Ledger bestätigte, dass sich in einem Gerät eines betroffenen Nutzers, das über CryptoBilis gekauft worden war, ein nicht autorisiertes Hardware-Implantat befand.
On-Chain-Schätzungen zufolge belaufen sich die Verluste über sechs Blockchains und 315 Wallets auf bis zu 93,2 Millionen US-Dollar.
Das Unternehmen gibt an, dass seine eigenen Systeme nicht kompromittiert wurden, und rät Käufern, die ihr Gerät kürzlich erworben haben, davon ab, es einzurichten. Stattdessen sollten sie ihre Guthaben auf eine neue Seed-Phrase übertragen.
Der Hardware-Wallet-Hersteller Ledger hat bestätigt, dass eines der Geräte, die mit gemeldeten Verlusten in Verbindung stehen, ein nicht autorisiertes Hardware-Implantat enthielt. Damit schreitet die Untersuchung eines möglichen Angriffs auf die Lieferkette voran, in den der südostasiatische Wiederverkäufer CryptoBilis verwickelt sein könnte.
In einem Lagebericht vom 10. Oktober erklärte der Ledger-Support: „Ledger kann bestätigen, dass sich im Gerät eines der betroffenen Nutzer ein nicht autorisiertes Hardware-Implantat befand.“ Das Unternehmen teilte mit, dass es sich an die betroffenen Nutzer wende, mit den Behörden zusammenarbeite und SEAL 911 für die Unterstützung danke. Laut dem Beitrag hat CryptoBilis den Verkauf aller Hardware-Wallets bis zum Abschluss der Untersuchung eingestellt.
Die Untersuchung begann nach Berichten über leergeräumte Wallets von Käufern, die Ledger-Geräte bei CryptoBilis erworben hatten, einem autorisierten Wiederverkäufer in Indonesien, Malaysia und auf den Philippinen. In einer ersten Stellungnahme vom 9. Oktober riet Ledger Nutzern, die in den vergangenen 90 Tagen bei diesem Händler eingekauft hatten, noch nicht eingerichtete Geräte nicht zu konfigurieren. Falls ein Gerät bereits eingerichtet worden sei, sollten sie erwägen, ihre Vermögenswerte auf einen neuen Ledger-Signer mit einem frisch generierten Seed zu übertragen. Ledger hat wiederholt erklärt, dass es keine Hinweise auf eine Kompromittierung der eigenen Sicherheitsinfrastruktur, Systeme oder Dienste gebe.
On-Chain-Ermittler haben erhebliche Verluste beziffert. Das Blockchain-Datenunternehmen Bitquery meldete, dass 315 Wallets auf TRON, Bitcoin, Ethereum, BNB Chain, Polygon und Solana um insgesamt 93,2 Millionen US-Dollar erleichtert wurden. Den größten Anteil machten USDT auf TRON aus. Tether hat im Zusammenhang mit dem Vorfall rund 10 Millionen US-Dollar in USDT eingefroren. Frühere Schätzungen von Forschern wie Specter lagen bei über 86 Millionen US-Dollar, wie The Block zuerst ausführlich berichtete.
Der koordinierte Ablauf der Abflüsse – etwa wenn mehrere Wallets innerhalb von Sekunden Genehmigungen signieren – deutet auf einen einzelnen Akteur hin, der sich private Schlüssel beschafft hat. Das wäre mit einem Hardware-Implantat vereinbar, das während der Einrichtung die Wiederherstellungsphrase abfangen und nach außen übertragen könnte. Ledger entwickelt verbesserte Maßnahmen gegen Manipulationen und fordert Nutzer auf, ausschließlich offizielle Kanäle zu nutzen. Das Unternehmen weist darauf hin, dass es niemals nach einer 24 Wörter langen Wiederherstellungsphrase fragen wird.
Betroffenen Nutzern wird geraten, den Ledger-Support über offizielle Kanäle zu kontaktieren. Der Vorfall verdeutlicht die anhaltenden Risiken in den Lieferketten für Hardware-Wallets, auch wenn das Unternehmen weiterhin betont, dass das Problem auf den Vertriebskanal dieses speziellen Wiederverkäufers beschränkt sei.