Ledger hat am 15. Oktober 2026 neue Sicherheitsanforderungen für seine autorisierten Händler eingeführt, nachdem Angreifer versteckte elektronische Komponenten in echte Kryptowährungs-Wallets eingebaut hatten, um die Wiederherstellungsphrasen der Nutzer zu stehlen und auf ihre Gelder zuzugreifen.
Zusammenfassung
- Ledger hat strengere Händlerregeln eingeführt, nachdem Kriminelle echte Hardware-Wallets manipuliert hatten, um Kryptowährungen zu stehlen.
- Versteckte Implantate erfassten Wallet-Wiederherstellungsphrasen während der Einrichtung und übermittelten sensible Informationen über Mobilfunknetze.
- Ledger setzte den Verkauf durch autorisierte Händler in Südostasien und Hongkong aus, während kompromittierte Geräte untersucht wurden.
- Sicherheitsteams untersuchten Geräte in Einzelhandelsgeschäften und Lagern und berichteten, dass unter ihren untersuchten Proben keine kompromittierten Einheiten waren.
- Ledger wies Händler an, Wallets nicht mehr auszustellen und den Weiterverkauf zurückgegebener Geräte ohne Ausnahmen zu verbieten.
Der Hardware-Wallet-Hersteller bestätigte, dass Angreifer legitime Geräte gekauft, sie manipuliert und über Vertriebskanäle in Südostasien wieder in Umlauf gebracht hatten. Ledger hat den regionalen Händlerverkauf ausgesetzt, Geräte aus Einzelhandelsgeschäften und Lagern untersucht und begonnen, mit Strafverfolgungsbehörden zusammenzuarbeiten, um die gestohlenen Gelder aufzuspüren.
Das Unternehmen behauptet, dass seine internen Systeme, Betriebssoftware und Sicherheitschips nicht kompromittiert wurden. Die Ermittler sind weiterhin dabei, das volle Ausmaß des Angriffs festzustellen, einschließlich der Frage, wie die manipulierten Geräte auf den Markt gelangten.
Der Ledger-Wallet-Angriff umfasste versteckte Implantate für Wiederherstellungsphrasen
Ledgers Untersuchung ergab, dass die Angreifer Monate mit der Vorbereitung der Operation verbracht hatten. Sie kauften echte Hardware-Wallets, öffneten die Geräte und fügten maßgeschneiderte elektronische Komponenten ein, die darauf ausgelegt waren, Wiederherstellungsphrasen während der Einrichtung zu erfassen.
Eine Wiederherstellungsphrase enthält typischerweise 24 Wörter, mit denen ein Nutzer den Zugriff auf eine Kryptowährungs-Wallet wiederherstellen kann. Jeder, der diese Wörter erhält, kann die Wallet potenziell auf einem anderen Gerät neu erstellen und ihre Vermögenswerte übertragen.
Die Angreifer nutzten den Moment aus, in dem die Wiederherstellungsphrase auf dem Bildschirm des Geräts erschien. Eine versteckte Komponente sammelte die Wörter und übermittelte sie an eine von den Kriminellen kontrollierte Infrastruktur.
In seinem technischen Update vom 13. Oktober erklärte das Donjon-Sicherheitsteam von Ledger, dass das Implantat einen Mikrocontroller verwendete, um die Phrase zu lesen, und eine eingebettete SIM, um die Informationen über eine LTE-Mobilfunkverbindung zu übertragen.
Das Unternehmen erklärte, dass das Implantat unabhängig vom Secure Element des Geräts arbeitete, das sensible kryptografische Informationen schützt. Die Ermittler fanden keine Beweise dafür, dass die bösartige Komponente das Betriebssystem veränderte oder Transaktionssignaturen änderte.
Frühere Untersuchungen zu versteckten Chips in Ledger-Wallets dokumentierten, wie unbefugte Elektronik Wiederherstellungsphrasen offenlegen konnte, ohne die normalen Signierfunktionen des Geräts zu verändern.
