Manipulierte Ledger-Hardware-Wallets entdeckt: CryptoBilis stoppt Verkauf nach Diebstahlmeldungen

Hardware-Wallets gelten eigentlich gerade deshalb als sicher, weil die privaten Schlüssel nicht einfach auf einem normalen PC oder Smartphone herumliegen.

Umso unangenehmer ist ein Fall aus Südostasien, bei dem genau diese Vertrauensbasis ins Wanken gerät.

Ledger untersucht derzeit Berichte über gestohlene Kryptowährungen bei Nutzern, die ihre Geräte über den Händler CryptoBilis gekauft hatten. Besonders brisant: Bei einem betroffenen Gerät wurde inzwischen offenbar ein nicht autorisierter Hardware-Implantat entdeckt.

Damit geht es nicht nur um eine manipulierte Verpackung oder eine verdächtige Software.

Es geht offenbar tatsächlich um veränderte Hardware.

Ledger stoppt Verkäufe über CryptoBilis vorerst

Ledger hat den Verkauf über CryptoBilis zunächst ausgesetzt.

Auslöser waren Berichte von Nutzern aus Südostasien, die nach dem Kauf entsprechender Geräte Geld verloren hatten.

Nach Angaben des pseudonymen Blockchain-Ermittlers Specter sollen sich die Verluste auf insgesamt mehr als 86 Millionen US-Dollar summieren.

Wichtig ist dabei:

Diese Summe stammt nicht von Ledger selbst, sondern aus der Analyse des genannten Blockchain-Ermittlers.

Ledger spricht aktuell von einer begrenzten Zahl betroffener Geräte.

Alle bislang bestätigten Fälle sollen Geräte betreffen, die über CryptoBilis verkauft wurden.

Besonders heikel: Hardware offenbar physisch manipuliert

Der eigentliche Knackpunkt ist die Entdeckung eines unauthorisierten Hardware-Implantats in einem der betroffenen Geräte.

Das macht den Fall deutlich ernster als einen normalen Phishing- oder Recovery-Phrase-Betrug.

Wenn Hardware manipuliert wurde, bedeutet das schließlich:

Das Gerät kann bereits kompromittiert sein, bevor der Nutzer es überhaupt zum ersten Mal einschaltet.

Genau deshalb ist die Lieferkette bei Hardware-Wallets so wichtig.

Man kauft nicht nur ein Gerät.

Man kauft auch Vertrauen in Hersteller, Versand, Händler und Verpackung.

Ledger warnt Käufer der letzten 90 Tage

Ledger rät Nutzern, die in den vergangenen 90 Tagen ein Gerät bei CryptoBilis gekauft haben, besonders vorsichtig zu sein.

Wer das Gerät noch nicht eingerichtet hat, soll die Einrichtung zunächst nicht starten.

Wer ein solches Gerät bereits eingerichtet hat, sollte laut Ledger erwägen, seine Vermögenswerte auf ein neues Ledger-Gerät mit neuer Seed Phrase zu übertragen.

Das ist ein wichtiger Punkt.

Nicht einfach nur auf ein neues Gerät mit derselben Recovery Phrase wechseln.

Sondern eine neue Seed Phrase erzeugen.

Recovery Phrase muss immer vom Gerät selbst erzeugt werden

CryptoBilis weist in diesem Zusammenhang auf eine der wichtigsten Regeln bei Hardware-Wallets hin:

Die Recovery Phrase muss bei der Ersteinrichtung vom Gerät selbst erzeugt werden.

Wenn ein Gerät bereits mit einer ausgedruckten oder handschriftlich vorbereiteten Recovery Phrase geliefert wird, sollte man es sofort als unsicher betrachten.

Dasselbe gilt, wenn jemand anderes diese Seed Phrase bereits gesehen hat.

Denn wer die Recovery Phrase kennt, braucht das eigentliche Hardware-Wallet im Grunde nicht mehr.

Die Phrase ist der Schlüssel.

Niemals Seed Phrase oder PIN weitergeben

CryptoBilis erinnert außerdem an etwas, das eigentlich selbstverständlich sein sollte, aber leider immer wieder schiefgeht:

Seed Phrase und PIN niemals weitergeben.

Weder Ledger noch CryptoBilis würden Nutzer danach fragen.

Und gerade nach größeren Diebstählen tauchen oft sofort angebliche Helfer auf, die versprechen, verlorene Gelder zurückzuholen.

