Implantat in Ledger schürt Sorgen um die Lieferkette von Hardware-Wallets
Ledgers Sicherheitsteam Donjon hat ein schädliches Implantat in einer Hardware-Wallet entdeckt, die vom südostasiatischen Händler CryptoBilis verkauft wurde. Das Implantat kann während der Einrichtung die 24 Wörter umfassende Wiederherstellungsphrase des Geräts abfangen und sie über LTE mithilfe einer bereits eingerichteten eSIM versenden. Dadurch sind die Guthaben in der Wallet gefährdet. Ledger bestätigte ein betroffenes Gerät und erklärte, dass sich die bisher verifizierten Verluste auf von CryptoBilis verkaufte Wallets beziehen. CryptoBilis hat den Verkauf von Ledger-Geräten während der laufenden Ermittlungen eingestellt. Der Onchain-Ermittler Specter brachte mutmaßliche Diebstähle von mehr als 86 Millionen US-Dollar auf Bitcoin, Ethereum und Tron miteinander in Verbindung. Ledger zufolge sind die online kursierenden Verlustschätzungen jedoch noch nicht verifiziert. Ledger rät Käufern, verdächtige Geräte nicht einzurichten, und fordert alle, die ein solches Gerät benutzt haben, auf, ihre Guthaben auf ein neues Gerät mit einer neuen Wiederherstellungsphrase zu übertragen. Der Vorfall mit der Hardware-Wallet hat auch weitergehende Sorgen um die Lieferkette ausgelöst. Der Sicherheitsforscher Joe Grand warnte, dass sich ausgeklügelte physische Manipulationen nur schwer erkennen lassen können. Trezor erklärte, Echtheitsprüfungen und signierte Firmware seien hilfreich, könnten Änderungen aber nicht ausschließen; das Unternehmen plant, sein Händlernetz zu verkleinern. Experten empfahlen, das Vertrauen auf mehrere Anbieter zu verteilen und manipulationsresistente Designs zu verbessern, betonten aber, dass keine Maßnahme sämtliche Risiken beseitigt. Ledger zufolge hat das Implantat weder das Secure Element noch das Betriebssystem oder die Transaktionssignaturen des Unternehmens verändert. Der Vorfall verdeutlicht Sicherheitsrisiken bei Hardware-Wallets und Wiederherstellungsphrasen, weist aber nicht auf ein umfassenderes Problem mit dem Bitcoin-Netzwerk hin.
Neutral
Der Vorfall könnte bei Krypto-Händlern und Nutzern der Selbstverwahrung kurzfristig zu größerer Vorsicht führen, insbesondere im Hinblick auf Anbieter von Hardware-Wallets und die Sicherheit von Wiederherstellungsphrasen. Diese Reaktion könnte das Vertrauen in Ledger beeinträchtigen und einige Nutzer dazu bewegen, Gelder zu transferieren oder ihre Art der Vermögensverwahrung zu überprüfen. Die Berichte deuten jedoch nicht auf einen Ausfall der Bitcoin-, Ethereum- oder Tron-Protokolle hin, und die mutmaßliche Gesamtsumme des Diebstahls ist weiterhin unbestätigt. Die direkten Auswirkungen auf die Preise von BTC, ETH und TRX dürften daher begrenzt sein; eine mögliche Marktreaktion dürfte sich eher auf die sicherheitsbezogene Stimmung beschränken als zu breit angelegten Verkäufen führen. Langfristig könnten strengere Herkunftskontrollen, manipulationsresistentere Designs und klarere Kontrollen für Wiederverkäufer das Vertrauen in die Selbstverwahrung stärken. Der Vorfall könnte einige Nutzer dazu veranlassen, auf mehrere Anbieter zu setzen, verändert für sich genommen jedoch weder den zugrunde liegenden Wert noch die Funktionsweise der genannten Kryptowährungen.