Trezor fordert CryptoBilis-Käufer auf, Gelder wegen mutmaßlichem Safe-5-Wallet-Implantat umzuziehen
Wichtige Erkenntnisse
- •Trezor hat allen Kunden, die seit März ein Gerät vom ehemaligen autorisierten Wiederverkäufer CryptoBilis gekauft haben, empfohlen, ihre Bestände in eine über einen vertrauenswürdigen Kanal erstellte Wallet zu übertragen.
- •Ein Käufer in Indonesien entdeckte im August eine unbefugte Platine in einem auf dem Marktplatz Tokopedia gekauften Trezor Safe 5, die mutmaßlich Bildschirminformationen wie Wiederherstellungsphrasen erfassen und über ein Mobilfunknetz weiterleiten konnte.
- •Trezor hat das Gerät noch nicht untersucht und keine Berichte über damit verbundene Geldverluste erhalten; der Chief Commercial Officer erklärte jedoch, das Unternehmen behandle den Bericht als glaubwürdig und warne Nutzer vorsorglich.
- •Der Hinweis folgt auf Ledgers Bestätigung eines unbefugten Implantats in einer über CryptoBilis verkauften Wallet; manipulierte Ledger-Geräte wurden mit Krypto-Verlusten in Verbindung gebracht, darunter 2,7 Millionen US-Dollar bei Nutzern in Singapur.
- •Trezor räumte ein, dass Siegel und Verpackung allein keine ausreichenden Schutzmaßnahmen sind, überprüft seine Hardware-Schutzmaßnahmen und kündigte am 13. Oktober Pläne an, sein Wiederverkäufernetz zu verkleinern.
Der Hardware-Wallet-Hersteller Trezor fordert Kunden, die seit März Geräte vom ehemaligen autorisierten Wiederverkäufer CryptoBilis gekauft haben, auf, ihre Gelder umzuziehen. Grund ist ein Bericht über ein mutmaßliches Implantat in einem Trezor Safe 5.
Trezor machte den Bericht am Freitag in einem offiziellen Blogbeitrag bekannt; der Hinweis wurde zusätzlich auf X geteilt. Demnach entdeckte ein Kunde in Indonesien im August eine unbefugte Platine in einem auf dem Marktplatz Tokopedia gekauften Safe 5. Das mutmaßliche Implantat soll Informationen erfassen können, die auf dem Bildschirm des Geräts angezeigt werden – einschließlich Wallet-Wiederherstellungsphrasen – und über ein Mobilfunknetz übertragen. Hardware-Wallets sind darauf ausgelegt, Wiederherstellungsphrasen offline zu halten; aus diesem Grund trifft ein Gerät, das verdächtigt wird, angezeigte Daten preiszugeben, den Kern des Sicherheitsmodells des Produkts.
Trezor erklärte, das Gerät bislang nicht untersucht zu haben und keine Berichte über damit verbundene Verluste erhalten zu haben.
"Wir haben das Gerät noch nicht in unserem Labor, aber wir behandeln den Bericht als glaubwürdig, und wir warnen die Menschen lieber jetzt, als auf eine Bestätigung zu warten und dann festzustellen, dass zwischenzeitlich jemand seine Gelder verloren hat", sagte Trezors Chief Commercial Officer Danny Sanders gegenüber Cointelegraph.
Ein Unternehmenssprecher bezeichnete die Verkäufe über CryptoBilis als "sehr gering", machte jedoch keine Angaben zu Zahlen. Der Sprecher fügte hinzu, dass Trezor nicht festgestellt habe, wo die mutmaßliche Manipulation erfolgt sei, und dass das Unternehmen seine Hardware-Schutzmaßnahmen überprüfe. Dabei räumte er ein, dass bestehende Schutzvorkehrungen – einschließlich Siegeln und Verpackung – für sich allein nicht ausreichen. In der Praxis bedeutet das Umziehen der Gelder, eine neue Wallet mit einer frischen Wiederherstellungsphrase auf einem über einen vertrauenswürdigen Kanal bezogenen Gerät zu erstellen und jede Phrase stillzulegen, die möglicherweise auf dem verdächtigen Gerät angezeigt wurde.
Ledger-Manipulation und frühere Warnungen an Trezor
Die Warnung folgt auf Berichte über Krypto-Verluste im Zusammenhang mit über CryptoBilis verkauften Ledger-Wallets, die am 9. Oktober bekannt wurden. Ledger bestätigte ein unbefugtes Hardware-Implantat in einem der Geräte.
Der Sicherheitsforscher Joe Grand hatte Cointelegraph zuvor mitgeteilt, dass er Trezor bereits im August über manipulierte Trezor One- und Model-T-Wallets informiert hatte, die über unautorisierte Verkäufer auf TikTok und Facebook gekauft worden waren. Trezor erklärte, seine frühere Aussage, es gebe keine Hinweise auf kompromittierte Geräte, habe sich nur auf neue Wallets über autorisierte Wiederverkäufer bezogen. Zudem richteten sich die Einrichtungsprüfungen des Unternehmens gegen gefälschte Geräte und veränderte Firmware – während das Implantat in einer über CryptoBilis verkauften Ledger den Bildschirm auslas, ohne die Firmware zu verändern.
Eine gestohlene Wiederherstellungsphrase kann es einem Angreifer ermöglichen, eine Wallet auf einem anderen Gerät wiederherzustellen und deren Gelder zu verschieben.
Trezor kündigte am 13. Oktober Pläne an, sein Wiederverkäufernetz zu verkleinern.
Verwandt: Manipulierte Ledger-Wallets kosten Nutzer in Singapur 2,7 Millionen US-Dollar, so die Polizei
Quelle: Cointelegraph
