Ledger-Angriff könnte auch Europa betreffen: „Hier läuft vieles schief“

Der Angriff auf Ledger-Wallets, der zunächst Südostasien betraf, könnte auch Europa erreicht haben. Ein Käufer berichtet, seine neue Hardwarewallet aus einer großen Elektronikhandelskette sei manipuliert worden. Erst am Wochenende hatte der französische Hersteller eingeräumt, dass Geräte manipuliert wurden.

Wie die Angreifer Zugang zu dem betroffenen Händler erlangten, wirft unterdessen immer mehr Fragen auf.

Ledger bestätigt verstecktes Hardware-Implantat

Ledger hat am Samstagabend bestätigt, dass sich im Gerät eines geschädigten Kunden ein nicht autorisiertes Hardware-Implantat befand. Am Freitag hatte der Hersteller den Fall noch untersucht, während die Verunsicherung in den sozialen Medien zunahm.

Eine Hardwarewallet ist ein kleines Gerät, oft kaum größer als ein USB-Stick, das die Zugangsschlüssel zu Kryptowährungen offline speichert. Die Coins selbst liegen auf der Blockchain, der Schlüssel für den Zugriff befindet sich im Gerät.

Dieser Schlüssel lässt sich aus der Wiederherstellungsphrase ableiten: einer Folge von 24 Wörtern, die das Gerät bei der ersten Einrichtung erzeugt. Der Käufer notiert diese auf Papier, um bei Verlust oder Defekt des Geräts den Zugang wiederherstellen zu können.

Genau darin liegt das Risiko. Wer die Wiederherstellungsphrase kennt, kann die Wallet auf einem anderen Gerät öffnen und sämtliche Bestände abziehen, ohne die Hardwarewallet je in der Hand gehabt zu haben.

Das Implantat könnte diese Wortfolge bereits bei ihrer Erzeugung auslesen. Das würde erklären, warum Betroffene berichten, ihre Wiederherstellungsphrase sicher verwahrt und keine verdächtigen Transaktionen freigegeben zu haben.

Das Gerät besteht dabei weiterhin die Echtheitsprüfung, die Ledger über seine eigene App durchführt. Für den Käufer scheint damit alles in Ordnung zu sein, obwohl ein Dritter bereits mitlesen könnte.

Das Analyseunternehmen Bitquery schätzt den Schaden inzwischen auf rund 93 Millionen Dollar, verteilt auf 311 Wallets. Am Freitag waren es noch gut 86 Millionen Dollar. Im Durchschnitt entspricht das fast 300.000 Dollar pro Wallet.

Ledger bestätigt diese Zahlen nicht und spricht von einer begrenzten Zahl betroffener Geräte. Die eigenen Systeme wurden nach Angaben des Unternehmens nicht kompromittiert.

Manipulierte Ledger-Wallet offenbar bei MediaMarkt gekauft

Der X-Nutzer Johannes veröffentlichte Fotos einer Ledger-Wallet, die er nach eigenen Angaben vor zwei Wochen bei MediaMarkt gekauft hat. Darin befand sich ein Implantat, das einer früheren Version des in Asien entdeckten Exemplars ähnelt. Bislang wurden jedoch keine Gelder entwendet.

Johannes hält zwei Erklärungen für möglich: Entweder habe das Implantat nicht funktioniert, oder die Angreifer hätten darauf gewartet, dass mehr manipulierte Geräte in Gebrauch seien, schrieb er.

Mark Karpeles, der frühere Chef der zusammengebrochenen Kryptobörse Mt. Gox, half dabei, den Fall in Asien aufzudecken. Ihm zufolge kennzeichnet eine Beschriftung auf der Antenne das Implantat als „eurasische Version“.

Das deutet auf unterschiedliche Ausführungen für Regionen mit verschiedenen Mobilfunkfrequenzen hin. Ledger hat nicht bestätigt, dass das europäische Gerät mit demselben Angriff in Verbindung steht. Auf X bezweifeln einige Nutzer sogar, dass es sich überhaupt um eine echte Ledger-Platine handelt.

Ledger-Angriff: Spur führt zu asiatischem Händler

Die Spur führt bislang zu CryptoBilis, einem offiziellen Ledger-Händler in Indonesien, Malaysia und auf den Philippinen. Das Unternehmen wechselte kürzlich den Eigentümer.

Changpeng Zhao, Mitgründer und ehemaliger Chef der Kryptobörse Binance, sieht einen Zusammenhang mit dieser Übernahme. Seiner Darstellung zufolge könnten die Hacker den Händler selbst gekauft haben.

Auf X schrieb Zhao, die Hacker hätten offenbar den Händler übernommen und die Verantwortlichen eine Geheimhaltungsvereinbarung unterzeichnen lassen, um sie zum Schweigen zu verpflichten. Er kritisierte, dass dabei vieles falsch gelaufen sei.

Eine solche Vereinbarung untersagt den Beteiligten, Informationen weiterzugeben. Zhao nennt keine Quelle für seine Angaben. Ledger hat die Behauptung nicht bestätigt.

Ledger empfiehlt allen, die in den vergangenen 90 Tagen bei CryptoBilis gekauft haben, ihre Kryptowährungen auf eine neue Ledger-Wallet mit einer neuen Wiederherstellungsphrase zu übertragen. Sollte sich die Manipulation des bei MediaMarkt gekauften Geräts bestätigen, wären auch Käufer in Europa von dem Angriff betroffen.