Ledger bestätigt Spionagechip hinter Diebstählen aus Krypto-Wallets

Ein Zusatzchip im Gehäuse las beim Einrichten die 24 Wörter der Wiederherstellungsphrase vom Display ab und funkte sie über das Mobilfunknetz an die Täter. Ledger hat dieses Implantat in Geräten des südostasiatischen Händlers CryptoBilis bestätigt. In Deutschland verkauft MediaMarktSaturn seit dem 13. Oktober keine Ledger-Geräte mehr.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Zwei Ledger-Geräte aus zwei MediaMarkt-Filialen hat der Krypto-Analyst Johannes nach eigener Darstellung aufgeschraubt, in beiden fand er zusätzliche Kabel und ein Mobilfunkmodul.^[1] Unabhängig geprüft hat diesen Fund bisher niemand. Ledger bestätigt nur, dass ein Kunde in Deutschland ein Implantat gemeldet hat, Geld verlor dieser Kunde laut Ledger nicht.^[2]

Das Wichtigste in Kürze

• Ledger bestätigte am 10. Oktober ein Hardware-Implantat in einem Gerät, das der Händler CryptoBilis verkauft hatte.
• Der Zusatzchip sendet die Wiederherstellungsphrase per eSIM über LTE, Sicherheitschip und Betriebssystem bleiben unverändert.
• Onchain-Analysten schätzen den Schaden auf bis zu 81 Millionen Euro aus über 300 Wallets, Ledger hat die Zahl nicht bestätigt.
• MediaMarktSaturn hat Ledger-Geräte aus Filialen und Onlineshops genommen.

Wie überlistet der Zusatzchip die Hardware-Wallet?

Den Sicherheitschip rührt das Implantat nicht an. Laut Ledgers Sicherheitsteam Donjon sitzt eine zusätzliche Platine im Gehäuse, erkennt die Phrase, sobald das Display sie beim Einrichten zeigt, und sendet die Wörter über eine vorab eingerichtete eSIM.^[3] Mit den 24 Wörtern stellen die Täter die Wallet auf eigener Hardware wieder her und leeren sie.

Ledgers Echtheitsprüfung Genuine Check schlägt nicht an. Der Test fragt kryptografisch ab, ob der Sicherheitschip von Ledger stammt, zusätzliche Bauteile daneben erkennt er laut Ledger nicht.^[4]

Ist der Fall neu?

2020 erbeuteten Angreifer bei Ledger rund eine Million E-Mail-Adressen, von etwa 272.000 Kunden landeten Name, Postadresse und Telefonnummer im Netz.^[5] Im Jahr darauf bekamen Kunden per Post präparierte Geräte, die nach der Wiederherstellungsphrase fragten, wie Branchenmedien damals berichteten. Diesmal muss das Opfer keinen Fehler machen: Ein Gerät aus dem Handel normal einzurichten genügt.

Den Aufwand, den Sicherheitschip selbst zu knacken, sparen sich die Täter. Wie viel Arbeit ein solcher Angriff kostet, zeigten Forscher, die mit einem Laser den Schlüssel aus einem gesperrten Chip holten. Angriffe auf die Lieferkette kannten Krypto-Anleger bisher vor allem aus Software, etwa als ein manipuliertes Tracking-Skript von Adform Wallet-Adressen austauschte oder 34 präparierte Pakete Wallets plünderten.

Trezor entzieht einem Teil seiner Wiederverkäufer zum 1. Januar 2027 die Zulassung. Belege für manipulierte Trezor-Geräte lägen nicht vor, schreibt Chief Commercial Officer Danny Sanders an die Partner.^[6]

Was sollten Unternehmen mit Krypto-Beständen jetzt tun?

Käufern bei CryptoBilis rät Ledger, unbenutzte Geräte nicht einzurichten und Bestände von bereits genutzten Geräten auf ein neues Gerät mit neuer Phrase zu übertragen.^[3] Einen Zusammenhang zwischen den Diebstählen und Geräten aus deutschen Filialen hat Ledger bisher nicht bestätigt. Für Firmen, die Krypto-Zahlungen akzeptieren oder Bestände halten, reicht diese Auskunft als Entwarnung nicht.

• Bestand: Halten Sie fest, welche Hardware-Wallets Ihr Unternehmen seit September im Einzelhandel oder bei Wiederverkäufern gekauft hat.
• Umzug: Übertragen Sie im Zweifel die Bestände auf ein direkt beim Hersteller gekauftes Gerät mit neu erzeugter Phrase.
• Rüge: Kaufleute müssen einen versteckten Mangel dem Verkäufer unverzüglich nach der Entdeckung anzeigen, sonst gilt die Ware als genehmigt (§ 377 HGB).^[7] Bei Verbrauchern vermutet das Gesetz im ersten Jahr, dass der Mangel schon beim Kauf bestand (§ 477 BGB).^[8]
• Beweise: Nach einem Verlust schalten Sie zuerst die Polizei ein und öffnen das Gerät erst danach, so empfiehlt Ledger.

Quellen

Mehr Newshunger?

• Adform kompromittiert: Ein manipuliertes Tracking-Skript ersetzte Krypto-Adressen
• TrapDoor: 34 Pakete plündern Wallets, Tokens und KI-Assistenten
• Laser knackt den RP2350: Wie Forscher den 128-Bit-Schlüssel aus dem gesperrten Chip holen
• Vitalik Buterin warnt vor KI-Angriffen auf die Gitter-Kryptografie, die das BSI empfiehlt
• Keyv kompromittiert: Der Angriff auf die npm-Lieferkette läuft noch
• Krypto-Zahlungen akzeptieren 2026: Steuern, Recht und die ehrliche Kosten-Nutzen-Rechnung