MediaMarktSaturn, die Muttergesellschaft des europäischen Elektronikhändlers MediaMarkt und Europas größter Elektronikhändler nach Umsatz, hat Ledger Hardware Wallets vorsorglich aus allen seinen Geschäften und Online-Plattformen in sämtlichen Märkten entfernt, nachdem es Berichte über manipulierte Geräte gegeben hatte. Ledger ist ein in Frankreich ansässiger Hersteller von Hardware Wallets – kleinen Offline-Geräten, die die Schlüssel zur Kontrolle von Kryptogeldern speichern.

„Wir haben dies als Vorsichtsmaßnahme getan“, sagte ein Unternehmenssprecher und fügte hinzu, dass der Händler mit Ledger in Kontakt stehe und den Vorfall ernst nehme.

Der Rückzug folgt auf Berichte, wonach Kunden unbefugte Hardwarekomponenten, darunter Mobilfunkmodule, in Ledger-Geräten aus verschiedenen MediaMarkt-Filialen in Deutschland entdeckt hatten. Ledger erklärte, dass im Zusammenhang mit dem deutschen Fall keine gestohlenen Gelder gemeldet worden seien.

Der Vorfall ist Teil einer umfassenderen Untersuchung von Kryptodiebstählen im Zusammenhang mit Geräten, die über den südostasiatischen Wiederverkäufer CryptoBilis verkauft wurden. Ledger bestätigte, dass unbefugte Hardware-Implants in betroffenen Geräten während der Einrichtung die 24-Wort-Wiederherstellungsphrasen der Nutzer vom Bildschirm erfassen und über ein Mobilfunknetz mittels einer elektronischen SIM-Karte übertragen könnten – die Übertragung wäre also nicht vom Computer oder der Internetverbindung des Besitzers abhängig. Frühere Berichte von BitcoinKE über das Implantat nannten Kryptoverluste von über 80 Millionen Dollar.

Die vom Implantat erfasste Wiederherstellungsphrase kann verwendet werden, um eine Kryptowallet wiederherzustellen und auf deren Guthaben zuzugreifen. Ledger erklärte, das Implantat habe weder den Secure Chip noch das Betriebssystem des Geräts verändert, und es gebe keine Anzeichen, dass die eigene Infrastruktur, Systeme oder Dienste kompromittiert worden seien.

Das Unternehmen hat die Gesamthöhe der Verluste oder die Zahl der betroffenen Kunden nicht bestätigt. Es erklärte, alle bestätigten Diebstähle im Zusammenhang mit dem Vorfall beträfen Geräte, die über CryptoBilis verkauft wurden, während die Untersuchungen zu Berichten über andere Geräte und Standorte andauern würden.

Der Vorfall fügt sich in eine Reihe von Entwicklungen zur Lieferkettensicherheit in der Hardware-Wallet-Branche ein. Der Mitbewerber Trezor hat im Zuge einer Überholung der Lieferkettensicherheit den Verkauf über Hardware-Wallet-Wiederverkäufer eingeschränkt und zudem mitgeteilt, dass Daten von rund 14.000 Kunden nach einem Sicherheitsvorfall bei einem Versandpartner offengelegt worden waren. Eine Fallstudie zu einem Exploit der Coldcard Bitcoin Wallet hat ebenfalls auf Hardwaresicherheitslücken bei Cold-Storage-Geräten aufmerksam gemacht.

Der Rückzug durch MediaMarktSaturn unterstreicht die Lieferkettenrisiken, denen Hersteller von Hardware Wallets gegenüberstehen. Geräte, die darauf ausgelegt sind, Krypto-Wiederherstellungsphrasen offline zu halten – ein zentrales Sicherheitsmerkmal solcher Produkte –, können kompromittiert werden, wenn unbefugte Komponenten zu irgendeinem Zeitpunkt eingebaut werden, bevor sie die Kunden erreichen.

Die Entscheidung des Händlers gilt in allen seinen internationalen Märkten und ist nicht auf einzelne Geschäfte oder bestimmte Online-Verkaufskanäle beschränkt. Die Aufmerksamkeit richtet sich nun auf die laufenden Untersuchungen, einschließlich der Frage, ob sich bestätigte Diebstähle auch auf Geräte erstrecken, die nicht über CryptoBilis verkauft wurden.

Quelle: BitcoinKE