Ledger hat bestätigt, dass eine Hardware-Wallet, die einem Opfer einer großen Diebstahlserie in Südostasien gehörte, ein nicht autorisiertes Hardware-Implantat enthielt.
On-Chain-Forscher schätzen, dass aus Hunderten von Wallets mehr als 86 Millionen US-Dollar abgezogen wurden. Ledger zufolge betreffen alle bislang bestätigten Fälle Geräte, die über einen einzigen Wiederverkäufer, CryptoBilis, verkauft wurden. Die eigenen Systeme und direkten Vertriebskanäle des Unternehmens seien nicht betroffen.
Was passiert ist
Am 9. Oktober meldeten Kunden, die Ledger-Geräte über CryptoBilis gekauft hatten, nicht autorisierte Transaktionen. CryptoBilis ist ein offizieller Ledger-Wiederverkäufer für Indonesien, Malaysia und die Philippinen. Der On-Chain-Forscher tanuki42 machte zunächst auf Bewegungen von mehr als 72 Millionen US-Dollar zu einer Gruppe mutmaßlicher Diebstahlsadressen aufmerksam.
Ein weiterer Forscher, Specter, verfolgte später Geldflüsse über Bitcoin, Ethereum und Tron hinweg und bezifferte die mutmaßlichen Verluste auf mehr als 86 Millionen US-Dollar. MistTrack und Arkham Intelligence schätzten die Summe später auf annähernd 90 Millionen US-Dollar. Einige Medien nennen Schätzungen von bis zu etwa 93 Millionen US-Dollar bei mehr als 300 Wallets.
Ledger hat keine dieser Summen verifiziert, und es ist weiterhin unklar, ob alle in den Schätzungen erfassten Diebstähle Kunden von CryptoBilis betreffen.
Der Verlust eines Opfers
Lookonchain schilderte einen besonders schmerzhaften Fall. Der Investor hatte vor vier Monaten 80 BTC im Wert von rund 5,2 Millionen US-Dollar zu einem Kurs von etwa 65.000 US-Dollar gekauft und saß auf einem Gewinn von ungefähr 1,38 Millionen US-Dollar. Vor einer Woche kaufte er ein Ledger-Gerät bei CryptoBilis und zahlte alle 80 BTC darauf ein. Nun, so Lookonchain, hat er alles verloren.
Ledgers Reaktion
Am 9. Oktober forderte Ledger CryptoBilis auf, während der laufenden Untersuchung alle Verkäufe und Lieferungen auszusetzen. Ledger riet allen, die in den vergangenen 90 Tagen bei diesem Wiederverkäufer ein Ledger-Gerät gekauft hatten, mit der Einrichtung noch nicht zu beginnen, falls sie das noch nicht getan hatten.
Am 10. Oktober veröffentlichte Ledger eine deutlich ernstere Mitteilung:
„Ledger kann bestätigen, dass das Gerät eines der betroffenen Nutzer ein nicht autorisiertes Hardware-Implantat enthielt. Im Rahmen der laufenden Untersuchung nimmt Ledger Kontakt zu den betroffenen Nutzern auf. Wenn Sie Informationen zur Untersuchung haben, wenden Sie sich bitte an Ledgers Bounty-Programm: bounty@ledger.fr.“
In einem Update nach 72 Stunden teilte Ledger mit, dass das Unternehmen mit den zuständigen Behörden zusammenarbeite und nur eine begrenzte Anzahl von Geräten betroffen sei. Außerdem erklärte es:
„Bis heute betreffen alle bestätigten Fälle im Zusammenhang mit dem bekannt gewordenen Abfluss vom 9. Oktober 2026 Geräte, die über den südostasiatischen Wiederverkäufer CryptoBilis verkauft wurden. Unsere Systeme und direkten Vertriebskanäle sind nicht betroffen.“
CryptoBilis setzte den Verkauf seines gesamten Bestands an Hardware-Wallets bis zum Abschluss der Untersuchung aus.
Was Forscher im Inneren fanden
Noch bevor Ledger den Vorfall bestätigte, hatten Forscher bereits manipulierte Geräte untersucht. Tibane Labs veröffentlichte ein technisches Whitepaper, in dem ein Gerät mit einem Mikrocontroller und Mobilfunkkommunikationshardware beschrieben wurde, die mit den internen Datenleitungen des Displays verbunden waren. Medienberichten zufolge untersuchten Forscher, darunter Joe Grand von Grand Idea Studio und das Team von Tibane Labs, kompromittierte Geräte durch Reverse Engineering und identifizierten drei Versionen des Implantats.
