Ledger teilte mit, dass sein Sicherheitsteam Donjon ein unautorisiertes Hardware-Implantat entdeckt hat, das in von CryptoBilis vertriebenen Hardware-Wallets versteckt war, einem Händler in Südostasien. Das verdeckte Bauteil liest während der Einrichtung der Wallet die 24-Wörter-Wiederherstellungsphrase vom Bildschirm ab und überträgt die Wörter über eine Mobilfunkverbindung mittels einer bereitgestellten eSIM.

Der in Paris ansässige Hardware-Wallet-Hersteller gab den Befund am Dienstag in einem Beitrag auf X bekannt. Ledger Donjon, das hauseigene Team für Sicherheitsforschung, bestätigte das Implantat am Samstag, den 10. Oktober, auf dem Gerät eines betroffenen Nutzers. Alle bestätigten Verluste aus diesem Vorfall, den Ledger erstmals am Freitag offenlegte, betreffen Geräte, die über CryptoBilis verkauft wurden, und das Unternehmen erklärte, es habe keinen Abfluss im Zusammenhang mit einem anderswo gekauften Gerät verifiziert.

Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…

— (@Ledger) October 13, 6

Hardware-Wallets sind ein zentrales Element der Selbstverwahrung und darauf ausgelegt, die privaten Schlüssel eines Nutzers offline zu halten. Ein Ledger-Gerät, das das Unternehmen „Signer“ nennt, zeigt bei der Ersteinrichtung seine 24-Wörter-Wiederherstellungsphrase auf dem Bildschirm an. Wer diese Phrase erhält, kann die Wallet auf einem anderen Gerät wiederherstellen und die volle Kontrolle über dessen Gelder übernehmen. Der Einrichtungsbildschirm ist daher der einzige Punkt, an dem die Phrase außerhalb des Geräts sichtbar ist – weshalb ein Implantat, das das Display abliest, die Schutzmechanismen einer Wallet aushebeln kann, ohne sie zu verändern.

Laut der Analyse von Ledger Donjon sitzt das Implantat im Inneren des Gerätegehäuses und liest, was auf dem Bildschirm angezeigt wird. Wenn es die Bildschirme mit der Wiederherstellungsphrase erkennt, dekodiert sein Mikrocontroller die Wörter und überträgt sie über LTE mittels der bereitgestellten eSIM.

Ledger erklärte, das Implantat sei ein separates Bauteil, und fügte hinzu, dass es weder den Secure Element des Geräts noch das Ledger-Betriebssystem verändert noch Transaktionen oder Signaturen manipuliert. Wie Ledger mitteilte, hat CryptoBilis bestätigt, den Verkauf von Ledger-Geräten einzustellen, während die Untersuchung läuft. Der Fall rückt auch die Händlerebene der Hardware-Lieferkette in den Fokus, auf der Geräte die direkte Kontrolle des Herstellers verlassen, bevor sie die Käufer erreichen.

Das Unternehmen hat weder die Gesamtzahl der betroffenen Nutzer noch die Höhe der Verluste bestätigt und erklärte, die im Umlauf befindlichen Zahlen stammten von Dritten, die es nicht vollständig verifiziert hat. Der On-Chain-Ermittler Specter verfolgte mutmaßliche Diebstähle von mehr als 86 Mio. USD über Ethereum, Tron und Bitcoin hinweg, wie Decrypt am Freitag berichtete.

Ledger prüft Berichte über CryptoBilis hinaus

Ledger erklärte, man prüfe auch Berichte über Implantate in anderen Signern und an anderen Standorten. Ein X-Nutzer gab an, zwei manipulierte Ledger-Geräte aus Einzelhandelsgeschäften in Europa gefunden zu haben – eine Behauptung, die nicht unabhängig verifiziert wurde.

Das Unternehmen rief Käufern von CryptoBilis-Geräten, die diese noch nicht eingerichtet haben, dazu auf, dies zu unterlassen und sich an den Ledger Support zu wenden. Wer sein Gerät bereits eingerichtet hat, sollte seine Assets umgehend auf ein neues Gerät mit einer neuen Wiederherstellungsphrase übertragen und auf einem bei CryptoBilis gekauften Gerät keine Wiederherstellungsphrase eingeben oder wiederherstellen.

Nutzer, die Gelder verloren haben oder ein manipuliertes Gerät besitzen, sollten laut Ledger zudem eine Anzeige bei der örtlichen Strafverfolgungsbehörde erstatten und das Gerät weder an jemanden senden noch es öffnen, bevor sie nicht mit dem Ledger Support oder der Polizei gesprochen haben.

Käufer, die nicht bei CryptoBilis gekauft haben, können das Innere Geräts mithilfe eines Ledger-Leitfadens inspizieren, wobei das Unternehmen warnte, dass das Öffnen eines Signers diesen beschädigen kann, und Nutzer aufforderte, zuvor ihre Wiederherstellungsphrase zu sichern.

Ledger betonte, das Unternehmen werde Nutzer niemals anrufen, ihnen direkt Nachrichten senden oder nach ihrer Wiederherstellungsphrase fragen. Das Donjon werde die erhaltenen Geräte analysieren und im Zuge der laufenden Untersuchung weitere Informationen teilen, so das Unternehmen.