Der Hardware-Wallet-Hersteller Trezor verkleinert sein Netz autorisierter Händler, nachdem in Ledger-Geräten, die über Drittanbieter-Distributoren verkauft wurden, bösartige Implantate entdeckt wurden. Blockchain-Ermittler beziffern die Verluste aus dem CryptoBilis-Vorfall inzwischen auf 102 Millionen US-Dollar.

Der Vorfall zeigt, wie ein Manipulation, die bereits vor dem Kauf eines Geräts vorgenommen wurde, die integrierte Kryptografie einer Wallet vollständig umgehen kann – wodurch sich die Sicherheitsfrage vom Gerät selbst auf die Lieferkette verlagert, über die es zum Kunden gelangt.

Trezor kündigte die vorsorglichen Änderungen am 13. Oktober in einer Erklärung zur Lieferkette an und bestätigte, dass betroffene Vertriebspartner ihre Autorisierung am 1. Januar 2027 verlieren. Neue Lieferungen an diese Händler sind bereits gestoppt. Das Unternehmen hat zudem CryptoBilis, einen südostasiatischen Händler, aus seinem autorisierten Netz entfernt, nachdem Ledger manipulierte Geräte identifiziert hatte, die über denselben Händler vertrieben wurden. Trezor betonte, dass keine Hinweise auf kompromittierte Geräte der eigenen Marke vorliegen.

Trezor beendet Händlerverträge ab Januar 2027

Chief Commercial Officer Danny Sanders erläuterte die Anpassungen in einem Schreiben an Vertriepartner und erklärte, Trezor könne das bisherige Maß an Kontrolle über das bestehende Händlernetz nicht länger aufrechterhalten.

Betroffene Partner können ihre restlichen Bestände noch während der Weihnachtssaison verkaufen, erhalten jedoch keine zusätzliche Ware mehr, und ihre Autorisierung läuft Anfang 2027 aus. Trezor plant eine strengere Partnerprüfung sowie aktualisierte vertragliche Anforderungen zu Produktbeschaffung, Lagerung und Handhabung. Drittanbieter-Händler waren seit jeher zentral dafür, wie Wallet-Hersteller lokale Märkte erreichen, doch jeder Zwischenhändler fügt ein weiteres Glied zwischen Fabrik und Kunde hinzu – genau der Teil der Lieferkette, der nach den CryptoBilis-Funden nun branchenweit verstärkt unter die Lupe genommen wird.

Sanders betonte, dass die Entscheidung kein Fehlverhalten der betroffenen Händler bedeute. Er dankte zudem öffentlich den langjährigen Partnern und entschuldigte sich für die Beendigung der Geschäftsbeziehungen. Trezor hat nicht offengelegt, wie viele Händler ihre Autorisierung verlieren oder welche Märkte betroffen sein werden.

Ledger bringt Wallet-Abflüsse mit versteckten LTE-Implantaten in Verbindung

Die Neuausrichtung des Händlernetzes folgt auf Ledgers Untersuchung der mit CryptoBilis verbundenen Wallet-Abflüsse, von denen Kunden in Südostasien betroffen sind. Ledgers Sicherheitsteam Donjon identifizierte ein unbefugtes elektronisches Implantat, das in den betroffenen Hardware-Wallets verbaut war. Die Komponente fing die bei der Geräteinitialisierung angezeigte 24-Wörter-Wiederherstellungsphrase ab und übermittelte die Daten über LTE mittels einer eingebetteten SIM-Karte. Da eine Wiederherstellungsphrase allein ausreicht, um eine Wallet auf jedem kompatiblen Gerät wiederherzustellen, erhält ein Angreifer mit einer bei der Initialisierung erfassten Phrase Zugriff auf sämtliche Mittel, die die Wallet später hält – ohne jemals die Hardware erneut berühren zu müssen.

Laut Ledger arbeitete das Implantat unabhängig vom Secure Element und veränderte weder das Betriebssystem des Geräts noch Transaktionssignaturen. Das Unternehmen hat bestätigt, dass die untersuchten Fälle Geräte betrafen, die über CryptoBilis verkauft wurden, und hält daran fest, dass seine internen Systeme und direkten Vertriebskanäle nicht betroffen sind (X-Beitrag). Der Vorfall verleiht den bereits zuvor geäußerten Bedenken hinsichtlich Ledgers Sicherheitsbilanz – darunter frühere Kundendaten-Leaks und eine Software-Lieferkette-Ausnutzung – eine neue physische Lieferketten-Dimension.

Das Blockchain-Analyseunternehmen Bitquery hat inzwischen mutmaßlich 102 Millionen US-Dollar in gestohlenen Assets in 324 Wallets auf sechs Blockchains nachverfolgt und damit die anfänglichen Schätzungen von 86 Millionen US-Dollar übertroffen, wie aus der veröffentlichten Untersuchung hervorgeht. Die Analyse identifizierte koordinierte Abhebungen über Tron, Bitcoin, Ethereum, Solana, BNB Chain und Polygon, während Tether rund 10 Millionen USDT in Verbindung mit den verdächtigen Transfers eingefroren hat. Ledger hat die Gesamtverlustsumme nicht unabhängig bestätigt.

MediaMarkt setzt Ledger-Verkauf aus, während sich die Untersuchung ausweitet

Die Untersuchung hat auch europäische Händler erreicht. MediaMarktSaturn hat den Verkauf betroffener Ledger-Produkte ausgesetzt, nachdem ein Kunde in Deutschland über manipulierte Hardware berichtet hatte: In zwei Geräten aus unterschiedlichen MediaMarkt-Filialen fanden sich zusätzliche Verdrahtung und Komponenten zur Mobilfunkkommunikation.

Ledger hat den Bericht aus Deutschland zur Kenntnis genommen, aber erklärt, dass keine damit verbundenen Geldverluste festgestellt wurden. Eine Verbindung zwischen diesen Geräten und den CryptoBilis-Diebstählen konnte das Unternehmen bislang nicht herstellen.

Ein weiterer Wallet-Hersteller, OneKey, hat CryptoBilis die Händlerautorisierung entzogen und Kunden kostenlose Ersatzgeräte angeboten, die ihre Produkte zwischen dem 1. März und dem 13. Oktober über den Händler gekauft haben.

Ledger rät CryptoBilis-Kunden weiterhin davon ab, unbenutzte Geräte zu initialisieren. Wer betroffene Wallets bereits eingerichtet hat, sollte seine Assets auf eine sicher generierte Wallet mit einer neuen Wiederherstellungsphrase übertragen.

Offene Punkte sind unter anderem Ledgers unbestätigte Gesamtverlustsumme, ob die deutschen MediaMarkt-Geräte letztlich mit den CryptoBilis-Diebstählen in Verbindung gebracht werden können, sowie weitere Verfolgungsmaßnahmen oder Asset-Freeze, die sich aus Bitquerys Untersuchung und Tethers USDT-Aktion über 10 Millionen US-Dollar ergeben.

Trezors umfassendere Händleränderungen treten am 1. Januar 2027 in Kraft; die überarbeiteten Vertriebskontrollen sollen die Zahl der Zwischenhändler reduzieren, die Kundengeräte in der Hand haben.

Quelle: Crypto Adventure