Die Verpackung war versiegelt. Die Plastikfolie war einwandfrei. Doch im Inneren der Ledger-Hardware-Wallet befand sich eine kleine Platine, die dazu gebaut wurde, das Passwort und die Kryptowährung des Eigentümers zu stehlen. Das berichtet der ehemalige Mt. Gox-Chef Mark Karpelès.
Karpelès, der die Börse leitete, die im Jahr 2014 zusammenbrach, sagt, die Spionagesoftware war hinter dem Bildschirm versteckt, dort, wo eigentlich ein Polster hätte sein sollen. Sie war mit einer Antenne und einer kleinen SIM ausgestattet, die die 24-Wörter-Wiederherstellungsphrase der Wallet übertragen konnte.
Mit diesen Wörtern lässt sich die Kryptowährung aus der Wallet aus der Ferne komplett leeren. Ein Angreifer müsste das Gerät nie wieder anfassen.
Ledgers Sicherheitsprüfung erkennt die Spionage-Hardware womöglich nicht
Ledgers Genuine Check bestätigt, dass ein Gerät einen echten Sicherheitschip hat. Doch nicht jede physische Veränderung um diesen Chip herum kann erkannt werden. Ledger selbst weist in den eigenen Tipps darauf hin.
Eine manipulierte Wallet könnte daher den Check bestehen, während eine versteckte Komponente den Bildschirm beobachtet.
Diese Entdeckung erfolgt, während Ledger Berichte über geleerte Wallets untersucht, die mit dem malaysischen Reseller CryptoBilis in Verbindung stehen. Ledger hat CryptoBilis gebeten, den Verkauf und Versand der Geräte zu stoppen.
On-Chain-Experten schätzten die Verluste zunächst auf mehr als 86 Millionen USD.
Eine spätere Bitquery-Analyse kam auf 92,9 Millionen USD in 311 Wallets. Ledger hat diese Zahlen nicht bestätigt. Offenbar verlor ein Opfer 80 Bitcoin.
Karpelès sagt, sein Gerät stamme von einem anderen Anbieter. Ledger hat nicht bestätigt, dass manipulierte Hardware die CryptoBilis-Verluste verursacht hat.
Wer trägt die Verantwortung?
Manche geben den Käufern die Schuld.
Ledger hingegen empfiehlt selbst autorisierte Verkäufer, darunter offizielle Online-Shops bei Amazon, Shopee und Lazada.
Eine Hardware-Wallet soll eigentlich verhindern, dass Sie irgendwem Ihr Geld anvertrauen müssen. Wer diese jedoch bei einem Zwischenhändler kauft, vertraut einer unbekannten Person das Gerät an, das das Geld schützt.
Für alle, die einem kleinen Gerät ihre Ersparnisse anvertrauen, ist das eine Warnung, die schwer zu übersehen ist.
