3 Geräte, 80 %, 86 Millionen US-Dollar: Trezor hat gestern eingeräumt, dass in 3 Safe 5 ein Spionagechip eingebaut war, der die Seed-Phrase stehlen kann – und beim selben Händler verloren Ledger-Nutzer letzten Monat gerade erst über 86 Millionen US-Dollar.
#Trezor确认3台Safe5设备遭恶意植入
So war es: Am 30. Oktober meldete ein Nutzer, dass sich in seinem Safe 5 eine zusätzliche, ihm unbekannte Platine befand. Trezor untersuchte den Fall zwei Wochen lang und veröffentlichte gestern die Ergebnisse: Bei 3 der 48 zur Prüfung eingesandten Geräte wurde ein Implantat bestätigt. Alle waren zwischen dem 20. August und dem 23. September über den südostasiatischen Händler CryptoBilis gekauft worden – entweder in dessen eigenem Onlineshop oder über dessen Shops auf Tokopedia und Shopee.
Die Platine war zwischen Hauptplatine und Display versteckt. Sie hatte ein Mobilfunkmodul und eine Antenne und war darauf ausgelegt, alles abzugreifen, was auf dem Display angezeigt wird. In dem Moment, in dem die Seed-Phrase zum ersten Mal auf dem Bildschirm erscheint, ist sie bereits abgegriffen. Die am 11. November veröffentlichte Firmware 2.13.1 verhindert, dass die Platine weitere Daten abgreifen kann. Bereits kopierte Seed-Phrasen lassen sich durch das Update jedoch nicht retten. Trezor sagte dazu wörtlich: Bereits offengelegte Backups sind weiterhin unsicher.
Trezor hat deshalb gleich drei drastische Maßnahmen ergriffen: Die Firmware 2.13.1 blockiert die bekannten Implantate; das Händlernetz wird um etwa 80 % verkleinert und auf die strengsten Compliance-Standards beschränkt; und Nutzer, die nach März ein Gerät bei CryptoBilis gekauft haben, können einen Austausch beantragen. Am wichtigsten ist aber, was Trezor selbst gesagt hat: Wer ein Gerät bei CryptoBilis gekauft hat, sollte seine Coins so schnell wie möglich in eine Wallet übertragen, die mit einer brandneuen Seed-Phrase erstellt wurde.
Meine Einschätzung: Das Beängstigendste an der Sache ist nicht die 3, sondern die 0 – bislang hat kein einziger Trezor-Nutzer einen Geldverlust gemeldet. Das bedeutet aber nicht, dass die Geräte sicher sind. Der Diebstahl einer Seed-Phrase geschieht lautlos. Solange der Dieb nicht zuschlägt, weißt du nie, dass bereits eine Hintertür in deiner Wallet angelegt wurde. Beim selben Händler und mit derselben Masche wurden bei Ledger bereits 72 bis 102 Millionen US-Dollar gestohlen. Trezor hat diesmal den Deckel gelüftet, bevor es zu Verlusten kam. Bei der Sicherheit einer Hardware-Wallet kommt es nie darauf an, wie teuer der Chip ist, sondern darauf, von wem du sie kaufst.
Drei Dinge, die du selbst überprüfen solltest:
1. Hast du deine Hardware-Wallet auf der offiziellen Website oder bei einem autorisierten Händler gekauft? Bei Drittanbietern, Sammelbestellungen oder Importen aus dem Ausland solltest du grundsätzlich erst einmal misstrauisch sein.
2. Überprüfe das Gerät sofort nach dem Erhalt: das Verpackungssiegel, ob sich zusätzliche Platinen im Gerät befinden und ob du beim ersten Einschalten aufgefordert wirst, Verifizierungsschritte zu überspringen. Wenn irgendetwas nicht stimmt, überweise erst einmal keine Coins darauf.
3. Wenn du auch nur den Verdacht hast, dass jemand am Gerät manipuliert hat, reicht ein Firmware-Update nicht aus: Erstelle eine neue Wallet mit einer brandneuen Seed-Phrase, übertrage deine Coins dorthin und betrachte die alte Seed-Phrase als ungültig.
Noch kurz nebenbei: In unserer heutigen Runde zum Scannen neuer Token-Projekte gab es keine neu abgelehnten Projekte. Der PO-Pool ist gestartet, der aktuelle Preis liegt bei etwa dem Doppelten des Ausgabepreises. Die Gewinnmitnahme-Schwelle ist noch nicht erreicht – wir behalten es weiter im Blick.
Hast du deine Hardware-Wallet auf der offiziellen Website oder in einem Drittanbieter-Shop gekauft? Hast du nach dem Kauf Verpackung und Gerät überprüft?
