Ledger hat strengere Kontrollen für den Verkauf von Hardware-Wallets eingeführt, nachdem Kriminelle originale Geräte manipuliert und zum Diebstahl von Kryptowährungen genutzt hatten. In einer Erklärung vom 15. Oktober bekräftigte das Unternehmen sein Verbot, zurückgegebene Wallets wiederzuverkaufen, und wies Händler an, neue Geräte nicht mehr auf Verkaufsregalen auszulegen. Der Schritt folgt auf die Entdeckung, dass versteckte Komponenten in wiederverkauften Wallets die 24-Wort-Wiederherstellungsphrasen der Kunden erfassten und über Mobilfunknetze übertrugen.

Kriminelle manipulierten Geräte vor dem Weiterverkauf

Ledger teilte mit, dass Angreifer legitime Wallets kauften, sie mit versteckten Komponenten ausstatteten und in die Reseller-Kanäle in Südostasien zurückbrachten. Laut dem Unternehmen bereitete die Gruppe die Operation monatelang vor und baute Systeme auf, um Wiederherstellungsphrasen zu sammeln und gestohlene Gelder zu bewegen.

Die Operation zeigt, wie Manipulationen in der Lieferkette eine Hardware-Wallet überwinden können, ohne ihre Kryptografie anzutasten: Eine Wiederherstellungsphrase ist das zentrale Backup, mit dem sich die Konten einer Wallet auf jedem kompatiblen Gerät wiederherstellen lassen — allein das Abgreifen dieser 24 Wörter genügt, um die Kontrolle die Gelder zu übernehmen.

Die Ermittlungen begannen am 9. Oktober, nachdem Kunden fehlende Vermögenswerte auf Geräten meldeten, die von CryptoBilis verkauft worden waren, einem Reseller mit Sitz in Malaysia. Eine frühere Untersuchung zu gestohlenen Ledger-Wallets brachte die Beschwerden mit dem Reseller in Verbindung, der daraufhin den Verkauf einstellte.

Wie die versteckten Implantate funktionierten

Ledgers Sicherheitsteam fand ein Implantat, das die 24-Wort-Wiederherstellungsphrase kopierte, die bei der Einrichtung der Wallet angezeigt wird. Die Komponente sendete diese Wörter anschließend über eine mobile Datenverbindung mittels einer eingebauten elektronischen SIM-Karte. Das Unternehmen erklärte, dass Sicherheit chip und Betriebssystem des Geräts intakt blieben.

Dieses Detail verlagert den Angriff auf die Einrichtungsphase, in der die Phrase angezeigt wird, damit der Besitzer sie notiert — und nicht in die sichere Hardware des Geräts selbst.

Binances Gründer Changpeng Zhao warnte auf X am 9. Oktober, dass die Beweise auf einen Angriff über einen einzigen Verkäufer hindeuteten und nicht auf ein Problem, das alle Ledger-Wallets betreffe.

Verlustschätzungen steigen, während Ermittler Gelder zurückverfolgen

Der Blockchain-Forscher Specter schätzte die Verluste zunächst auf über 86 Millionen US-Dollar. Das Update von Bitquery vom 15. Oktober verfolgte jedoch 102 Millionen US-Dollar aus gestohlenen Geldern auf 324 Wallets in sechs Netzwerken zurück. Eine frühere Bestätigung der Gerätemanipulation ergab, dass die Ermittler eine unbefugte Komponente gefunden hatten. Ledger hat die Gesamtverluste oder die Zahl der betroffenen Kunden nicht bestätigt.

Bitquery teilte mit, dass Tether 10 Millionen US-Dollar in USDT eingefroren hat, die mit dem Diebstahl in Verbindung stehen. Die Ermittler verfolgten die gestohlenen Gelder auch durch Tauschgeschäfte und Privacy-Dienste. Die Forscher zählten Wallets statt einzelner Kunden und wiesen darauf hin, dass eine einzige Person mehrere betroffene Adressen kontrollieren könnte.

Ledger ändert Vertrieb und Kundenempfehlungen

Ledger erklärte, seine Teams hätten Geräte aus Geschä in Deutschland sowie Lagerbestände untersucht; diese Proben wiesen keine Manipulation auf. In einem X-Update vom 14. Oktober rief das Unternehmen zu einem Verkaufsstop in sieben Märkten auf, darunter Hongkong. Reseller in Asien stellten den Verkauf von Wallets ein, während die Ermittlungen andauerten.

Die neuen Handhabungsregeln konzentrieren sich auf die Reseller-Stufe, den Punkt, an dem die manipulierten Geräte in die Lieferkette dieses Falls gelangten, indem Geräte bis zum Verkaufszeitpunkt unter kontrollierter Lagerung bleiben.

Nach den neuen Regeln müssen autorisierte Händler die Wallets außerhalb öffentlicher Regale lagern und die Geräte erst beim Kauf an die Käufer übergeben. Ledger rät CryptoBilis-Kunden, unbenutzte Geräte nicht einzurichten; wer ein Gerät bereits initialisiert hat, sollte seine Vermögenswerte in eine neue Wallet mit einer frischen Wiederherstellungsphrase übertragen. Offene Punkte im Fall umfassen eine bestätigte Verlustsumme — Ledger hat die Zahl von 102 Millionen US-Dollar von Bitquery nicht bestätigt — sowie die Frage, ob über die bereits von Tether eingefrorenen 10 Millionen US-Dollar in USDT hinaus weitere gestohlene Gelder eingefroren wurden.