Der Hersteller von Crypto-Hardware-Wallets Ledger erklärte am Freitag, man untersuche Berichte über gestohlene Gelder im Zusammenhang mit Geräten, die über einen Händler in Südostasien verkauft wurden, da ein mutmaßlicher Raubzug im Wert von 86 Millionen US-Dollar die steigenden Verluste der Branche durch Exploits in diesem Jahr weiter erhöhen könnte.

Das Unternehmen prüft Berichte, wonach Kryptowährungen im Wert von mehr als 86 Millionen US-Dollar aus Hunderten von Wallets gestohlen worden sein könnten, die mit Geräten des südostasiatischen Händlers CryptoBilis verkauft wurden. Die Verluste und der Zusammenhang wurden jedoch nicht unabhängig bestätigt.

Ledger hat CryptoBilis aufgefordert, Verkäufe und Auslieferungen einzustellen, und Kunden, die kürzlich gekaufte Geräte erworben haben, geraten, diese nicht einzurichten. Kunden, die ihre Wallets bereits aktiviert haben, sollten erwägen, ihre Assets auf ein neues Gerät mit einer neu generierten Wiederherstellungsphrase zu übertragen, teilte das Unternehmen mit. Ein Supply-Chain-Angriff mit manipulierten Geräten wäre eine mögliche Erklärung, doch Ursache, Zahl der betroffenen Nutzer und Gesamthöhe der Verluste bleiben unbestätigt.

Was Ermittler und Ledger berichtet haben

Der pseudonyme Blockchain-Ermittler Specter erklärte auf X, dass Kryptowerte im Wert von mehr als 86 Millionen US-Dollar aus Hunderten von Wallets gestohlen worden sein könnten. Es gibt keine unabhängige Bestätigung über die Höhe der betroffenen Nutzer-Assets.

Specter sagte, man habe nach Berichten von Ledger-Nutzern auf X und Reddit mutmaßliche Diebstahl-Adressen über Bitcoin, Ethereum und Tron hinweg verfolgt. Es ist weiterhin unklar, ob die Vorfälle zusammenhängen oder was die Verluste verursacht hat.

Ledger räumte in einem Beitrag auf X die Berichte über fehlende Gelder von Kunden ein, die Geräte über CryptoBilis, einen Händler in Südostasien, gekauft hatten, bestätigte jedoch weder die berichtete Verlusthöhe noch nannte das Unternehmen eine Ursache.

Als Vorsichtsmaßnahme habe man CryptoBilis gebeten, sämtliche Verkäufe und Auslieferungen auszusetzen, solange die Untersuchung läuft, teilte das Unternehmen mit. Ledger riet Kunden, die ihre Geräte in den vergangenen 90 Tagen beim Händler gekauft hatten, diese nicht einzurichten. Wer seine Wallet bereits aktiviert hat, sollte erwägen, seine Assets auf ein neues Ledger-Gerät mit einer neu generierten Wiederherstellungsphrase zu übertragen, so das Unternehmen.

Ein möglicher Supply-Chain-Angriff

Eine mögliche Erklärung ist ein Supply-Chain-Angriff, bei dem Hardware-Wallets manipuliert werden, bevor sie die Kunden erreichen. Ein Angreifer könnte einem Gerät beispielsweise eine Wiederherstellungsphrase mitgeben, die er bereits kennt, und so später auf in die Wallet eingezahl Gelder zugreifen. Eine Wiederherstellungsphrase ist die Wortfolge, die eine Hardware-Wallet sichert und den Zugriff auf ihre Gelder kontrolliert. Sie soll auf dem Gerät selbst generiert werden, damit niemand sonst sie kennt.

Ein solches Szenario würde sich von einem Angriff auf Ledgers eigene Systeme unterscheiden. Es gibt jedoch keine Bestätigung, dass Geräte-Manipulationen oder vorab generierte Wiederherstellungsphrasen die gemeldeten Verluste verursacht haben, und keine bestätigten Hinweise darauf, dass Ledgers eigene Systeme oder Wallet-Technologie kompromittiert wurden.

Der Vorfall wird weiterhin untersucht. Es ist unklar, wie viele Nutzer betroffen sind, ob die gemeldeten Diebstähle zusammenhängen oder wie viel Kryptowährung verloren ging. Ledger kündigte an, im Zuge der Untersuchung Updates bereitzustellen.

Ein schwieriges Jahr für die Crypto-Sicherheit

Der mutmaßliche Diebstahl könnte ein für die Crypto-Sicherheit ohnehin schwieriges Jahr noch verschärfen. Im vergangenen Monat erlitt die Crypto-Börse Bitget einen Exploit, bei dem Assets im Wert von mehr als 350 Millionen US-Dollar gestohlen wurden. Zu weiteren schweren Vorfällen zählten laut DefiLlama-Daten Liquid Network mit rund 320 Millionen US-Dollar, Drift mit 295 Millionen US-Dollar und Kelp mit 293 Millionen US-Dollar. Im Falle einer Bestätigung lägen die mutmaßlichen, mit Ledger in Verbindung gebrachten Verluste unter jedem dieser Exploits, doch der Vorfall ist angesichts des betroffenen Segments bemerkenswert: Hardware-Wallets, also Offline-Geräte, die viele Halter genau deshalb nutzen, um ihre Gelder von Börsen und anderen Online-Plattformen fernzuhalten.

Über Ledger

Ledger wurde 2014 gegründet und hat seinen Sitz in Paris. Das Unternehmen ist ein bedeutender Hersteller von Hardware-Wallets, also Geräten, die die privaten Schlüssel zum Zugriff auf Kryptowährungen offline aufbewahren. Laut Unternehmensangaben wurden weltweit mehr als 7 Millionen Geräte verkauft; die Produkte werden von vielen Anlegern genutzt, die ihre Crypto-Assets schützen wollen, ohne sich auf Börsen zu verlassen.

Deshalb ist jedes mögliche Sicherheitsproblem im Zusammenhang mit seinen Produkten für den gesamten Crypto-Markt von Bedeutung. In diesem Fall betrifft die Untersuchung jedoch Geräte, die über einen Dritthändler verkauft wurden, und nicht Ledgers eigene Vertriebswege. Direkt beim Hersteller gekaufte Geräte gehen von der Produktion unmittelbar an den Kunden, während weiterverkaufte Einheiten vor dem Käufer über Zwischenhändler laufen – ein Unterschied, der im Mittelpunkt der aktuellen Untersuchung steht.

UPDATE (9. Okt., 14:58 UTC): Ergänzt weitere Angaben zu Ledger.

Quelle: CoinDesk