474 Cold-Wallet-Adressen innerhalb einer Stunde leergeräumt, 91 Millionen US-Dollar weg. Diesmal wurde nicht der Private Key geknackt – das Gerät war schon vor dem Öffnen der Verpackung manipuliert worden 🦖
📢 ⏰ 消息群里第一时间说
Bei Hardware-Wallets, die der autorisierte Ledger-Händler CryptoBilis in Südostasien verkauft hatte, wurde eine zusätzliche, eigenständige Spionage-Schaltung im Gehäuse entdeckt. Die 24 Wiederherstellungswörter, die Nutzern bei der Einrichtung auf dem Display angezeigt wurden, wurden direkt abgeschrieben und anschließend über eine vorinstallierte eSIM lautlos per LTE übertragen. Dabei wurde das Secure Element überhaupt nicht berührt. Selbst Ledgers offizielle Echtheitsprüfung Genuine Check wurde bestanden.
Der Bericht von Galaxy Research vom 19. Oktober rechnet es genau vor: 474 Adressen wurden geleert – auf Bitcoin, Ethereum, Arbitrum, Polygon und Tron. Der bestätigte Mindestschaden liegt bei rund 91 Millionen US-Dollar. Rechnet man BNB Chain hinzu, könnten es 93 bis 95 Millionen US-Dollar sein. Von 146 Tron-Adressen wurden rund 64,5 Millionen US-Dollar in USDT und TRX abgezogen. 279 Bitcoin-Adressen verloren 213 BTC, damals etwa 17,6 Millionen US-Dollar. Bei 49 Ethereum-Adressen belief sich der Verlust auf rund 8,8 Millionen US-Dollar 💥
Besonders bemerkenswert ist der Zeitpunkt: 88 Prozent der Vermögenswerte – rund 80 Millionen US-Dollar – wurden innerhalb einer einzigen Stunde ab 5 Uhr UTC am Morgen des 9. Oktober durch automatisierte Skripte abgezogen. Das war genau am Morgen des Tages, an dem Ledger seine offizielle Warnung veröffentlichte. Bei den meisten betroffenen Adressen hatte es zuvor nie eine ausgehende Transaktion gegeben – sie dienten also ganz klassisch ausschließlich der Cold Storage. Außerdem waren die meisten Gelder erst innerhalb der letzten 90 Tage eingezahlt worden. Manche hatten sogar ihre alte Wiederherstellungsphrase aus dem Jahr 2021 in ein neu gekauftes Gerät importiert.
Am 15. Oktober lagen noch rund 56,6 Millionen US-Dollar auf den zentralen Sammeladressen der Hacker – darunter 208 unberührte BTC, etwa 12.800 ETH und 7,5 Millionen USDT. Von den bereits verschobenen Geldern gingen rund 5.400 ETH im Gegenwert von 13,5 Millionen US-Dollar an Mixing-Dienste; etwa 2 Millionen US-Dollar flossen auf Einzahlungsadressen von Kryptobörsen. Tether fror kurzfristig 10 Millionen USDT ein 🔒
Meine Einschätzung ist eindeutig: Was in dieser Saison gefallen ist, war nicht die Kryptografie, sondern die Welt außerhalb der Kryptografie. Im Juli wurden wegen schwacher Zufallszahlen in der Coldcard-Firmware mehr als 9.000 Adressen geleert; über 1.830 BTC im Wert von rund 150 Millionen US-Dollar gingen verloren. Im September wurden auf der Liquid-Sidechain aus dem Nichts 3.998 gefälschte L-BTC geprägt und rund 320 Millionen US-Dollar abgezogen. Ende September verlor außerdem eine führende Kryptobörse 387,5 Millionen US-Dollar, nachdem ein externer Sicherheitsanbieter kompromittiert worden war. Die Branchenverluste beliefen sich in einem Quartal auf 1,1 bis 1,3 Milliarden US-Dollar. Laut einer Auswertung von Hacken gingen 77 Prozent davon auf Mängel bei Anbietern und nicht rechtzeitig installierte Patches zurück ⚠️
Selbstverwahrung bedeutet also nicht einfach, ein Gerät zu kaufen. Sie ist eine ganze Lieferkette: Versand, Händler, Verpackung, Display, Backup – an jeder Stelle kann manipuliert werden. Kauft nur direkt beim Hersteller. Wenn das Gerät bei der Ankunft bereits geöffnet wurde oder eine Karte mit vorgedruckten Wiederherstellungswörtern beiliegt, behandelt es, als wäre es bereits kompromittiert. Größere Vermögenswerte sollten auf mehrere Marken und Lösungen verteilt und per Multisig abgesichert werden. So führt ein einzelner Schwachpunkt nicht gleich zum Totalverlust.
Würdet ihr eine Hardware-Wallet nur direkt beim Hersteller kaufen – oder dort bestellen, wo sie gerade am günstigsten ist? Schreibt es in die Kommentare.
Tippt auf mein Profilbild, um den Livestream anzusehen.
