Singapurer Polizei findet Spionagesoftware-Hardware in Ledger-Wallets aus lokalen Geschäften
Wichtige Erkenntnisse
- •Die Polizei Singapurs identifizierte bösartige Hardware-Implantate in Ledger-Wallets aus lokalen Einzelhandelskanälen; seit dem 10. September wurden mindestens zwei Fälle gemeldet, die zu Gesamtschäden von rund 3,5 Millionen S$ oder etwa 2,7 Millionen US-Dollar führten.
- •Die kompromittierten Komponenten konnten Wiederherstellungsphrasen oder private Schlüssel erfassen und unautorisierte Vermögensübertragungen ermöglichen, wobei die Warnung keine konkreten Geschäfte nannte.
- •Der erste Bericht aus Singapur kam etwa einen Monat bevor Ledger am 9. Oktober den autorisierten Händler CryptoBilis aufforderte, den Verkauf einzustellen; am 13. Oktober bat das Unternehmen Händler in sieben asiatischen Märkten, den Verkauf auszusetzen.
- •Ledger gab bekannt, dass ein Implantat im Gehäuse eines Nano X die 24-Wörter-Wiederherstellungsphrase während der Einrichtung las und sie über eine eingebaute SIM-Karte per LTE übertrug; Secure Element, Betriebssystem und Signaturprozess blieben unberührt, sodass der Genuine Check nie ausgelöst wurde.
- •Ledgers geplantes manipulationssicheres Gerät, der 849 US-Dollar teure Atom, vorgestellt am 15. Oktober in Paris, wird frühestens im Sommer 2027 ausgeliefert; seine Schutzmaßnahmen werden nicht nachträglich in bereits im Umlauf befindliche Nano-, Flex- und Stax-Geräte eingebaut.
Die Behörden Singapurs haben bösartige Hardwarekomponenten in Ledger-Krypto-Wallets identifiziert, die über Einzelhandelskanäle in der Stadtstaaten erworben wurden, wie aus einer am Mittwoch veröffentlichten Warnung der Polizei Singapurs (SPF) hervorgeht. Seit dem 10. September wurden mindestens zwei Fälle gemeldet, bei denen Gesamtschäden von etwa 3,5 Millionen S$ beziehungsweise rund 2,7 Millionen US-Dollar entstanden.
Der Fund trifft den Kern des Konzepts von Hardware-Wallets, die entwickelt wurden, um die privaten Schlüssel, die Kryptobestände kontrollieren, offline zu halten — wobei eine Wiederherstellungsphrase, die Wortsequenz, mit der eine Wallet auf einem neuen Gerät wiederhergestellt werden kann, als Master-Backup dieser Schlüssel dient. Vorläufige Ermittlungen ergaben, dass einige der Komponenten verwendet werden konnten, um Wiederherstellungsphrasen oder private Schlüssel zu erfassen, sodass Unbefugte die Wallets öffnen und Vermögenswerte ohne Wissen oder Zustimmung der Eigentümer verschieben konnten. Die Warnung nannte keine konkreten Geschäfte.
Die Polizei erklärte, sie stehe mit Ledger in Kontakt, das die betroffenen Fälle untersucht, während die eigenen Ermittlungen der Behörde andauern.
SPF mahnt zur Vorsicht bei Wiederherstellungsphrasen
In der Warnung riet die SPF den Nutzern, keine Wiederherstellungsphrasen einzugeben und keine Transaktionen auf Geräten durchzuführen, bei denen sie eine Kompromittierung vermuten. Die Behörde warnte außerdem davor, Schlüssel oder Seed-Phrasen an irgendjemanden weiterzugeben, einschließlich Personen, die sich als Wallet-Anbieter, Börsen oder Polizisten ausgeben.
Berichte aus Singapur gehen der Warnung vom 9. Oktober etwa einen Monat voraus
Der erste Bericht aus Singapur wurde etwa einen Monat vor der öffentlichen Bekanntgabe des größeren Vorfalls am 9. Oktober eingereicht, als Ledger CryptoBilis, einen autorisierten Händler mit Sitz in Indonesien, Malaysia und den Philippinen, aufforderte, Verkäufe und Sendungen einzustellen.
Zu diesem Zeitpunkt berichtete Cryptopolitan, dass angeblich mehr als 86 Millionen US-Dollar in Bitcoin, Ethereum und Tron aus den von dem Geschäft verkauften Wallets gestohlen worden seien. Ledger hat diese Zahl nicht bestätigt.
Am 10. Oktober teilte Ledger auf X mit, dass man einen unautorisierten Hardware-Implantat auf dem Gerät eines Kunden entdeckt habe. Der Chip, der im Gehäuse eines Nano X verbaut war, las die 24 Wörter umfassende Wiederherstellungsphrase während der Einrichtung vom Bildschirm ab und übermittelte sie über eine eingebaute SIM-Karte per LTE.
Ledgers Sicherheits-Team Donjon erklärte, der Chip habe weder das Secure Element noch das Betriebssystem oder den Signaturprozess beeinträchtigt — deshalb habe er auch nie den „Genuine Check“ des Unternehmens ausgelöst.
In den darauf folgenden Tagen wurden zwei Fälle aus Singapur bekannt. Mark Karpelès, ehemaliger CEO von Mt. Gox, sagte, er habe am Flughafen in Singapur eine Ledger Flex mit einem Spionage-Implantat gekauft. Ein anderer Besitzer berichtete, dass ein über den lokalen IT-Händler Challenger gekauftes Gerät manipuliert worden sei; Ledger schickte später einen Ersatz.
Am 13. Oktober bat Ledger Händler in Indonesien, Singapur, Thailand, auf den Philippinen, in Vietnam, Malaysia und Hongkong, den Verkauf seiner Produkte auszusetzen.
In einer Mitteilung vom 28. Oktober erklärte das Unternehmen, alle bestätigten Verluste betrafen Geräte, die über eine begrenzte Anzahl von Händlern verkauft worden seien. Ein linkeder Abfluss zu einem außerhalb Südostasiens gekauften Gerät sei nicht bestätigt, und es gebe keine Anzeichen, dass die Infrastruktur, Systeme oder der Direktverkaufskanal kompromittiert worden seien.
„Die im Umlauf befindlichen Zahlen stammen von Dritten und Ledger hat sie nicht vollständig verifiziert“, erklärte das Unternehmen am 22. Oktober.
Ledgers langfristige Antwort: Atom
Ledgers dauerhaftere Lösung ist der Atom, ein 849 US-Dollar teures Gerät, das das Unternehmen auf seiner Op3n-Veranstaltung in Paris am 15. Oktober vorstellte. Der Atom wird frühestens im Sommer 2027 ausgeliefert, und seine Schutzmaßnahmen gegen Manipulation werden nicht nachträglich in bereits im Umlauf befindliche Nano-, Flex- und Stax-Geräte eingebaut. Bis der Abschluss der polizeilichen Untersuchung und von Ledgers Ermittlungen wird jede künftige Warnung, die die beteiligten Geschäfte benennt, das deutlichste Signal für Besitzer sein, die herausfinden wollen, ob ihre Geräte zu den betroffenen Einzelhandelskanälen gehören.
