Wie sicher sind deine Kryptowerte? MediaMarkt nimmt Ledger-Produkte aus dem Sortiment, Trezor reagiert auf Diebstahl

MediaMarkt nimmt die Hardware-Wallets von Ledger aus dem Sortiment, nachdem ein Kunde in Deutschland einen versteckten Chip in seinem Gerät entdeckt hat. Damit hat der Ledger-Hack, der bislang vor allem Asien betraf, gestern auch den europäischen Einzelhandel erreicht. Konkurrent Trezor ergreift ebenfalls Vorsichtsmaßnahmen.

Manipulierte Ledger-Wallet bei MediaMarkt entdeckt

MediaMarktSaturn, die deutsche Muttergesellschaft von MediaMarkt, hat gestern europaweit den Verkauf von Ledger-Geräten in den Filialen und im Onlinehandel eingestellt.

Dem Kunden in Deutschland ist laut Ledger bislang kein Geld abhandengekommen. Der Handelskonzern will dennoch kein Risiko eingehen. Ein Sprecher von MediaMarktSaturn erklärte, das Unternehmen nehme den Vorfall sehr ernst.

Es bleibt nicht bei einer Meldung. Der X-Nutzer Johannes berichtet, in zwei Ledger-Geräten aus unterschiedlichen Filialen lose Kabel und Mobilfunkmodule gefunden zu haben. Bestätigt ist das bislang nicht.

Mark Karpelès, ehemaliger Chef der insolventen Kryptobörse Mt. Gox, meldet zudem ein nachträglich eingebautes Bauteil in einem Ledger Flex, das am Flughafen Singapur gekauft wurde. Ob der Fund mit demselben Angriff zusammenhängt, hat Ledger nicht bestätigt.

Die ersten Fälle wurden vergangene Woche in Südostasien bekannt. Kunden des malaysischen Händlers CryptoBilis stellten fest, dass ihre Wallets leergeräumt worden waren. Ein Betroffener berichtete auf Reddit, USDT im Wert von fast 100.000 Dollar verloren zu haben.

Das Analyseunternehmen Bitquery schätzt den Gesamtschaden auf rund 93 Millionen Dollar, verteilt auf 311 Wallets. Das entspricht im Schnitt fast 300.000 Dollar je Wallet.

Ledger hat diese Summen nicht bestätigt. Das Unternehmen betont auf X, dass sich die bislang bestätigten Vorfälle weiterhin ausschließlich auf Südostasien beschränkten. Die Untersuchung dauere an.

Eine Hardware-Wallet ist ein Gerät, oft kaum größer als ein USB-Stick, das die Schlüssel für Kryptowerte offline speichert. Bei der Einrichtung erzeugt es eine Wiederherstellungsphrase aus 24 Wörtern.

Diese Wortfolge dient als Ersatzschlüssel für die Wallet. Wer sie kennt, kann die Wallet auf einem anderen Gerät wiederherstellen und sämtliche Kryptowerte abziehen.

Genau hier setzt das eingeschleuste Bauteil an, wie das Sicherheitsteam von Ledger gestern erläuterte. Es liest die Wiederherstellungsphrase vom Display ab und übermittelt sie mithilfe einer eingebauten SIM-Karte (eSIM) über das Mobilfunknetz.

Der Sicherheitschip, auf dem die Schlüssel liegen, bleibt dabei unangetastet. Ein manipuliertes Ledger-Gerät funktioniert deshalb ganz normal und besteht sogar die Echtheitsprüfung in der hauseigenen App.

Wie die Bauteile in die Geräte gelangten, ist noch unklar. Nach Angaben von Changpeng Zhao, dem früheren Chef der Kryptobörse Binance, könnten die Hacker CryptoBilis selbst übernommen haben.

Wer in den vergangenen 90 Tagen bei CryptoBilis gekauft hat, sollte das Gerät laut Ledger nicht einrichten. Wer es bereits für Kryptowerte nutzt, sollte diese auf ein neues Ledger-Gerät mit einer neuen Wiederherstellungsphrase übertragen.

Trezor trennt sich von Vertriebshändlern

Trezor liegen keine Meldungen über manipulierte Geräte vor. Nach dem Ledger-Hack ergreift das Unternehmen dennoch Vorsichtsmaßnahmen. CryptoBilis wurde bereits von der Händlerliste gestrichen, nun trennt sich Trezor auch von einem Teil seiner übrigen Vertriebshändler.

Das geht aus einem Schreiben von Vertriebschef Danny Sanders an die Partner hervor. Ihre Autorisierung erlischt zum 1. Januar 2027. Bis dahin erhalten sie keine neue Ware mehr, dürfen ihre Restbestände aber noch verkaufen.

Damit bleiben ihnen gut elf Wochen, gerade genug für den Black Friday und das Weihnachtsgeschäft. Wie viele Händler betroffen sind, lässt Trezor offen. Für die verbleibenden Partner gelten künftig strengere Vorgaben zur Herkunft und Lagerung der Geräte.

Sanders betont, es gebe keinerlei Hinweise auf eine Manipulation von Trezor-Geräten. Die Maßnahme sei rein vorbeugend und erfolge aus besonderer Vorsicht.

Auch OneKey, ein kleinerer Hersteller von Hardware-Wallets, hat die Zusammenarbeit mit CryptoBilis beendet. Das Unternehmen tauscht Geräte, die zwischen dem 1. März und dem 13. Oktober über diesen Händler gekauft wurden, kostenlos aus. Verluste hat OneKey selbst allerdings nicht gemeldet.

Dennoch markiert Trezors Vorgehen einen bemerkenswerten Kurswechsel. Als 2022 gefälschte Trezor-Geräte auftauchten, empfahl das Unternehmen noch, ausschließlich im eigenen Onlineshop oder bei autorisierten Händlern zu kaufen.

Gerade dieser zweite Vertriebsweg wird nun eingeschränkt. Der Fund bei MediaMarkt legt zudem nahe, dass auch der Kauf bei einer großen Handelskette keine Sicherheit garantiert.

An welcher Stelle der Lieferkette die Geräte manipuliert wurden, weiß auch Ledger bislang nicht. Das Unternehmen erklärte, die laufende Untersuchung solle klären, wer die Geräte verändert habe und wo in der Vertriebskette dies geschehen sei.