Trezor streicht ab Januar 2027 autorisierte Wiederverkäufer nach Fund bösartiger Implantate in Ledger-Geräten
Wichtige Erkenntnisse
- •Trezor wird sein autorisiertes Wiederverkäufernetzwerk ab dem 1. Januar 2027 verkleinern, nachdem bösartige Hardware-Implantate in Geräten des konkurrierenden Herstellers Ledger entdeckt wurden.
- •Trezor erklärte, es gebe keine Hinweise darauf, dass die eigenen Geräte kompromittiert worden seien.
- •Die Ledger-Implantate sollen während der Geräteeinrichtung angezeigte Wiederherstellungsphrasen erfasst und über Mobilfunknetze übertragen haben, ohne auf die Internetverbindung des Gerätebesitzers angewiesen zu sein.
- •Trezor erklärte, die Verringerung der Zahl autorisierter Wiederverkäufer werde eine genauere Prüfung der verbleibenden Partner ermöglichen.
- •Der Vorfall zeigt, dass Hardware-Wallets bereits in der Vertriebskette vor ihrer Auslieferung an Nutzer kompromittiert werden können. Dadurch rückt neben der Software auch die Integrität der Lieferkette in den Mittelpunkt der Sicherheit.
Trezor reduziert sein Netzwerk autorisierter Wiederverkäufer, nachdem bösartige Hardware-Implantate in Geräten des konkurrierenden Herstellers Ledger gefunden wurden. Damit verfolgt das Unternehmen einen restriktiveren Ansatz zum Schutz von Krypto-Wallets, bevor diese die Nutzer erreichen.
Hardware-Wallets sind physische Geräte, die die privaten Schlüssel zur Kontrolle von Kryptowährungsbeständen offline speichern und sie dadurch von mit dem Internet verbundenen Computern fernhalten. Trezor, entwickelt vom in Prag ansässigen Unternehmen SatoshiLabs, und das in Frankreich ansässige Unternehmen Ledger gehören zu den meistgenutzten Herstellern der Branche.
Der von BitcoinKE berichtete Schritt geht über die Überprüfung der Geräte-Software oder -Firmware hinaus. Er richtet sich gegen die Vertriebskette selbst – also gegen den Punkt, an dem Angreifer physische Geräte potenziell verändern können, ohne herkömmliche Sicherheitsprüfungen auszulösen.
Trezor erklärte, es gebe keine Hinweise darauf, dass die eigenen Geräte kompromittiert worden seien. Dennoch wird das Unternehmen die betroffenen Wiederverkäufer nicht mehr beliefern und sie ab dem 1. Januar 2027 aus seinem autorisierten Netzwerk entfernen. Autorisierte Wiederverkäufer sind Drittanbieter, die ein Hersteller offiziell zum Verkauf seiner Produkte zulässt. Sie gehören damit zum offiziellen Weg, den ein Gerät zurücklegt, bevor es einen Käufer erreicht. Trezor zufolge wird die Verringerung des Netzwerks eine genauere Prüfung der verbleibenden Partner ermöglichen.
Der Vorfall verdeutlicht eine kritische Schwachstelle bei der Sicherheit von Hardware-Wallets: Ein Gerät, das private Schlüssel offline speichern soll, kann bereits vor dem Erreichen seines Besitzers kompromittiert werden. Im Fall von Ledger sollen nicht autorisierte Implantate die während der Einrichtung angezeigten Wiederherstellungsphrasen erfasst und über Mobilfunknetze übertragen haben – über einen Weg, der nicht von der Internetverbindung des Gerätebesitzers abhängt. Eine Wiederherstellungsphrase, auch Seed-Phrase genannt, ist eine Wortfolge, mit der sich die privaten Schlüssel einer Wallet wiederherstellen lassen. Wer sie erhält, kann in der Regel auf die von ihr kontrollierten Guthaben zugreifen.
Die Reaktion von Trezor signalisiert eine Abkehr von der primären Abhängigkeit von gerätebezogenen Schutzmaßnahmen. Stattdessen werden die Kontrolle der Wiederverkäufer und die Integrität der Lieferkette als Teil der Wallet-Sicherheit selbst behandelt. Die Entfernung der Wiederverkäufer tritt am 1. Januar 2027 in Kraft. Damit werden die Zusammensetzung des verbleibenden autorisierten Netzwerks und die Prüfung, der Trezor die behaltenen Partner unterzieht, den neuen Ansatz in der Praxis zeigen.
Der Fall unterstreicht, dass die entscheidende Frage nicht mehr nur lautet, ob die Software einer Hardware-Wallet sicher ist, sondern auch, ob Nutzer dem physischen Gerät vertrauen können, das sie erhalten.
