Ledger: Hardware-Implantate in Wallets eines südostasiatischen Wiederverkäufers stahlen Recovery-Phrasen

Nach Angaben des Sicherheitsforschungsteams von Ledger lesen die Implantate die auf dem Display angezeigten Daten mit. Erkennen sie die 24 Wörter umfassende Wiederherstellungsphrase, übertragen sie diese über eine LTE-Verbindung mittels einer eingebetteten eSIM. Unbekannte Angreifer nutzten die Phrasen anschließend, um auf die Mittel der Besitzer zuzugreifen; abgezogen wurden die Guthaben in der vergangenen Woche, am 9. Oktober. Zur Gesamthöhe der Verluste machte Ledger keine Angaben und mahnte, nicht zu spekulieren.

In mehreren Beiträgen in sozialen Netzwerken riet das Unternehmen: „Wenn Sie einen Ledger-Signer bei CryptoBilis gekauft und noch nicht eingerichtet haben, richten Sie ihn nicht ein und wenden Sie sich an den Ledger-Support. Haben Sie ihn bereits eingerichtet, übertragen Sie Ihre Vermögenswerte umgehend auf einen neuen Signer mit einer neuen Recovery-Phrase.“ Ergänzend hieß es: „Geben Sie auf einem bei CryptoBilis gekauften Signer keine Recovery-Phrase ein und stellen Sie dort keine wieder her.“

Alle bestätigten Diebstähle betreffen laut Ledger Geräte aus dem Vertrieb von CryptoBilis; die Meldungen stammen überwiegend aus Südostasien. Das Unternehmen prüft nach eigenen Angaben zugleich „Berichte über Implantate in anderen Signern und an anderen Orten“.

CryptoBilis verlinkte auf seiner Website die Warnung von Ledger und erklärte, man habe „alle Verkäufe und Lieferungen von Ledger-Geräten pausiert, während Ledger ermittelt“, und arbeite „in vollem Umfang mit der Untersuchung von Ledger zusammen“.

Welche Modelle betroffen sind, nannte Ledger nicht. Das Unternehmen warnte jedoch, dass manipulierte Geräte die herstellereigenen Echtheitsprüfungen weiterhin bestehen könnten, weil die Implantate das Secure Element – eine der zentralen Sicherheitsfunktionen – unangetastet lassen.

Kunden von CryptoBilis sollen ungenutzte Geräte nicht aktivieren; wer sie bereits verwendet, soll die Mittel zügig auf eine neue Wallet mit neuer Recovery-Phrase übertragen. Betroffene sollen sich an Ledger und an die örtlichen Strafverfolgungsbehörden wenden, bevor sie Geräte öffnen oder versenden. Die Zahl der betroffenen Geräte sei nach Einschätzung des Unternehmens begrenzt.