Fast 19.000 Hardware-Wallets: Der Hersteller beschließt, sie eigenhändig zu zerstören, weil ein unveränderbarer Schlüssel gestohlen wurde 🦖
📣 盘面异动群里喊
Am 20. Oktober wurde die Website des Hardware-Wallet-Herstellers Keystone gehackt. Ein Sicherheitslücken in einem Drittanbieter-Tool zur Datenüberwachung diente als Einfallstor. 25.964 Käuferdatensätze wurden entwendet – darunter Namen, Kontaktdaten, Lieferadressen und Bestellinformationen. Außerdem könnten 12.873 nicht abgeschlossene Bezahlvorgänge betroffen sein.
Wirklich fatal waren nicht diese Daten, sondern der Schlüssel 💥. Er wurde bereits während der Produktion in die Geräte geschrieben und lässt sich nach der Auslieferung nie mehr ändern. Wer ihn besitzt, kann gefälschte Wallets so herstellen, dass sie die Echtheitsprüfung auf der offiziellen Website bestehen. Nutzer glauben dann, ein Originalgerät zu besitzen, tatsächlich wurde es aber manipuliert.
Das Unternehmen reagiert, indem es den gesamten unverkäuften Lagerbestand von 18.835 Geräten vernichtet. Der Verkauf über die Website wird auf Vorbestellungen umgestellt, neue Geräte erhalten einen neuen Authentifizierungsschlüssel und die Aufbewahrungsfrist für Kundendaten wird von 180 auf 90 Tage verkürzt.
Am bittersten ist das eigene Eingeständnis: Nach der 180-Tage-Richtlinie hätten viele Daten längst gelöscht werden müssen. Doch das automatische Löschwerkzeug versagte unbemerkt, und das Unternehmen bemerkte es selbst nicht. Im Wortlaut: „Wir haben es versäumt, unser Versprechen einzuhalten, Kundendaten fristgerecht zu löschen. Wir übernehmen die Verantwortung für dieses Versagen.“ ⚠️
Das ist kein Einzelfall. Erst am Vortag berichtete der Hardware-Wallet-Hersteller Foundation, dass Angreifer mehr als 23.000 Phishing-E-Mails mit gefälschten offiziellen Domains verschickt hatten. Auf etwa 5.600 Postadressen und 5.200 Telefonnummern in einer alten Datenbank könnten sie zugegriffen haben. Anfang des Jahres wurde in Geräten, die Ledger über Vertriebspartner in Südostasien verkauft hatte, ein versteckter Spionagechip entdeckt, der beim Einrichten heimlich die Wiederherstellungsphrase aufzeichnete. Noch schlimmer ist die Schwachstelle im Zufallszahlengenerator von Coldcard: Angreifer können den privaten Schlüssel aus der Ferne rekonstruieren, ohne das Gerät anzufassen, und damit rund 70 Millionen US-Dollar erbeuten.
Meine Einschätzung: Hardware-Wallets verkaufen seit jeher den Glauben, dass offline gleich sicher bedeutet. Solange aber die Schlüssel in der Produktion, die Datenbank der Website und die Lieferadressen beim Versand in den Händen des Herstellers liegen, verlagert sich die Angriffsfläche vom Chip auf die Menschen. Ein echtes Gerät zu kaufen, heißt nicht, dass man nicht ins Visier genommen wurde. Die Versandliste mit Namen, Telefonnummern und Adressen ist für kriminelle Kreise das wertvollste Gut 🐋
Drei Details sollte man im Auge behalten: Geräte, die vor dem 20. Oktober eingetroffen sind und deren Echtheit überprüft wurde, können weiter verwendet werden. Bei Geräten, die danach eintreffen und noch mit dem alten Schlüssel ausgeliefert wurden, muss man zuerst die Echtheit erneut prüfen. Jede Nachricht, die angeblich zu einem Rückruf auffordert oder verlangt, Vermögenswerte auf eine neue Adresse zu übertragen, ist als Fälschung zu betrachten.
Bewahrst du deine Coins derzeit in einer Hardware-Wallet oder auf einer Börse auf? Hast du dir schon Sorgen gemacht, dass deine Lieferadresse offengelegt werden könnte?