Dem Bericht zufolge erfasst das Implantat die Wiederherstellungsphrase, während ein Nutzer das Gerät einrichtet. Eine Wiederherstellungsphrase besteht aus 12 oder 24 Wörtern, mit denen sich die Wallet kontrollieren lässt. Wer sie kennt, kann die Wallet von überall aus leeren. Das würde erklären, warum die Opfer Geld verloren, ohne jemals eine Transaktion bestätigt zu haben.
Ein wichtiger Vorbehalt: Ledger hat nicht bestätigt, dass das Implantat die Diebstähle verursacht hat; der genaue Mechanismus wird noch untersucht. Die Angriffsmethode wurde von Forschern beschrieben, aber nicht von Ledger bestätigt.
Eine Frage zu CryptoBilis
In einer Erklärung, die dem Forscher Mark Karpelès übermittelt und von Tibane Labs veröffentlicht wurde, hieß es, CryptoBilis habe im März einen Führungswechsel vollzogen und die Verfasser hätten keinen Zugriff mehr auf die Systeme oder Kundendatenbanken des Unternehmens. Aus der Erklärung geht weder hervor, wer die Geräte manipuliert hat, noch wann dies geschah. Diese Frage ist weiterhin offen.
Warum dies eine andere Art von Angriff ist
Bei den meisten Kryptodiebstählen in diesem Jahr handelte es sich um Hacks von Kryptobörsen, Smart-Contract-Exploits oder Phishing. Dieser Angriff zielt auf die Hardware selbst ab, noch bevor der Nutzer sie überhaupt in die Hand nimmt. Es handelt sich um einen Angriff auf die Lieferkette: Das Produkt wird irgendwo zwischen der Fabrik und Ihrem Schreibtisch manipuliert. Deshalb kann er selbst vorsichtigen Nutzern schaden, die auf ihrer Seite alles richtig machen.
Zudem zielt der Angriff auf die vertrauenswürdigste Kategorie der Selbstverwahrung ab. Hardware-Wallets gelten als sicherste Möglichkeit, Kryptowährungen aufzubewahren, da die privaten Schlüssel offline bleiben. Ein manipuliertes Gerät macht dieses Versprechen zunichte, wenn es aus einer nicht verifizierten oder veränderten Quelle stammt.
Was Ledger-Nutzer tun sollten
Befolgen Sie Ledgers Empfehlungen und die üblichen Sicherheitspraktiken:
– Wenn Sie in den vergangenen 90 Tagen bei CryptoBilis gekauft und das Gerät noch nicht eingerichtet haben: Schalten Sie es nicht ein und initialisieren Sie es nicht.
– Wenn Sie bereits ein bei CryptoBilis gekauftes Gerät verwenden: Ersetzen Sie sowohl das Gerät als auch die Wiederherstellungsphrase und übertragen Sie Ihr Guthaben auf eine neue Wallet, die Sie auf einem vertrauenswürdigen Gerät erstellt haben.
– Für alle anderen: Kaufen Sie Hardware-Wallets direkt beim Hersteller oder über einen offiziell verifizierten Vertriebskanal. Verwenden Sie niemals ein Gerät, das bereits initialisiert ist oder dem eine bereits notierte Wiederherstellungsphrase beiliegt, und vergewissern Sie sich, dass die Verpackungssiegel intakt sind.
– Wenn Sie Informationen zu dem Fall haben: Ledger bittet Sie, sich unter bounty@ledger.fr an sein Bounty-Programm zu wenden.
Wie es weitergeht
Die Untersuchung läuft weiter, und Ledger zufolge arbeitet das Unternehmen mit den Strafverfolgungsbehörden zusammen. Wichtige Fragen sind noch offen: Wie viele Geräte wurden manipuliert? An welcher Stelle der Lieferkette wurden die Implantate eingebaut? Und wird sich die endgültige Verlustsumme mit den derzeitigen Schätzungen von 86 bis 93 Millionen US-Dollar decken oder diese übersteigen? Es ist mit weiteren technischen Erkenntnissen von Tibane Labs und anderen Forschern, einem möglichen forensischen Bericht von Ledger und einer strengeren Prüfung der Verfahren zu rechnen, mit denen Hersteller von Hardware-Wallets ihre Wiederverkäufer überprüfen und überwachen.