In der neuesten Erklärung von Ledger wurde eine organisierte kriminelle Operation beschrieben, die Gerätebeschaffung, Vertriebsvereinbarungen und Infrastruktur zum Sammeln gestohlener Wallet-Zugangsdaten umfasste.
Der Hersteller behauptete, die Gruppe habe Millionen für die Vorbereitung des Angriffs ausgegeben. Er lieferte keine finanzielle Aufschlüsselung und nannte keine Verantwortlichen.
Berichten zufolge verwendeten die Angreifer die gesammelten Wiederherstellungsphrasen, um während einer koordinierten Diebstahloperation am 9. Oktober auf mehrere Wallets zuzugreifen.
Obwohl unabhängige Blockchain-Ermittler Verluste von über 86 Millionen US-Dollar geschätzt haben, hat Ledger die insgesamt gestohlene Summe oder die Anzahl der betroffenen Kunden nicht verifiziert.
Ledger setzt Wallet-Verkäufe in Südostasien aus
Nach der Entdeckung forderte Ledger autorisierte Wiederverkäufer und Distributoren in ganz Südostasien und Hongkong auf, den Geräteverkauf auszusetzen, während Ermittler die betroffenen Vertriebskanäle untersuchten.
Die Beschränkungen betrafen Indonesien, Singapur, Thailand, die Philippinen, Vietnam, Malaysia und Hongkong.
CryptoBilis, ein in Südostasien tätiger Wiederverkäufer, war zuvor mit bestätigten Fällen in Verbindung gebracht worden, bei denen es um modifizierte Geräte ging.
Das Unternehmen setzte den Verkauf von Hardware-Wallets aus, nachdem Berichte auftauchten, dass Kunden Gelder verloren hatten.
Frühere Berichte über die CryptoBilis-Wallet-Untersuchung dokumentierten Ledgers Entdeckung eines nicht autorisierten Implantats und seine erste Reaktion auf Kundenbeschwerden.
Ledger weitete seine Vorsichtsmaßnahmen später über den Wiederverkäufer hinaus aus, nachdem Berichte über andere Standorte eingegangen waren.
In Deutschland stellte MediaMarkt Saturn den Verkauf von Ledger-Geräten über seine physischen Filialen und seine Online-Plattform ein, nachdem ein mutmaßliches Implantat in einem Kundengerät gemeldet worden war.
Ledger erklärte, dass der deutsche Fall nicht zu einem bestätigten Verlust von Kundengeldern geführt habe.
Der Vorfall führte zu einer separaten Aussetzung des Ledger-Wallet-Verkaufs in Deutschland, während das Unternehmen Geräte überprüfte und die Umstände untersuchte.
In seinem Update vom 15. Oktober erklärte Ledger, dass seine Ermittler Geräte aus Geschäften in verschiedenen Märkten, darunter Deutschland, gekauft und zur physischen Untersuchung geöffnet hätten.
Das Unternehmen untersuchte Proben aus Lagern und überprüfte Teile seines eigenen Bestands.
Laut Ledger wurden in den bei diesen Kontrollen untersuchten Proben keine nicht autorisierten Komponenten entdeckt.
Das Unternehmen gab jedoch nicht bekannt, wie viele Geräte untersucht wurden, sodass die Gesamtzahl der potenziell betroffenen Produkte unbestätigt bleibt.
Ledger bezeichnete den Vorfall als „einen lokalisierten Vertriebsangriff“ und behauptete, dass seine Fertigungssysteme nicht für die Kompromittierung verantwortlich seien.
Die Untersuchung hat noch nicht genau festgestellt, wo jedes betroffene Gerät modifiziert wurde.
Ledger führt neue Regeln für Hardware-Wallet-Händler ein
Als Teil seiner Reaktion hat Ledger autorisierte Händler angewiesen, die Art und Weise zu ändern, wie sie Hardware-Wallets lagern und verkaufen.
Händler müssen aufhören, Ledger-Geräte auf Ausstellungsregalen und Theken zu platzieren. Stattdessen müssen sie Produkte in Lagerbereichen aufbewahren und sie Kunden erst aushändigen, wenn ein Kauf stattfindet.
