Trezor entfernt Händler nach Ledger-Implantatangriff

Trezor wird am 1. Jan. 2027 ausgewählte autorisierte Wiederverkäufer aus seinem Netzwerk entfernen, nachdem ein Implantatangriff auf den Konkurrenten Ledger Risiken beim Vertrieb von Hardware-Wallets offengelegt hat. Betroffene Händler erhalten keine zusätzliche Ware mehr, dürfen ihre vorhandenen Bestände aber über die Black-Friday- und Weihnachtssaison verkaufen. Trezor erklärte, keine Hinweise darauf gefunden zu haben, dass Geräte im eigenen Netzwerk kompromittiert wurden.

Warum das wichtig ist

Die Untersuchung bei Ledger zeigte, wie Angreifer vor dem Verkauf eine nicht autorisierte elektronische Komponente in eine Wallet einsetzen konnten. Ledger erklärte, sein Donjon-Team habe ein Implantat entdeckt, das während der Einrichtung die aus 24 Wörtern bestehende Wiederherstellungsphrase erfassen und über eine LTE-Verbindung mit integrierter eSIM übertragen konnte. Die Komponente arbeitete unabhängig vom Secure Element und dem operating system der Wallet, sodass die normale Signierung von Transaktionen fortgesetzt werden konnte.

Trezors Chief Commercial Officer Danny Sanders sagte, das Unternehmen könne nicht länger jeden Partner in seinem bestehenden Vertriebsnetz angemessen überprüfen. Vor der Entscheidung, welche Partnerschaften beendet werden, prüfte das Unternehmen die Märkte anhand von Umsatz, Vertriebsabdeckung und seiner Fähigkeit, Kunden zu erreichen. Sanders bezeichnete den Schritt als vorbeugend und erklärte, eine Hardware-Wallet sei nur so sicher wie der Weg, den sie zu ihrem Besitzer nehme.

Auswirkungen auf den Markt

Die Änderungen übertragen mehr Verantwortung auf autorisierte Vertriebspartner. Händler, die ihre Zulassung behalten, müssen strengere vertragliche Vorgaben erfüllen und sich zusätzlichen Prüfungen unterziehen. Diese betreffen die Beschaffung, Lagerung und Handhabung der Geräte. Kleinere Unternehmen, die ihre Zulassung verlieren, könnten erhebliche finanzielle Folgen spüren, obwohl Trezor betonte, dass die Entscheidung weder ein Fehlverhalten feststelle noch belege, dass ihre vorhandenen Bestände unsicher seien.

Der größere Vorfall ist weiterhin nicht abschließend geklärt. Ledger bestätigte nachgewiesene Diebstähle im Zusammenhang mit Geräten, die von CryptoBilis verkauft wurden. Berichte über weitere Händler in Deutschland und Singapur wurden dagegen weder unabhängig bestätigt noch mit demselben Angriff in Verbindung gebracht. Unabhängige Ermittler haben mutmaßliche Verluste von fast 93 Millionen US-Dollar mit dem größeren Vorfall in Verbindung gebracht, Ledger hat diese Gesamtsumme jedoch nicht bestätigt.