Ledger-Wallets mit Spionagechips verkauft, die Seed-Phrasen stahlen

Laut Ledger kaufte eine kriminelle Gruppe echte Ledger-Hardware-Wallets, versteckte in jedem Gerät einen Spionagechip und brachte sie über Wiederverkäufer in Südostasien zurück in den Handel. Der Chip las die Wiederherstellungsphrase jedes Käufers mit, sobald sie auf dem Bildschirm erschien, und schickte sie über ein Mobilfunknetz nach draußen. Anschließend leerten die Diebe die Wallets. Onchain-Forscher schätzen die Verluste auf bis zu 93,2 Millionen US-Dollar aus mehr als 300 Wallets, berichtet TheStreet. Ledger hat eine Gesamtsumme allerdings nicht bestätigt.

Eine Hardware-Wallet ist ein kleines Gerät, das die Schlüssel zu Kryptowährungen offline speichert. Ihr ganzes Versprechen lautet, dass das Geheimnis nie mit einem Computer in Berührung kommt, der mit dem Internet verbunden ist. Dieser Angriff hat dieses Design nicht geknackt. Er hat es umgangen.

Wie das Implantat funktionierte

Alle bestätigten Diebstähle gehen auf Geräte zurück, die CryptoBilis verkauft hat, ein Wiederverkäufer mit Sitz in Malaysia, berichtet BleepingComputer. Laut Forschern wurden diese Geräte zu fast der Hälfte des normalen Preises angeboten.

Mark Karpelès und Tibane Labs haben betroffene Geräte zerlegt und beschrieben, was sie gefunden haben, so BleepingComputer:

• Eine versteckte Platine hinter dem Bildschirm. Sie erfasste, was das Display zeigte und welche Tasten gedrückt wurden.
• Ein kleinerer Ersatzakku, der den zusätzlichen Chip mit Strom versorgte.
• Eine eingebaute eSIM, also eine digitale SIM-Karte, damit der Chip Daten über ein LTE-Mobilfunknetz senden konnte.

Ziel war die Wiederherstellungsphrase, auch Seed-Phrase genannt. Das ist die Liste aus 24 Wörtern, die eine Wallet bei der Einrichtung einmal anzeigt, und wer sie kennt, kontrolliert das Guthaben. Der Chip griff nicht auf Ledgers Secure Element zu, den abgeschotteten Chip, der die Schlüssel speichert, und veränderte auch keine Transaktionen, sagte Ledger gegenüber TheStreet.

Deshalb haben Ledgers eigene Prüfungen ihn übersehen. Der Genuine Check ist ein Test, der bestätigt, dass ein Gerät echt ist. Ledgers Support-Seiten warnen, dass er keine zusätzlichen Bauteile erkennt, solange das ursprüngliche Secure Element intakt ist, berichtet BleepingComputer.

Was laut Ledger passiert ist

Ledger leitete am 9. Oktober eine Untersuchung ein, nachdem Nutzer geleerte Wallets gemeldet hatten, und bestätigte die Manipulation einen Tag später. Am 15. Oktober veröffentlichte das Unternehmen seine bislang ausführlichste Darstellung in einem Blogbeitrag. Laut Ledger kaufte die Gruppe über viele Monate hinweg echte Geräte, veränderte sie und schleuste sie zurück in die Lieferkette.

„Dies war ein Angriff auf den Vertriebskanal, nachdem die Geräte unsere Kontrolle verlassen hatten“, schrieb Ledger. Nach eigenen Angaben wurden die Chips, das Betriebssystem und die Server des Unternehmens nicht kompromittiert.

Ledger-Chef Pascal Gauthier sagte gegenüber TheStreet: „Die Manipulation der physischen Lieferkette ist ein Risiko für die gesamte Branche.“

Die Angaben zur Höhe der Verluste gehen auseinander:

Schätzung	Quelle
Bis zu 93,2 Millionen US-Dollar, mehr als 300 Wallets	Onchain-Schätzungen von CoinDesk, via TheStreet
Über 90 Millionen US-Dollar	Galaxy Digital, via TheStreet
Unbekannt	Ledger und Privacy Guides

Tether, der Herausgeber des Stablecoins USDT, hat USDT im Wert von 10 Millionen US-Dollar eingefroren, berichtet TheStreet.

Streit um Geräte aus deutschen Märkten

TheStreet berichtet, dass manipulierte Geräte auch beim deutschen Händler MediaMarkt aufgetaucht seien, der Ledger-Produkte aus seinen Märkten und seinem Onlineshop genommen habe. Ledgers eigener Blogbeitrag sagt dagegen, das Unternehmen habe Geräte in deutschen Geschäften gekauft und Stichproben aus dem Lager geprüft. „Jedes untersuchte Gerät war sauber“, heißt es dort. Die beiden Darstellungen sind bislang nicht in Einklang gebracht worden.

Was das für Entwickler bedeutet

Die Lehre reicht über Krypto hinaus. Jedes Sicherheitsgerät, vom Hardware-Schlüssel bis zum Smartphone, ist nur so vertrauenswürdig wie der Weg, den es bis auf Ihren Schreibtisch genommen hat.

Für Ledger-Besitzer ist der Rat eindeutig. „Wenn Sie einen Ledger-Signer bei CryptoBilis gekauft und noch nicht eingerichtet haben, richten Sie ihn nicht ein“, sagte Ledgers Technikchef Charles Guillemet gegenüber TheStreet. Wenn Sie bereits einen eingerichtet haben, übertragen Sie Ihr Guthaben auf ein neues Gerät mit einer neuen Wiederherstellungsphrase, rät Ledger laut Privacy Guides.

Für Teams, die Sicherheitshardware kaufen:

• Kaufen Sie beim Hersteller oder bei einem autorisierten Händler. Ein Preis weit unter dem üblichen Ladenpreis ist ein Warnsignal, kein Schnäppchen.
• Verlassen Sie sich nicht darauf, dass eine Softwareprüfung zusätzliche Hardware findet. Ledgers Genuine Check hat diese Geräte durchgelassen.
• Zeigen Sie ein langlebiges Geheimnis nie auf einem Gerät an, das Sie nicht selbst geprüft haben.

Ledger hat Wiederverkäufer aufgefordert, den Verkauf in Südostasien und Hongkong einzustellen. Außerdem führt das Unternehmen neue Regeln für seine Händler ein: keine Produkte in offenen Regalen oder Auslagen, Ware bis zum Kauf im Lager und schnelle Meldung von allem Ungewöhnlichen. Ledger arbeitet nach eigenen Angaben mit der Polizei zusammen und will weitere technische Details veröffentlichen.