sicherheitsteam Donjon von Ledger entdeckte eine nicht autorisiert eingebaute Komponente, die während der Ersteinrichtung die auf dem Bildschirm angezeigte Wiederherstellungsphrase aus 24 Wörtern auslesen konnte. Diese Informationen wurden anschließend über eine LTE-Mobilfunkverbindung nach außen übertragen. Wer die Wiederherstellungsphrase kennt, kann die Wallet wiederherstellen und sämtliche Vermögenswerte auf eine andere Wallet übertragen. Der On-Chain-Ermittler Specter hat mutmaßliche Diebstähle im Gesamtwert von mehr als 86 Millionen US-Dollar zurückverfolgt. Ledger zufolge konnte diese Summe jedoch nicht verifiziert werden.
Die Schwachstelle liegt in der Vertriebskette
Der Vorfall zeigt, dass Risiken für Hardware-Wallets nicht nur von der Software oder der Infrastruktur des Herstellers ausgehen, sondern auch von der Lieferkette bis zu den Nutzern. Ledger untersucht weiterhin, wer die Geräte manipuliert hat und an welcher Stelle der Vertriebskette dies geschah. Das Unternehmen betont, dass es derzeit keine Hinweise auf eine Kompromittierung seiner Infrastruktur, Systeme, Dienste oder direkten Vertriebskanäle gibt.
Die Auswirkungen des Vorfalls haben inzwischen auch Europa erreicht. Ebenfalls am Dienstag stellte die Elektronik-Einzelhandelskette MediaMarkt Saturn mit Zustimmung von Ledger den Verkauf von Ledger-Produkten in ihren Filialen und über ihre Online-Kanäle ein. Die Entscheidung fiel, nachdem ein Kunde in Deutschland gemeldet hatte, eine nicht autorisiert eingebaute Komponente im Gerät entdeckt zu haben. Ledger veröffentlichte diese Information in einem separaten Beitrag auf X. Bislang wurden in diesem Fall keine Vermögensverluste gemeldet.
Auch Ledgers Konkurrent reagierte schnell. Am Dienstag kündigte der Hardware-Wallet-Hersteller Trezor an, Wiederverkäufern ab dem 1. Januar 2027 keine Vertriebslizenzen mehr zu erteilen. Trezor bezeichnete dies als „Vorsichtsmaßnahme“ und erklärte, dass es derzeit keine Hinweise auf eine Kompromittierung seiner Geräte gebe.
Diese Entwicklung wirft grundlegende Fragen zum Vertrieb von Hardware-Wallets über Drittanbieter auf. Dieses Modell ermöglicht es Herstellern, ihre Märkte schnell zu erweitern, schafft aber auch zusätzliche Schwachstellen, die Angreifer ausnutzen können. Für Nutzer in den betroffenen Märkten, darunter Vietnam, wird die Herkunft des gekauften Geräts zu einem ebenso wichtigen Sicherheitsfaktor wie die Wallet-Technologie selbst.