Fast 100 Millionen US-Dollar wurden abgezogen – die erste Anzeige erfolgte jedoch fast einen Monat, bevor die Sache öffentlich wurde 🦖
Am 28. Oktober gab die Polizei Singapurs bekannt, dass mindestens zwei Ledger-Hardware-Wallets manipuliert worden waren. Der Gesamtschaden beläuft sich auf etwa 3,5 Millionen Singapur-Dollar, umgerechnet 2,7 Millionen US-Dollar.
📢 ⏰ 消息群里第一时间说
Die erste Anzeige wurde am 10. September erstattet. In der Öffentlichkeit bekannt wurde der Vorfall jedoch erst am 9. Oktober.
Nach ersten Ermittlungen der Polizei lag das Problem an der Hardware und nicht an einer Phishing-Website.
In einigen Einzelhandelsgeschäften in Singapur verkaufte Ledger-Geräte waren mit bösartigen Komponenten bestückt.
Das heißt: Man kauft ein Gerät, das völlig neu aussieht, an dem aber bereits jemand herumgebastelt hat, bevor es bei einem ankommt.
Ein Blick auf den zeitlichen Ablauf macht es deutlicher:
10. September: Die erste Anzeige wird in Singapur erstattet.
9. Oktober: Das Problem mit der Lieferkette von CryptoBilis wird öffentlich. Das Unternehmen ist ein autorisierter Ledger-Händler in Indonesien, Malaysia und auf den Philippinen.
13. Oktober: Ledger fordert sieben Märkte – Indonesien, Singapur, Thailand, die Philippinen, Vietnam, Malaysia und Hongkong – auf, den Verkauf auszusetzen.
28. Oktober: Erst jetzt gibt die Polizei Singapurs eine Verbraucherwarnung heraus.
Zwischen der öffentlichen Bekanntmachung des Vorfalls und der offiziellen Warnung lagen fast drei Wochen.
Der frühere Mt.-Gox-Chef Mark Karpeles sagte, dass in einem Ledger Flex, das er am Flughafen Singapur gekauft hatte, ein Spionageimplantat steckte.
Ein anderer Nutzer berichtete, dass auch das Gerät, das er beim örtlichen IT-Händler Challenger gekauft hatte, manipuliert worden war. Später tauschte Ledger es gegen ein neues aus.
Laut einer Zusammenstellung von Cointelegraph wurden aus Wallets mit Spionagekomponenten insgesamt Vermögenswerte im Wert von fast 100 Millionen US-Dollar abgezogen 💸
Meiner Meinung nach geht es bei diesem Vorfall nicht um eine einzelne Marke.
Es geht um die Schwachstelle im Geschäft mit Hardware-Wallets: Die privaten Schlüssel sind offline, die Beschaffungskette aber nicht.
Vom Werk aus durchlaufen die Geräte Händler, Einzelhandelsgeschäfte, Lager und sogar Flughafenschalter. In jeder Station kann eine Komponente eingebaut werden.
Und wenn Nutzer das Gerät in die Hände bekommen, können sie nur die Verpackung und die Karte mit der Wiederherstellungsphrase überprüfen. Es ist schwer zu erkennen, ob das Mainboard ausgetauscht wurde.
Noch wichtiger ist, sich diese drei Wochen zu merken:
Die erste Anzeige erfolgte am 10. September, der Vorfall wurde am 9. Oktober öffentlich und die offizielle Warnung folgte am 28. Oktober.
Wenn am 10. September jemand klar darüber gesprochen hätte, wären vielleicht einige, die später im Oktober ein Gerät gekauft haben, nicht darauf hereingefallen ⚠️
Bei einem Angriff auf die Lieferkette ist das Teuerste nie das Gerät selbst, sondern die verzögerte Information.
Für gewöhnliche Krypto-Anleger gibt es ganz konkrete Maßnahmen:
Kauft nur über offizielle Direktvertriebskanäle. Überprüft nach Erhalt die Seriennummer auf der offiziellen Website und kontrolliert die Versiegelung sowie die Karte mit der Wiederherstellungsphrase. Firmware-Updates nur über die offizielle App installieren.
Gebrauchtgeräte, Geräte aus Duty-free-Shops am Flughafen und Geräte unbekannter Herkunft solltet ihr grundsätzlich als nicht vertrauenswürdig behandeln 🛡️
Ein Gerät für ein paar hundert Dollar schützt das gesamte Vermögen – an dieser Stelle sollte man nicht sparen.
