Verwanzte Krypto-Wallets von Ledger: Problem größer als gedacht

Hardware-Wallets für Kryptowährungen sind bewusst offline, um das Sicherheitsrisiko zu reduzieren. Doch bauen Unbekannte solche Offline-Wallets des französischen Anbieters Ledger um, bevor sie in den Handel gelangen. Ein zusätzlicher Chip greift Bildschirminhalte ab, ein LTE-Modem mit eSIM überträgt die Informationen an den Täter, der damit Kontrolle über die mit der mit dem Wallet erzeugten Seed Phrase „gesicherten” Kryptowährungsbestände erhält. Das Secure Chip Element bleibt dabei unangeteastet. Das Ausmaß des Problems ist größer, als zunächst angenommen: länger, höher, mehr und breiter – auch Deutschland ist betroffen.

Es sind mehrere Modelle Ledgers betroffen, nicht nur Ledger Nano X, verwanzte Geräte sind schon länger in Umlauf und das Schadensausmaß ist größer. Zudem ist die Reichweite der Täter größer: Inzwischen sind manipulierte Ledger-Wallets in Singapur und Deutschland aufgetaucht, verbreitet von unterschiedlichen Einzelhändlern, versorgt von verschiedenen Zulieferern.

Auf Ledgers Webseite ist dazu kaum etwas zu finden. Werbeaussagen wie „Hackers cannot access your keys via the internet because they are stored offline” sind unverändert. Nur unter https://support.ledger.com/article/15158192560157-zd findet sich ein Absatz vom 9. Oktober, wonach Ledger „Berichte über Verluste bei Nutzern in Südostasien untersucht” und Kunden, die Ledger-Wallets bei Cryptobilis in den letzten 90 Tagen gekauft haben, rät, diese Geräte nicht nutzen sollen. Haben sie das schon getan, sollen sie „in Erwägung ziehen”, ihre Kryptowährung in andere Wallets zu übertragen.

Länger als 90 Tage

Tatsächlich dürften verwanzte Geräte schon wesentlich länger als 90 Tage in Umlauf und nicht nur über Cryptobilis verbreitet worden sein. Bitquery hat öffentliche Daten aus sechs verschiedenen Blockchains analysiert und taxiert die Schadenssumme bis 13. Oktober auf umgerechnet 102 Millionen US-Dollar, gestohlen aus 324 verschiedenen Wallets. Tether hat USDT-Stablecoins im Gegenwert von zehn Millionen US-Dollar eingefroren, über den Rest kann der Täter weiter verfügen. Der Schaden ist so beträchtlich, weil Großspekulanten eher geneingt sind, die Kosten eines Hardware-Wallets zu tragen. Das macht deren Nutzer natürlich zu attraktiveren Zielen.

40 Prozent der als entreichert bekannten Wallets haben laut Bitquerys Analyse ihre erste Überweisung vor mehr als 90 Tagen erhalten, bestehen also schon länger. Ein erheblicher Teil im Juni, aber es gibt sogar zwei Dutzend Wallets, die bereits 2024 oder 2025 erstmals aktiv geworden sind. Ledgers Warnung vor in den letzten 90 Tagen bei Cryptobilis gekauften Geräten ist offensichtlich zu kurz gegriffen.

Bereits im Mai hat ein amerikanischer Embedded-Spezialist öffentlich ein manipuliertes Gerät präsentiert. Es handelte sich um einen frühen, kruderen Umbau, der aber von Außen auch nicht zu erkennen war. Bei weiteren, inzwischen entdeckten Wallets stammen die zusätzlichen Bauteile aus professioneller Serienfertigung. Es gibt mehrere Iterationen, das Verbrechen ist von langer Hand geplant.

Das zeigen auch zwei weitere Entdeckungen Bitquerys: Der Täter hat Ende September/Anfang Oktober zunächst zwei Wochen lang mit kleinen Testüberweisungen geübt. Und der große Zugriff war dann zumindest zum Teil automatisiert. Beispielsweise habe er innerhalb von nur drei Sekunden 25 fremde TRON-Wallets für Überweisungen freigegeben. Binnen sechs Sekunden seien USDT im Gegenwert von 29 Millionen US-Dollar weggegangen.

Deutschland und Singapur

Ein Deutscher berichtet online, bereits im August bei MediaMarkt Saturn ein Ledger-Wallet erstanden zu haben, dass sich nun als verwanzt erwiesen hat. Am Montag hat er in einer anderen Filiale MediaMarkt Saturns ein zweites Gerät gekauft, das ebenfalls manipuliert ist. Sein kurzes Video zeigt die Öffnung eines originalverpackten Hardware-Wallets mit verräterischen Zubauten im Inneren. Lieferant sei ein österreichischer Distributor gewesen, nicht Cryptobilis. MediaMarkt Saturn verkauft vorerst keine Ledger-Wallets mehr.

Zwei weitere Personen haben angegeben, in Singapur manipulierte Hardware-Wallets der Type Ledger Flex erworben zu haben. Ledger Flex sind größer als Ledger Nano X und daher leichter zu verwanzen. Ein Gerät soll in einem Einkaufszentrum gekauft worden sein, das andere aus einem Automaten am Flughafen des Stadtstaates stammen. Der Automatenbetreiber ist, wie Cryptobilis, ein offizieller Ledger-Wiederverkäufer und auch in anderen asiatischen Ländern tätig.

Das dem Automaten entnommene Kryptowallet weist ein kleiner Kratzer auf, die den Käufer eine vorangegangene Öffnung vermuten ließ. Er schickte das Produkt dem Franzosen Mark Karpelès, der als inzwischen verurteilter Gründer der ehemaligen Kryptobörse Mt. Gox bekannt ist. Karpelès hat ein Video veröffentlicht, das zeigt, wie er ein Ledger Flex öffnet und darin ebenfalls ein Implantat findet. Ledgers Warnung vor in den letzten 90 Tagen bei Cryptobilis gekauften Geräten ist also auch hinsichtlich der Händler und Distributoren zu kurz gegriffen.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externes YouTube-Video (Google Ireland Limited) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Google Ireland Limited) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.