TheBlock
Ledger hat bestätigt, dass ein Hardware-Implantat in seinen von dem südostasiatischen Wiederverkäufer CryptoBilis verkauften Signiergeräten die 24 Wörter umfassende Wiederherstellungsphrase während der Einrichtung erfasst und sie über LTE per provisionierter eSIM überträgt. Das Sicherheitsteam Donjon des Unternehmens erklärte, dass das Implantat weder das Secure Element des Geräts noch das Ledger-Betriebssystem oder Transaktionen und Signaturen verändert. Onchain-Forscher schätzen die Verluste bei Bitcoin, Ethereum und Tron auf mehr als $86 Millionen. Ledger sagt jedoch, dass weder die Gesamtsumme noch die Zahl der betroffenen Nutzer verifiziert wurde.
Warum das wichtig ist
Der Angriff umgeht das zentrale Sicherheitsmodell des Geräts, ohne es zu manipulieren. Da das Implantat die Wiederherstellungsphrase bei der Einrichtung abgreift, verlieren Betroffene sämtliche von dieser Phrase kontrollierten Vermögenswerte, einschließlich Beständen, die später auf neue Wallets übertragen wurden. Ledger erklärt, es gebe keine Hinweise auf eine Kompromittierung der eigenen Infrastruktur oder Dienste, und hat CryptoBilis aufgefordert, den Verkauf und Versand aller Geräte auszusetzen, während das Team zurückerhaltene Hardware untersucht.
Die Reichweite des Vorfalls geht über den ursprünglichen Wiederverkäufer hinaus. MediaMarkt Saturn stellte den Verkauf von Ledger-Geräten in Filialen und online ab dem 13. Oktober ein, nachdem ein deutscher Kunde ein Implantat gemeldet hatte. In diesem Fall gingen jedoch keine Gelder verloren. Der frühere Mt.-Gox-Chef Mark Karpelès erklärte unabhängig davon, dass ein am Flughafen von Singapur gekaufter Ledger Flex ein Spionage-Implantat enthalten habe. Ledger hat nicht bestätigt, dass diese Behauptung mit derselben Operation zusammenhängt.
Auswirkungen auf den Markt
Konkurrenten werten den Vorfall als Weckruf für die Lieferkettensicherheit. Trezor hat CryptoBilis entfernt und verkleinert sein gesamtes Wiederverkäufernetz. Benachrichtigte Partner verlieren ihre Autorisierung am 1. Januar 2027. OneKey hat die Autorisierung des Wiederverkäufers vollständig widerrufen und bietet kostenlose Ersatzgeräte für Geräte an, die zwischen dem 1. März und dem 13. Oktober über CryptoBilis gekauft wurden.
Die Lehre für Besitzer lautet, beim Vertriebskanal sorgfältig zu sein: Hardware-Wallets direkt beim Hersteller kaufen und Geräte von Drittanbietern so lange als nicht vertrauenswürdig behandeln, bis sie verifiziert sind. Als Nächstes sind eine von Ledger bestätigte Verlustsumme und mögliche Maßnahmen der Strafverfolgungsbehörden zu beobachten, die den Ursprung der Operation klären könnten.
Häufig gestellte Fragen
-
Wie stiehlt das Ledger-Implantat die Wiederherstellungsphrase?
Es erfasst die 24 Wörter während der Geräteeinrichtung und überträgt sie per LTE über eine provisionierte eSIM, ohne das Secure Element, das Ledger-Betriebssystem oder Transaktionssignaturen zu verändern.
-
Wie viel Geld ging bei dem Vorfall mit dem CryptoBilis-Ledger-Implantat verloren?
Onchain-Forscher schätzen die Verluste bei Bitcoin, Ethereum und Tron auf mehr als $86 Millionen. Ledger erklärt jedoch, dass die Zahlen und die Zahl der betroffenen Nutzer weiterhin nicht verifiziert sind.
-
Wurden die eigenen Systeme von Ledger gehackt?
Nein. Ledger zufolge gibt es keine Hinweise darauf, dass die eigene Infrastruktur, die Systeme oder die Dienste kompromittiert wurden. Die Implantate wurden in Geräten gefunden, die über den Wiederverkäufer CryptoBilis verkauft wurden. Ledger hat ihn aufgefordert, Verkauf und Versand auszusetzen.
-
Hat MediaMarkt den Verkauf von Ledger-Geräten eingestellt?
Ja. MediaMarkt Saturn setzte den Verkauf von Ledger-Geräten in Filialen und online ab dem 13. Oktober aus, nachdem ein Kunde in Deutschland ein Implantat gemeldet hatte. In diesem Fall wurde kein Verlust von Geldern gemeldet.
-
Was sollte ich tun, wenn ich einen Ledger bei CryptoBilis gekauft habe?
Ledger rät, vor dem Öffnen des Signiergeräts die Strafverfolgungsbehörden einzuschalten. OneKey bietet kostenlose Ersatzgeräte für Geräte an, die zwischen dem 1. März und dem 13. Oktober über CryptoBilis gekauft wurden. Trezor hat den Wiederverkäufer vorsorglich entfernt.
WuBlockchain
Crypto News
CoinDesk
CryptoSlate
Lookonchain