Solche Angebote sind in sehr vielen Fällen einfach der nächste Betrugsversuch.

Wer bereits Geld verloren hat, ist verständlicherweise besonders anfällig für genau diese Masche.

CryptoBilis stoppt den Verkauf sämtlicher Hardware-Wallets

CryptoBilis hat nach Bekanntwerden des Vorfalls vorsorglich den Verkauf seines gesamten Hardware-Wallet-Bestands eingestellt.

Das soll so lange gelten, bis die Untersuchung abgeschlossen ist.

Ledger selbst betont zusätzlich, dass Händler und Distributoren Geräte nur über autorisierte Lieferwege beziehen sollten.

Außerdem sollen zurückgesendete Geräte nicht erneut in den Verkauf gelangen.

Auch das ist interessant.

Denn gerade bei Sicherheitsprodukten ist ein Rückläufer eben nicht einfach nur ein Karton mit kleinen Gebrauchsspuren.

Man weiß im Zweifel nicht, was mit dem Gerät passiert ist.

Nur bei autorisierten Händlern kaufen

Ledger empfiehlt ausdrücklich, Hardware-Wallets nicht bei nicht autorisierten Händlern zu kaufen.

Der Grund liegt auf der Hand:

Bei unbekannten oder nicht kontrollierten Lieferwegen steigt das Risiko, ein:

• gefälschtes Gerät
• manipuliertes Gerät
• bereits geöffnetes Gerät
• oder anderweitig kompromittiertes Produkt

zu bekommen.

Gerade bei Hardware-Wallets würde ich persönlich deshalb nicht auf ein paar Euro Preisunterschied schauen.

Wenn auf dem Gerät später Kryptowährungen im Wert von mehreren tausend Euro liegen, ist „war bei einem unbekannten Händler 15 Euro günstiger“ vielleicht nicht die beste Sicherheitsstrategie.

Was betroffene Nutzer jetzt tun sollten

Wer ein Ledger-Gerät über CryptoBilis gekauft hat, sollte die Situation ernst nehmen.

Besonders wichtig sind folgende Punkte:

• Gerät nicht neu einrichten, wenn es noch unbenutzt ist
• bei bereits eingerichteten Geräten einen Wechsel auf ein neues, vertrauenswürdiges Gerät erwägen
• dabei eine neue Recovery Phrase erzeugen
• alte Seed nicht weiterverwenden
• niemals PIN oder Recovery Phrase weitergeben
• Vorsicht vor angeblichen Recovery-Diensten
• weitere Hinweise von Ledger und CryptoBilis verfolgen

Wer betroffen ist, sollte außerdem nicht hektisch auf irgendwelche Nachrichten, Direktnachrichten oder „Support-Angebote“ reagieren.

Genau in solchen Situationen entstehen oft die nächsten Probleme.

Mein Eindruck

Der Fall zeigt ziemlich gut, warum Hardware-Wallets zwar grundsätzlich sehr sicher sein können, aber eben nicht automatisch sicher sind.

Die Technik im Gerät kann noch so gut sein.

Wenn bereits die Lieferkette kompromittiert wurde, ist die Sicherheitsannahme weg.

Und genau deshalb finde ich den Hinweis mit der Recovery Phrase so wichtig.

Eine Seed Phrase, die nicht vor euren eigenen Augen vom Gerät erzeugt wurde, ist keine vertrauenswürdige Seed Phrase.

So einfach ist das.

Fazit

Ledger untersucht derzeit einen Vorfall rund um über CryptoBilis verkaufte Hardware-Wallets.

Bei mindestens einem betroffenen Gerät wurde ein nicht autorisierter Hardware-Implantat gefunden.

Ledger spricht bislang von einer begrenzten Zahl betroffener Geräte, alle bestätigten Fälle sollen über CryptoBilis verkauft worden sein.

Der Händler hat den Verkauf von Hardware-Wallets vorsorglich gestoppt.

Für Nutzer bleibt vor allem eine Regel wichtig:

Hardware-Wallets nur aus vertrauenswürdiger Quelle kaufen, die Recovery Phrase immer selbst auf dem Gerät erzeugen lassen und niemals an Dritte weitergeben.

Denn bei einer Hardware-Wallet sollte man sich eigentlich nur um eine Sache kümmern müssen:

den eigenen Schlüssel – und nicht darum, ob jemand vorher schon im Gerät war.