Das Unternehmen führte die Anforderungen sofort ein und erklärte, dass die Maßnahmen darauf abzielen, Gelegenheiten für unbefugte Handhabung zu verringern.
Ledger erinnerte autorisierte Verkäufer daran, dass zurückgegebene Geräte niemals wieder verkauft werden dürfen, selbst wenn ihre Verpackung ungeöffnet erscheint oder das Produkt unbenutzt aussieht.
Die Regel existierte bereits, aber Ledger hat Distributoren angewiesen, sie ausnahmslos zu befolgen.
Händler müssen den Hersteller unverzüglich benachrichtigen, wann immer Kunden ungewöhnliche Produkte oder potenziell verdächtige Hardware melden.
Das Unternehmen verschärft die Aufsicht über sein autorisiertes Vertriebsnetz, während die Untersuchung weiterläuft.
Ledger erklärte, dass sein Sicherheitsteam die größte interne Untersuchung in der Geschichte des Unternehmens durchgeführt habe, unter Einbeziehung mehrerer Abteilungen.
Spezialisten von Ledger Donjon zerlegten das geborgene Implantat und untersuchten seine Funktionsweise, um festzustellen, wie Angreifer Wiederherstellungsphrasen sammelten.
Der Hersteller arbeitete während der Untersuchung mit Sicherheitsforschern und Branchenpartnern, darunter SEAL_911, zusammen.
Laut Ledger arbeiten die Teams mit Strafverfolgungsbehörden zusammen, um gestohlene Gelder zurückzuverfolgen und die Infrastruktur zu identifizieren, die zum Sammeln von Wallet-Anmeldedaten verwendet wurde.
Das Unternehmen hat keine Festnahmen, formellen strafrechtlichen Anklagen oder aus diesen Bemühungen zurückgewonnenen Gelder bekannt gegeben.
Ledger erklärte, dass es beabsichtigt, zusätzliche technische Informationen zu veröffentlichen, wenn Ermittler ihre Ergebnisse sicher freigeben können.
Ledger plant weitere Schutzmaßnahmen gegen Manipulation von Wallets
Über seine unmittelbaren Einzelhandelsbeschränkungen hinaus entwickelt Ledger zusätzliche Produktsicherheitsmaßnahmen, die physische Manipulation erschweren sollen.
Das Unternehmen hat keine technischen Spezifikationen, betroffenen Produktmodelle oder einen Zeitplan für die Einführung dieser Schutzmaßnahmen genannt.
Ledger erklärte, dass es seine Erkenntnisse mit anderen Herstellern und Verkäufern von Hardware-Wallets teilen werde, damit diese ähnliche Risiken in ihren Produkten untersuchen könnten.
Kunden, die bereits eine möglicherweise betroffene Wallet verwendet haben, wurde empfohlen, ihre Kryptowährung auf ein vertrauenswürdiges Gerät mit einer neu generierten Wiederherstellungsphrase zu übertragen.
Die Wiederherstellung einer alten Wiederherstellungsphrase auf einem Ersatzgerät würde die Gelder nicht sichern, wenn Angreifer diese Phrase bereits erlangt hätten.
Die Sicherheitshinweise von Ledger warnen Benutzer davor, ihre Wiederherstellungsphrasen jemals an Personen weiterzugeben, die behaupten, den Kundendienst zu vertreten.
Das Unternehmen hat betont, dass seine Mitarbeiter keine Wiederherstellungswörter über Nachrichten, Telefonanrufe oder Websites anfordern werden.
Während seiner Ankündigung am 15. Oktober räumte Ledger ein, dass die Untersuchung andauere und weitere Sicherheitsarbeit ausstehe.
Der Hersteller bekräftigte seine Absicht, weitere Details über den Angriff und die von den Kriminellen verwendeten Methoden zu veröffentlichen, sobald seine Untersuchung eine Offenlegung zulasse.
