Hardware-Wallets sollen doch angeblich am sichersten sein? Diesmal haben Hacker sogar den Bildschirm manipuliert.
Das offizielle Sicherheitsteam von Ledger hat diese Woche die vollständige Angriffskette veröffentlicht: Bei einigen Geräten, die der südostasiatische Händler CryptoBilis verkauft hat, wurde hinter dem Bildschirm ein Spionagechip mit Mikrocontroller und eSIM eingebaut. Sobald Nutzer das Gerät zum ersten Mal einschalteten und der Bildschirm die 24 Wörter der Wiederherstellungsphrase anzeigte, las der Chip sie aus und übermittelte sie in Echtzeit über das LTE-Netz – dafür musste nicht einmal dein Computer mit dem Internet verbunden sein. Der Chip hat selbst „nach Hause telefoniert“.
Am erschreckendsten ist: Der Sicherheitschip wurde überhaupt nicht manipuliert, und Ledgers offizielle Echtheitsprüfung stufte jedes manipulierte Gerät als „Original“ ein. Eine Softwareprüfung kann physische Manipulationen nicht verhindern.
Schadensbilanz (Schätzungen von On-Chain-Analysefirmen): Specter schätzt den Schaden auf rund 86 Millionen US-Dollar, Bitquery auf über 93 Millionen US-Dollar; betroffen waren 311 Wallets. Aufgeschlüsselt nach Blockchain: $TRX rund 70,5 Millionen US-Dollar, $BTC rund 16,8 Millionen US-Dollar, $ETH rund 3,7 Millionen US-Dollar und BNB Chain rund 1,45 Millionen US-Dollar. Tether hat in diesem Zusammenhang rund 10 Millionen US-Dollar in USDT eingefroren. Die ungewöhnlichen Abflüsse konzentrierten sich auf den 9. und 10. Oktober.
Meine Einschätzung: Die eigentliche Lehre aus diesem Vorfall ist nicht, dass „Hardware-Wallets nichts taugen“, sondern dass die Lieferkette die größte Schwachstelle ist. Ein Gerät kann noch so zuverlässig sein – sobald es durch die Hände einer nicht vertrauenswürdigen Person gegangen ist, ist es praktisch ungeschützt. Besonders beunruhigend ist, dass laut dem früheren Mt.-Gox-CEO bereits im vergangenen Dezember jemand Ledger über manipulierte Geräte informiert hatte. Die Warnung kam also früh, aber die öffentliche Reaktion ließ auf sich warten. Merke dir deshalb drei Dinge: Hardware-Wallets ausschließlich direkt auf der offiziellen Website kaufen; die Wiederherstellungsphrase immer von Hand aufschreiben und offline aufbewahren, niemals fotografieren oder auf dem Handy speichern; und falls du in den vergangenen 90 Tagen einen Ledger über einen Drittanbieter wie CryptoBilis gekauft hast, solltest du laut offizieller Empfehlung davon ausgehen, dass deine Wiederherstellungsphrase kompromittiert wurde, sofort dein Guthaben übertragen und eine neue Wiederherstellungsphrase einrichten.
Datenstand: 2026-10-18 08:52 UTC
Quellen: Sina Finance; WhaleAgent (unter Berufung auf CoinDesk und den Bericht von Ledger Donjon); Crypto Briefing (unter Berufung auf die Financial Times)
Nur zur Information, keine Anlageberatung.
Wie bewahrst du deine Wiederherstellungsphrase auf? Schreib’s in die Kommentare.
Das offizielle Sicherheitsteam von Ledger hat diese Woche die vollständige Angriffskette veröffentlicht: Bei einigen Geräten, die der südostasiatische Händler CryptoBilis verkauft hat, wurde hinter dem Bildschirm ein Spionagechip mit Mikrocontroller und eSIM eingebaut. Sobald Nutzer das Gerät zum ersten Mal einschalteten und der Bildschirm die 24 Wörter der Wiederherstellungsphrase anzeigte, las der Chip sie aus und übermittelte sie in Echtzeit über das LTE-Netz – dafür musste nicht einmal dein Computer mit dem Internet verbunden sein. Der Chip hat selbst „nach Hause telefoniert“.
Am erschreckendsten ist: Der Sicherheitschip wurde überhaupt nicht manipuliert, und Ledgers offizielle Echtheitsprüfung stufte jedes manipulierte Gerät als „Original“ ein. Eine Softwareprüfung kann physische Manipulationen nicht verhindern.
Schadensbilanz (Schätzungen von On-Chain-Analysefirmen): Specter schätzt den Schaden auf rund 86 Millionen US-Dollar, Bitquery auf über 93 Millionen US-Dollar; betroffen waren 311 Wallets. Aufgeschlüsselt nach Blockchain: $TRX rund 70,5 Millionen US-Dollar, $BTC rund 16,8 Millionen US-Dollar, $ETH rund 3,7 Millionen US-Dollar und BNB Chain rund 1,45 Millionen US-Dollar. Tether hat in diesem Zusammenhang rund 10 Millionen US-Dollar in USDT eingefroren. Die ungewöhnlichen Abflüsse konzentrierten sich auf den 9. und 10. Oktober.
Meine Einschätzung: Die eigentliche Lehre aus diesem Vorfall ist nicht, dass „Hardware-Wallets nichts taugen“, sondern dass die Lieferkette die größte Schwachstelle ist. Ein Gerät kann noch so zuverlässig sein – sobald es durch die Hände einer nicht vertrauenswürdigen Person gegangen ist, ist es praktisch ungeschützt. Besonders beunruhigend ist, dass laut dem früheren Mt.-Gox-CEO bereits im vergangenen Dezember jemand Ledger über manipulierte Geräte informiert hatte. Die Warnung kam also früh, aber die öffentliche Reaktion ließ auf sich warten. Merke dir deshalb drei Dinge: Hardware-Wallets ausschließlich direkt auf der offiziellen Website kaufen; die Wiederherstellungsphrase immer von Hand aufschreiben und offline aufbewahren, niemals fotografieren oder auf dem Handy speichern; und falls du in den vergangenen 90 Tagen einen Ledger über einen Drittanbieter wie CryptoBilis gekauft hast, solltest du laut offizieller Empfehlung davon ausgehen, dass deine Wiederherstellungsphrase kompromittiert wurde, sofort dein Guthaben übertragen und eine neue Wiederherstellungsphrase einrichten.
Datenstand: 2026-10-18 08:52 UTC
Quellen: Sina Finance; WhaleAgent (unter Berufung auf CoinDesk und den Bericht von Ledger Donjon); Crypto Briefing (unter Berufung auf die Financial Times)
Nur zur Information, keine Anlageberatung.
Wie bewahrst du deine Wiederherstellungsphrase auf? Schreib’s in die Kommentare.