Krypto-Anleger in Singapur haben nach Angaben der singapurischen Polizei rund 3,5 Millionen Singapur-Dollar (2,7 Millionen US-Dollar) durch den Kauf manipulierter Ledger-Hardware-Wallets verloren. In einer am 28. Oktober veröffentlichten Warnung bestätigten die Behörden mindestens zwei Fälle und teilten mit, dass die Beschwerden ab dem 10. September eingingen — fast einen Monat, bevor der umfassendere Sicherheitsvorfall im Oktober öffentlich bekannt wurde.

Vorläufige Ermittlungen ergaben, dass sich in Ledger-Geräten aus bestimmten Einzelhandelsgeschäften in Singapur bösartige Komponenten befanden. Derartige Veränderungen werden als Kompromittierung der Lieferkette beschrieben, bei der einzelne Geräte zwischen Herstellung und Verkauf physisch verändert werden, statt sie nach der Einrichtung per Software anzugreifen.

Unbefugte Hardware erfasste Wiederherstellungsphrasen und private Schlüssel

Die Ermittler stellten fest, dass die kompromittierten Geräte unbefugte Hardware enthielten, die Wiederherstellungsphrasen und private Schlüssel erfassen konnte. Mit diesen Informationen konnten Angreifer auf Krypto-Bestände zugreifen und Gelder ohne Zustimmung der Eigentümer überweisen.

Hardware-Wallets sollen digitale Vermögenswerte schützen, indem private Schlüssel offline gehalten werden. Die Vorfälle in Singapur zeigen, wie physische Manipulation diesen Schutz untergraben kann, bevor Kunden ihre Geräte überhaupt in Betrieb nehmen. Da eine Wiederherstellungsphrase den Zugang zu den Beständen wiederherstellen kann, kann jeder, der sie erhält, potenziell die Kontrolle über die zugehörige Wallet übernehmen und deren Vermögenswerte verschieben — weshalb die Phrase selbst als sensibelstes Geheimnis bei Self-Custody-Lösungen gilt.

Ledger setzt regionale Verkäufe während der Untersuchung aus

Ledger hatte bereits Anfang Oktober Untersuchungen zu Berichten über Geräte aufgenommen, die über den südostasiatischen Wiederverkäufer CryptoBilis vertrieben worden waren. Am 10. Oktober bestätigte das Unternehmen einen unbefugten Hardware-Implantat in mindestens einem betroffenen Gerät. Bis zum 13. Oktober hatte Ledger eine vorübergehende Aussetzung des Verkaufs über regionale Wiederverkäufer und Distributoren verlangt — eine Vorsichtsmaßnahme, die Singapur, Malaysia, Indonesien, Thailand, die Philippinen, Vietnam und Hongkong umfasst.

Das Unternehmen prüft die betroffenen Fälle weiter und kooperiert mit den singapurischen Behörden; das volle Ausmaß der vermuteten Kompromittierung der Lieferkette ist jedoch weiterhin unklar. Ob weitere betroffene Geräte in den sieben abgedeckten Hoheitsgebieten auftauchen, gehört zu den offenen Fragen, während diese Prüfung andauert.

Polizei fordert Nutzer auf, verbleibende Vermögenswerte zu schützen

Die singapurische Polizei riet Krypto-Inhabern, verdächtige Geräte nicht mehr zu verwenden, keine Wiederherstellungsphrasen einzugeben und keine weiteren Transaktionen über potenziell kompromittierte Hardware durchzuführen.

Wo Zugangsdaten möglicherweise offengelegt wurden, empfahlen die Behörden, die verbleibenden Kryptowährungen in eine vertrauenswürdige Wallet mit einer neu generierten Wiederherstellungsphrase zu übertragen, wobei die Übertragung über ein nicht kompromittiertes Gerät erfolgen sollte.

Der Fall verdeutlicht die wachsenden Bedenken hinsichtlich der Vertriebskanäle für Krypto-Hardware-Wallets und zeigt, dass selbst Geräte, die für Offline-Sicherheit konzipiert sind, Anleger erhebliche Verluste bescheren können, wenn Angreifer physische Produkte vor der Auslieferung manipulieren. Für Anleger unterstreicht er die Bedeutung, die Echtheit von Geräten zu überprüfen und den Sicherheitshinweisen der Hersteller zu folgen.

Die singapurische Polizei untersucht die gemeldeten Verluste weiter, während Ledger die betroffenen Wallets prüft. Wie viele Geräte betroffen sind, an welcher Stelle der Vertriebskette die Manipulation erfolgte und wann der Verkauf über regionale Wiederverkäufer wieder aufgenommen werden könnte, gehören zu den noch ungeklärten Details.