Jeden Tag halte ich euch über die wichtigsten Themen rund um Krypto-Sicherheit auf dem Laufenden. Es geht nicht nur darum, was passiert ist, sondern auch darum, die Hintergründe und Chancen zu verstehen 👀🚀
📢 ⏰ 消息群里第一时间说
Bei Hardware-Wallets, die der autorisierte Ledger-Händler CryptoBilis in Südostasien verkauft hatte, wurde eine zusätzliche, eigenständige Spionage-Schaltung im Gehäuse entdeckt. Die 24 Wiederherstellungswörter, die Nutzern bei der Einrichtung auf dem Display angezeigt wurden, wurden direkt abgeschrieben und anschließend über eine vorinstallierte eSIM lautlos per LTE übertragen. Dabei wurde das Secure Element überhaupt nicht berührt. Selbst Ledgers offizielle Echtheitsprüfung Genuine Check wurde bestanden.
Der Bericht von Galaxy Research vom 19. Oktober rechnet es genau vor: 474 Adressen wurden geleert – auf Bitcoin, Ethereum, Arbitrum, Polygon und Tron. Der bestätigte Mindestschaden liegt bei rund 91 Millionen US-Dollar. Rechnet man BNB Chain hinzu, könnten es 93 bis 95 Millionen US-Dollar sein. Von 146 Tron-Adressen wurden rund 64,5 Millionen US-Dollar in USDT und TRX abgezogen. 279 Bitcoin-Adressen verloren 213 BTC, damals etwa 17,6 Millionen US-Dollar. Bei 49 Ethereum-Adressen belief sich der Verlust auf rund 8,8 Millionen US-Dollar 💥
Besonders bemerkenswert ist der Zeitpunkt: 88 Prozent der Vermögenswerte – rund 80 Millionen US-Dollar – wurden innerhalb einer einzigen Stunde ab 5 Uhr UTC am Morgen des 9. Oktober durch automatisierte Skripte abgezogen. Das war genau am Morgen des Tages, an dem Ledger seine offizielle Warnung veröffentlichte. Bei den meisten betroffenen Adressen hatte es zuvor nie eine ausgehende Transaktion gegeben – sie dienten also ganz klassisch ausschließlich der Cold Storage. Außerdem waren die meisten Gelder erst innerhalb der letzten 90 Tage eingezahlt worden. Manche hatten sogar ihre alte Wiederherstellungsphrase aus dem Jahr 2021 in ein neu gekauftes Gerät importiert.
Am 15. Oktober lagen noch rund 56,6 Millionen US-Dollar auf den zentralen Sammeladressen der Hacker – darunter 208 unberührte BTC, etwa 12.800 ETH und 7,5 Millionen USDT. Von den bereits verschobenen Geldern gingen rund 5.400 ETH im Gegenwert von 13,5 Millionen US-Dollar an Mixing-Dienste; etwa 2 Millionen US-Dollar flossen auf Einzahlungsadressen von Kryptobörsen. Tether fror kurzfristig 10 Millionen USDT ein 🔒
Meine Einschätzung ist eindeutig: Was in dieser Saison gefallen ist, war nicht die Kryptografie, sondern die Welt außerhalb der Kryptografie. Im Juli wurden wegen schwacher Zufallszahlen in der Coldcard-Firmware mehr als 9.000 Adressen geleert; über 1.830 BTC im Wert von rund 150 Millionen US-Dollar gingen verloren. Im September wurden auf der Liquid-Sidechain aus dem Nichts 3.998 gefälschte L-BTC geprägt und rund 320 Millionen US-Dollar abgezogen. Ende September verlor außerdem eine führende Kryptobörse 387,5 Millionen US-Dollar, nachdem ein externer Sicherheitsanbieter kompromittiert worden war. Die Branchenverluste beliefen sich in einem Quartal auf 1,1 bis 1,3 Milliarden US-Dollar. Laut einer Auswertung von Hacken gingen 77 Prozent davon auf Mängel bei Anbietern und nicht rechtzeitig installierte Patches zurück ⚠️
Selbstverwahrung bedeutet also nicht einfach, ein Gerät zu kaufen. Sie ist eine ganze Lieferkette: Versand, Händler, Verpackung, Display, Backup – an jeder Stelle kann manipuliert werden. Kauft nur direkt beim Hersteller. Wenn das Gerät bei der Ankunft bereits geöffnet wurde oder eine Karte mit vorgedruckten Wiederherstellungswörtern beiliegt, behandelt es, als wäre es bereits kompromittiert. Größere Vermögenswerte sollten auf mehrere Marken und Lösungen verteilt und per Multisig abgesichert werden. So führt ein einzelner Schwachpunkt nicht gleich zum Totalverlust.
Würdet ihr eine Hardware-Wallet nur direkt beim Hersteller kaufen – oder dort bestellen, wo sie gerade am günstigsten ist? Schreibt es in die Kommentare.
Tippt auf mein Profilbild, um den Livestream anzusehen.
Jeden Tag halte ich euch über die wichtigsten Themen rund um Krypto-Sicherheit auf dem Laufenden. Es geht nicht nur darum, was passiert ist, sondern auch darum, die Hintergründe und Chancen zu verstehen 👀🚀