Ich werde solche Sicherheitswarnungen zu Hardware-Wallets sofort verfolgen. Folge mir, dann musst du beim nächsten ähnlichen Fall nicht selbst englische Mitteilungen durchforsten.
——包包
#Trezor确认3台Safe5设备遭恶意植入
So war es: Am 30. Oktober meldete ein Nutzer, dass sich in seinem Safe 5 eine zusätzliche, ihm unbekannte Platine befand. Trezor untersuchte den Fall zwei Wochen lang und veröffentlichte gestern die Ergebnisse: Bei 3 der 48 zur Prüfung eingesandten Geräte wurde ein Implantat bestätigt. Alle waren zwischen dem 20. August und dem 23. September über den südostasiatischen Händler CryptoBilis gekauft worden – entweder in dessen eigenem Onlineshop oder über dessen Shops auf Tokopedia und Shopee.
Die Platine war zwischen Hauptplatine und Display versteckt. Sie hatte ein Mobilfunkmodul und eine Antenne und war darauf ausgelegt, alles abzugreifen, was auf dem Display angezeigt wird. In dem Moment, in dem die Seed-Phrase zum ersten Mal auf dem Bildschirm erscheint, ist sie bereits abgegriffen. Die am 11. November veröffentlichte Firmware 2.13.1 verhindert, dass die Platine weitere Daten abgreifen kann. Bereits kopierte Seed-Phrasen lassen sich durch das Update jedoch nicht retten. Trezor sagte dazu wörtlich: Bereits offengelegte Backups sind weiterhin unsicher.
Trezor hat deshalb gleich drei drastische Maßnahmen ergriffen: Die Firmware 2.13.1 blockiert die bekannten Implantate; das Händlernetz wird um etwa 80 % verkleinert und auf die strengsten Compliance-Standards beschränkt; und Nutzer, die nach März ein Gerät bei CryptoBilis gekauft haben, können einen Austausch beantragen. Am wichtigsten ist aber, was Trezor selbst gesagt hat: Wer ein Gerät bei CryptoBilis gekauft hat, sollte seine Coins so schnell wie möglich in eine Wallet übertragen, die mit einer brandneuen Seed-Phrase erstellt wurde.
Meine Einschätzung: Das Beängstigendste an der Sache ist nicht die 3, sondern die 0 – bislang hat kein einziger Trezor-Nutzer einen Geldverlust gemeldet. Das bedeutet aber nicht, dass die Geräte sicher sind. Der Diebstahl einer Seed-Phrase geschieht lautlos. Solange der Dieb nicht zuschlägt, weißt du nie, dass bereits eine Hintertür in deiner Wallet angelegt wurde. Beim selben Händler und mit derselben Masche wurden bei Ledger bereits 72 bis 102 Millionen US-Dollar gestohlen. Trezor hat diesmal den Deckel gelüftet, bevor es zu Verlusten kam. Bei der Sicherheit einer Hardware-Wallet kommt es nie darauf an, wie teuer der Chip ist, sondern darauf, von wem du sie kaufst.
Drei Dinge, die du selbst überprüfen solltest:
1. Hast du deine Hardware-Wallet auf der offiziellen Website oder bei einem autorisierten Händler gekauft? Bei Drittanbietern, Sammelbestellungen oder Importen aus dem Ausland solltest du grundsätzlich erst einmal misstrauisch sein.
2. Überprüfe das Gerät sofort nach dem Erhalt: das Verpackungssiegel, ob sich zusätzliche Platinen im Gerät befinden und ob du beim ersten Einschalten aufgefordert wirst, Verifizierungsschritte zu überspringen. Wenn irgendetwas nicht stimmt, überweise erst einmal keine Coins darauf.
3. Wenn du auch nur den Verdacht hast, dass jemand am Gerät manipuliert hat, reicht ein Firmware-Update nicht aus: Erstelle eine neue Wallet mit einer brandneuen Seed-Phrase, übertrage deine Coins dorthin und betrachte die alte Seed-Phrase als ungültig.
Noch kurz nebenbei: In unserer heutigen Runde zum Scannen neuer Token-Projekte gab es keine neu abgelehnten Projekte. Der PO-Pool ist gestartet, der aktuelle Preis liegt bei etwa dem Doppelten des Ausgabepreises. Die Gewinnmitnahme-Schwelle ist noch nicht erreicht – wir behalten es weiter im Blick.
Hast du deine Hardware-Wallet auf der offiziellen Website oder in einem Drittanbieter-Shop gekauft? Hast du nach dem Kauf Verpackung und Gerät überprüft?
Ich werde solche Sicherheitswarnungen zu Hardware-Wallets sofort verfolgen. Folge mir, dann musst du beim nächsten ähnlichen Fall nicht selbst englische Mitteilungen durchforsten.
——包包