Wo habt ihr eure Hardware-Wallet gekauft? Habt ihr die Seriennummer überprüft? 🔧
Jeden Tag halten wir euch über aktuelle Themen rund um Krypto-Sicherheit auf dem Laufenden. Wir berichten nicht nur darüber, was passiert, sondern erklären auch die Hintergründe und Chancen 👀🚀
Am 28. Oktober gab die Polizei Singapurs bekannt, dass mindestens zwei Ledger-Hardware-Wallets manipuliert worden waren. Der Gesamtschaden beläuft sich auf etwa 3,5 Millionen Singapur-Dollar, umgerechnet 2,7 Millionen US-Dollar.
📢 ⏰ 消息群里第一时间说
Die erste Anzeige wurde am 10. September erstattet. In der Öffentlichkeit bekannt wurde der Vorfall jedoch erst am 9. Oktober.
Nach ersten Ermittlungen der Polizei lag das Problem an der Hardware und nicht an einer Phishing-Website.
In einigen Einzelhandelsgeschäften in Singapur verkaufte Ledger-Geräte waren mit bösartigen Komponenten bestückt.
Das heißt: Man kauft ein Gerät, das völlig neu aussieht, an dem aber bereits jemand herumgebastelt hat, bevor es bei einem ankommt.
Ein Blick auf den zeitlichen Ablauf macht es deutlicher:
10. September: Die erste Anzeige wird in Singapur erstattet.
9. Oktober: Das Problem mit der Lieferkette von CryptoBilis wird öffentlich. Das Unternehmen ist ein autorisierter Ledger-Händler in Indonesien, Malaysia und auf den Philippinen.
13. Oktober: Ledger fordert sieben Märkte – Indonesien, Singapur, Thailand, die Philippinen, Vietnam, Malaysia und Hongkong – auf, den Verkauf auszusetzen.
28. Oktober: Erst jetzt gibt die Polizei Singapurs eine Verbraucherwarnung heraus.
Zwischen der öffentlichen Bekanntmachung des Vorfalls und der offiziellen Warnung lagen fast drei Wochen.
Der frühere Mt.-Gox-Chef Mark Karpeles sagte, dass in einem Ledger Flex, das er am Flughafen Singapur gekauft hatte, ein Spionageimplantat steckte.
Ein anderer Nutzer berichtete, dass auch das Gerät, das er beim örtlichen IT-Händler Challenger gekauft hatte, manipuliert worden war. Später tauschte Ledger es gegen ein neues aus.
Laut einer Zusammenstellung von Cointelegraph wurden aus Wallets mit Spionagekomponenten insgesamt Vermögenswerte im Wert von fast 100 Millionen US-Dollar abgezogen 💸
Meiner Meinung nach geht es bei diesem Vorfall nicht um eine einzelne Marke.
Es geht um die Schwachstelle im Geschäft mit Hardware-Wallets: Die privaten Schlüssel sind offline, die Beschaffungskette aber nicht.
Vom Werk aus durchlaufen die Geräte Händler, Einzelhandelsgeschäfte, Lager und sogar Flughafenschalter. In jeder Station kann eine Komponente eingebaut werden.
Und wenn Nutzer das Gerät in die Hände bekommen, können sie nur die Verpackung und die Karte mit der Wiederherstellungsphrase überprüfen. Es ist schwer zu erkennen, ob das Mainboard ausgetauscht wurde.
Noch wichtiger ist, sich diese drei Wochen zu merken:
Die erste Anzeige erfolgte am 10. September, der Vorfall wurde am 9. Oktober öffentlich und die offizielle Warnung folgte am 28. Oktober.
Wenn am 10. September jemand klar darüber gesprochen hätte, wären vielleicht einige, die später im Oktober ein Gerät gekauft haben, nicht darauf hereingefallen ⚠️
Bei einem Angriff auf die Lieferkette ist das Teuerste nie das Gerät selbst, sondern die verzögerte Information.
Für gewöhnliche Krypto-Anleger gibt es ganz konkrete Maßnahmen:
Kauft nur über offizielle Direktvertriebskanäle. Überprüft nach Erhalt die Seriennummer auf der offiziellen Website und kontrolliert die Versiegelung sowie die Karte mit der Wiederherstellungsphrase. Firmware-Updates nur über die offizielle App installieren.
Gebrauchtgeräte, Geräte aus Duty-free-Shops am Flughafen und Geräte unbekannter Herkunft solltet ihr grundsätzlich als nicht vertrauenswürdig behandeln 🛡️
Ein Gerät für ein paar hundert Dollar schützt das gesamte Vermögen – an dieser Stelle sollte man nicht sparen.
Wo habt ihr eure Hardware-Wallet gekauft? Habt ihr die Seriennummer überprüft? 🔧
Jeden Tag halten wir euch über aktuelle Themen rund um Krypto-Sicherheit auf dem Laufenden. Wir berichten nicht nur darüber, was passiert, sondern erklären auch die Hintergründe und Chancen 👀🚀
