Jede Zipp-Geschichte mit dem Tag #HardwareWallet, die neueste zuerst.
Das Gerät wurde noch nicht untersucht, doch laut Trezor könnte das gemeldete Implantat Wiederherstellungsphrasen abfangen. Bei vier weiteren geprüften Kundengeräten fand das Unternehmen bislang keine Manipulationsspuren.
Die Zahl der betroffenen Nutzer bleibt unbekannt. Aus alten Bestelldaten könnten jedoch Kundeninformationen offengelegt worden sein, obwohl Passport-Geräte und private Schlüssel nicht kompromittiert wurden.
Der Vorfall legte keine Wallet-Zugangsdaten oder Zahlungsdetails offen, doch ausgestellte Bestelldetails erhöhen das Risiko gezielter Phishing-Angriffe, gefälschter Rückerstattungen und Betrugsversuche mit Ersatzgeräten.
Die Vorwürfe rücken die Lieferkettensicherheit und proaktive Offenlegung in den Mittelpunkt der Debatte über Risiken bei der Selbstverwahrung.
Das für Mitte 2027 geplante Gerät soll Manipulationen in der Lieferkette mit Hardware-Schutzmaßnahmen entgegenwirken. Der Vorfall bei CryptoBilis hat die Risiken beim Vertrieb von Wallets in den Fokus gerückt.
Das Gerät kombiniert einen abgeschirmten Modus zum Signieren von Transaktionen mit neuen Manipulationsschutzfunktionen. Zugleich untersucht Ledger veränderte Wallets, die Forschende mit mutmaßlichen Verlusten von mehr als 86 Millionen US-Dollar in Verbindung bringen.
Ein Rückruf in dieser Größenordnung deutet auf einen Vertriebsseitigen Sicherheitsvorfall und nicht auf ein einzelnes fehlerhaftes Gerät hin. Er legt eine wiederkehrende Schwachstelle in den Lieferketten von Hardware-Wallets offen: die Lücke zwischen Werkssiegel und Endkunden.
Der Fall rückt die Lieferkettensicherheit in den Mittelpunkt des Hardware-Wallet-Risikos, während Ledger erklärt, die eigenen Systeme seien nicht kompromittiert und der Vorfall offenbar auf einen einzigen Wiederverkäufer beschränkt.
Der Vorfall zeigt, dass Genuine Check ein intaktes Secure Element validieren kann, während zusätzliche Hardware darum herum unentdeckt bleibt, wodurch Wiederherstellungsphrasen für remote Diebstahl verwundbar sind.
Verluste von mehr als 86 Millionen Dollar erhöhen den Druck auf die Sicherheit der Lieferkette von Hardware-Wallets, obwohl Ledger betont, dass die eigenen Systeme nicht kompromittiert wurden.
Der gemeldete Verlust macht auf die Risiken beim Kauf von Hardware-Wallets über Wiederverkäufer aufmerksam. Aus dem Bericht geht jedoch nicht hervor, wie die Gelder verloren gingen.
Der Bericht schildert einen erheblichen Verlust bei der Selbstverwahrung, erklärt aber weder, wie die Gelder verschwunden sind, noch belegt er, dass das Gerät dafür verantwortlich war.
Die gemeldeten Verluste sind bislang nicht bestätigt. Ledgers Empfehlung, die Einrichtung auszusetzen und Guthaben zu übertragen, verdeutlicht das Sicherheitsrisiko von Geräten aus nicht vertrauenswürdigen Quellen.
Es wurden zwar keine Bitcoin-Schlüssel oder Guthaben offengelegt, doch Namen und Lieferadressen können Phishing mit Wiederherstellungswörtern noch lange nach einem Wallet-Kauf glaubwürdig erscheinen lassen.
Die Wallets bleiben sicher, aber eine Datenpanne bei einem externen Newsletter-Anbieter legte E-Mail-Listen mehrerer Bitcoin-Firmen offen. Die Gefahr liegt darin, den Anweisungen der E-Mail zur Recovery-Seed zu folgen.
Trezors zweite Drittanbieter-Panne binnen zwei Monaten, und diesmal verschickten Angreifer die Phishing-Mails über die echte Domain des Anbieters statt über eine ähnlich aussehende Adresse.
Besitzer von Hardware-Wallets sind Phishing und physischer Zielverfolgung ausgesetzt, da rund 67.000 weitere Datensätze von einem Anbieter auftauchen, den Trezor bereits gelöscht glaubte. Die 90-tägige Löschrichtlinie hat nicht gehalten.
HWI bleibt offen und unterstützte Geräte funktionieren weiter, doch der Nachfolger BHWI liefert Paritätstests nur für vier Geräte, ohne dass ein Wallet produktiv darauf setzt.
Ledger hat den Fix für einen Fehler am 5. Mai und den anderen am 25. Mai zusammengeführt. Die Auslieferung erfolgte im August. Die Lücke zwischen Merge und Release ist die unbequeme Lektüre für Hardware-Wallet-Kunden.
Die 683M ZIL Zahl sorgt für Schlagzeilen, aber das siebenjährige Bestehen des Bugs in einer Ledger-signierten Anwendung ist die eigentliche Warnung für alle Token, die weiterhin auf native Hardware-Wallet-Signaturen angewiesen sind.
TheBlock
WuBlockchain
CoinDesk
CoinTelegraph
CryptoSlate
Lookonchain