Die mutmaßlichen Diebstähle im Zusammenhang mit Ledger-Hardware-Wallets nähern sich 90 Millionen US-Dollar, und der Stablecoin-Herausgeber Tether hat begonnen, mit dem Vorfall in Verbindung stehende USDT einzufrieren, wie Blockchain-Ermittler mitteilen.

In einer Erklärung vom 9. Oktober teilte der Hersteller von Krypto-Hardware-Wallets mit, man untersuche Berichte, wonach Kunden nach dem Kauf von Geräten bei CryptoBilis, einem in Südostasien tätigen autorisierten Händler, Gelder verloren hätten. Als Vorsichtsmaßnahme bat Ledger den Händler, Verkäufe und Lieferungen seiner Hardware-Wallets während der laufenden Untersuchung sofort auszusetzen.

Hinweise für betroffene Kunden

Ledger riet Kunden, die ihre Geräte in den vergangenen 90 Tagen bei CryptoBilis gekauft hatten, diese nicht zu initialisieren, falls die Einrichtung noch nicht abgeschlossen war. Kunden, die ihre Wallets bereits konfiguriert hatten, aufgefordert, in Erwägung zu ziehen, ihre Kryptowährungen auf ein neues Ledger-Gerät mit einer frischen Wiederherstellungsphrase zu übertragen.

CryptoBilis ist im offiziellen Händlerverzeichnis von Ledger für Malaysia, Indonesien und die Philippinen gelistet. Kunden, die über autorisierte Vertriebskanäle kaufen, verlassen sich in der Regel auf diese Beziehungen, um das Risiko gefälschter oder kompromittierter Hardware zu verringern. Hardware-Wallets nehmen in diesem Vertrauensmodell eine besondere Stellung ein, da Nutzer sie kaufen, um private Schlüssel offline zu halten; eine Kompromittierung an irgendeiner Stelle der Vertriebskette würde den Schutz untergraben, der durch den Kauf eigentlich gewährleistet werden soll.

Branchengrößen reagieren

Der Vorfall erregte die Aufmerksamkeit von Binance-Gründer Changpeng Zhao, der die Nutzer zur Vorsicht mahnte, insbesondere wenn sie kürzlich ein Ledger-Gerät gekauft hatten.

„Basierend auf den bisherigen Informationen scheint es auf einen Lieferkettenangriff mit einem einzigen Händler beschränkt zu sein“, schrieb er auf X.

Zhao deutete an, dass eine begrenzte Anzahl von Kunden möglicherweise gefälschte oder manipulierte Geräte erhalten habe, und betonte zugleich Ledgers langjährigen Sicherheitsruf. Er rief zudem zur Zusammenarbeit in der gesamten Kryptobranche auf, um die mutmaßlichen Angreifer zu identifizieren und die gestohlenen Vermögenswerte zurückzuholen.

„Ich erwarte und weiß, dass alle Akteure des BNB-Ökosystems (und die gesamte Branche) bei der Rückverfolgung und Wiederherstellung der Gelder helfen werden“, fügte er hinzu.

Unterdessen untersucht der frühere Mt.-Gox-CEO Mark Karpelès, ob Geräte, die an Kunden ausgeliefert wurden, mit bösartigen Hardwarekomponenten versehen wurden. Karpelès bat CryptoBilis, einige seiner unverkauften Ledger-Wallets zu öffnen, damit ihre internen Leiterplatten auf mögliche Spionage-Implantate oder andere unbefugte Modifikationen überprüft werden konnten.

Grenzen der Authentifizierung im Fokus

Die Sorge macht auf eine Schwäche im Hardware-Authentifizierungsprozess von Ledger aufmerksam. Die Sicherheitsdokumentation des Unternehmens räumt ein, dass sein Genuine-Check-System zwar das Secure Element eines Geräts überprüft, physische Modifikationen an anderen Stellen der Hardware jedoch nicht unbedingt erkennt, wenn der ursprüngliche Sicherheitschip intakt bleibt. Das bedeutet, dass ein physisch verändertes Gerät die Authentifizierung bestehen könnte, selbst wenn es unbefugte Komponenten enthält. Für Kunden ist diese Schwäche erheblich: Genuine Check ist die bei der Einrichtung eines neuen Geräts verfügbare Überprüfung, und das Bestehen dieses Checks schließt Manipulationen an anderer Stelle der Hardware nicht aus.