Ich halte dich täglich über wichtige Entwicklungen rund um Krypto-Sicherheit auf dem Laufenden – damit du nicht nur erfährst, was passiert ist, sondern auch die Zusammenhänge und Chancen dahinter verstehst 👀🚀
📣 盘面异动群里喊
Am 20. Oktober wurde die Website des Hardware-Wallet-Herstellers Keystone gehackt. Ein Sicherheitslücken in einem Drittanbieter-Tool zur Datenüberwachung diente als Einfallstor. 25.964 Käuferdatensätze wurden entwendet – darunter Namen, Kontaktdaten, Lieferadressen und Bestellinformationen. Außerdem könnten 12.873 nicht abgeschlossene Bezahlvorgänge betroffen sein.
Wirklich fatal waren nicht diese Daten, sondern der Schlüssel 💥. Er wurde bereits während der Produktion in die Geräte geschrieben und lässt sich nach der Auslieferung nie mehr ändern. Wer ihn besitzt, kann gefälschte Wallets so herstellen, dass sie die Echtheitsprüfung auf der offiziellen Website bestehen. Nutzer glauben dann, ein Originalgerät zu besitzen, tatsächlich wurde es aber manipuliert.
Das Unternehmen reagiert, indem es den gesamten unverkäuften Lagerbestand von 18.835 Geräten vernichtet. Der Verkauf über die Website wird auf Vorbestellungen umgestellt, neue Geräte erhalten einen neuen Authentifizierungsschlüssel und die Aufbewahrungsfrist für Kundendaten wird von 180 auf 90 Tage verkürzt.
Am bittersten ist das eigene Eingeständnis: Nach der 180-Tage-Richtlinie hätten viele Daten längst gelöscht werden müssen. Doch das automatische Löschwerkzeug versagte unbemerkt, und das Unternehmen bemerkte es selbst nicht. Im Wortlaut: „Wir haben es versäumt, unser Versprechen einzuhalten, Kundendaten fristgerecht zu löschen. Wir übernehmen die Verantwortung für dieses Versagen.“ ⚠️
Das ist kein Einzelfall. Erst am Vortag berichtete der Hardware-Wallet-Hersteller Foundation, dass Angreifer mehr als 23.000 Phishing-E-Mails mit gefälschten offiziellen Domains verschickt hatten. Auf etwa 5.600 Postadressen und 5.200 Telefonnummern in einer alten Datenbank könnten sie zugegriffen haben. Anfang des Jahres wurde in Geräten, die Ledger über Vertriebspartner in Südostasien verkauft hatte, ein versteckter Spionagechip entdeckt, der beim Einrichten heimlich die Wiederherstellungsphrase aufzeichnete. Noch schlimmer ist die Schwachstelle im Zufallszahlengenerator von Coldcard: Angreifer können den privaten Schlüssel aus der Ferne rekonstruieren, ohne das Gerät anzufassen, und damit rund 70 Millionen US-Dollar erbeuten.
Meine Einschätzung: Hardware-Wallets verkaufen seit jeher den Glauben, dass offline gleich sicher bedeutet. Solange aber die Schlüssel in der Produktion, die Datenbank der Website und die Lieferadressen beim Versand in den Händen des Herstellers liegen, verlagert sich die Angriffsfläche vom Chip auf die Menschen. Ein echtes Gerät zu kaufen, heißt nicht, dass man nicht ins Visier genommen wurde. Die Versandliste mit Namen, Telefonnummern und Adressen ist für kriminelle Kreise das wertvollste Gut 🐋
Drei Details sollte man im Auge behalten: Geräte, die vor dem 20. Oktober eingetroffen sind und deren Echtheit überprüft wurde, können weiter verwendet werden. Bei Geräten, die danach eintreffen und noch mit dem alten Schlüssel ausgeliefert wurden, muss man zuerst die Echtheit erneut prüfen. Jede Nachricht, die angeblich zu einem Rückruf auffordert oder verlangt, Vermögenswerte auf eine neue Adresse zu übertragen, ist als Fälschung zu betrachten.
Bewahrst du deine Coins derzeit in einer Hardware-Wallet oder auf einer Börse auf? Hast du dir schon Sorgen gemacht, dass deine Lieferadresse offengelegt werden könnte?
Ich halte dich täglich über wichtige Entwicklungen rund um Krypto-Sicherheit auf dem Laufenden – damit du nicht nur erfährst, was passiert ist, sondern auch die Zusammenhänge und Chancen dahinter verstehst 👀🚀