Es gibt keinen bestätigten Nachweis dafür, dass bösartige Hardware-Implantate die gemeldeten Diebstähle verursacht haben. Ledger hat nicht offengelegt, wie viele Geräte möglicherweise kompromittiert wurden, und auch nicht geklärt, ob der Vorfall auf gefälschte Hardware, physische Manipulation oder eine andere Angriffsmethode zurückzuführen ist.

Ermittler geben sich Mühe, Verluste einzudämmen

Während Ledger die mutmaßliche Quelle der Kompromittierungen untersucht, arbeiten Blockchain-Ermittler daran, die Bewegung der gestohlenen Kryptowährungen nachzuverfolgen und einzuschränken.

Der On-Chain-Ermittler Specter erklärte, die Transaktionsanalyse habe Zuflüsse aus Hunderten mutmaßlicher Opfer-Wallets auf Adressen über Bitcoin, Ethereum und Tron hinweg identifiziert. Specter schätzte die mutmaßlichen Diebstähle zunächst auf über 86 Millionen US-Dollar, doch das Blockchain-Sicherheitsunternehmen MistTrack bezifferte die gemeldeten Verluste später auf nahezu 90 Millionen US-Dollar.

Diese Schätzungen wurden nicht unabhängig überprüft, und die Ermittler haben nicht festgestellt, ob jede in die Berechnung einbezogene Wallet durch denselben Vorfall kompromittiert wurde.

MistTrack teilte mit, beobachtet zu haben, wie Tether mit dem Vorfall in Verbindung stehende USDT einfror, und dass sich mehrere betroffene Nutzer an sein Team gewandt hätten.

Was das Einfrieren kann – und was nicht

Das Einfrieren eröffnet einen möglichen Wiederherstellungsweg, da USDT administrative Kontrollen enthält, die es Tether erlauben, Überweisungen von bestimmten Adressen einzuschränken. Sobald eine Adresse eingefroren ist, können Nutzer die betroffenen USDT nicht mehr über gewöhnliche Blockchain-Transaktionen bewegen, es sei denn, die Beschränkung wird aufgehoben. Diese Funktion kann dazu beitragen, zu verhindern, dass gestohlene Gelder auf weitere Wallets übertragen oder in andere Kryptowährungen umgewandelt werden, während die Ermittler versuchen, die Eigentumsverhältnisse festzustellen.

Die Maßnahme hat jedoch Grenzen. Die mutmaßlichen Diebstähle erstrecken sich über mehrere Blockchain-Netzwerke und umfassen Vermögenswerte neben USDT. Tether kann natives Bitcoin oder Ethereum nicht direkt einfrieren, sodass die Ermittler auf die Kooperation von Börsen, Verwahrern und Strafverfolgungsbehörden angiesen sind, falls diese Vermögenswerte in identifizierbare Dienste transferiert werden.

Das Einfrieren von USDT führt auch nicht automatisch zur Rückgabe der Token an ihre ursprünglichen Eigentümer. Jede Entschädigung würde eine weitere Überprüfung und Koordination mit den zuständigen Behörden oder Gegenparteien erfordern.

MistTrack hat den Wert der eingefrorenen Token nicht offengelegt, sodass nicht bestimmt werden kann, welcher Anteil der gemeldeten Verluste von nahezu 90 Millionen US-Dollar letztlich wiederhergestellt werden könnte. Diese Unsicherheit erhöht den Druck auf die Ermittler herauszufinden, wohin die verbleibenden Gelder geflossen sind, bevor sie durch weitere Transaktionen verteilt werden. Bis der Wert der eingefrorenen Token, die Ergebnisse von Ledgers Untersuchung und die Resultate der Geräteprüfungen offengelegt werden, bleibt das letztliche Ausmaß der Wiederherstellung unklar.