// HEISE ONLINE — HARDWARE & GADGET
Verwanzte Wallets: "Mit Millionenbudget monatelang vorbereitet"
Jemand verwanzt Hardware-Wallets für Kryptowährungen und stiehlt Millionen. Jetzt meldet sich der betroffene Hersteller Ledger zu Wort.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Verwanzte Hardware-Wallets für Kryptowährungen sind Benutzer teuer zu stehen gekommen. Von 9. bis 13. Oktober beläuft sich die Gesamtbeute auf mindestens 102 Millionen US-Dollar. Der betroffene Hersteller Ledger gab sich schmallippig, obwohl seit spätestens Mai bekannt ist, dass verwanzte Wallets in Umlauf sind. Am Donnerstag hat sich Ledger schließlich zu Wort gemeldet und versucht, zu beschwichtigen: „Das war kein systemischer Angriff auf die Lieferkette, sondern ein lokaler Angriff auf die Distribution.”
„Eine stark organisierte kriminelle Gruppe hat den fortgeschrittensten Angriff ausgeführt, den unsere Branche je gesehen hat”, schreibt Leder. „Über viele Monate haben sie echte Ledger-Geräte gekauft, geöffnet, maßgeschneiderte Komponenten (...) eingebaut, und (die Geräte) durch Großhändler in Südostasien wieder in die Distribution gebracht.”
Leider gibt Ledger nicht an, über welche Distributoren die manipulieren Wallets vertrieben worden sind. Gesichert sind Verkäufe in Asien, doch hat ein Deutscher berichtet, bei MediaMarkt Saturn im August und erneut vorige Woche ebenfalls verwanzte Ledger-Wallets erstanden zu haben. Lieferant soll ein österreichischer Distributor gewesen sein; heise online hat ihn zwecks Stellungnahme kontaktiert. MediaMarkt Saturn hat den Ledger-Verkauf vorerst eingestellt.
Wie Ledger berichtet, haben die Angreifer „ihre eigene Logistik und technische Infrastruktur mit Servern zur Sammlung der Seed Phrases, Leerung (der Wallets) und Wäsche” der Beute aufgebaut. „Sie waren geduldig, sie haben Millionen ausgegeben, und sie haben in einer koordinierten Aktion zugeschlagen und Wallets geleert”.
Ledgers Testkäufe eigener Geräte bei Händlern, darunter auch in Deutschland, hätten keine weiteren verwanzten Wallets zu Tage gefördert. Auch bei Stichproben aus Lagern sowie umfangreichen Stichproben aus eigenen Beständen hätten sich alle Apparate als sauber erwiesen.
„Das war ein Angriff auf unsere Nutzer, und, machen wir uns nichts vor, die gesamte Branche”, stellt das französische Unternehmen fest. Es erinnert seine Distributoren und autorisierten Händler daran, retournierte Ware keinesfalls anderen Kunden anzudienen. Von Kunden beanstandete Unregelmäßigkeiten seien umgehend zu melden.
Ab sofort sollen Ledger-Geräte in keinem Regal oder Schaukasten mehr liegen, sondern im Verborgenen gelagert und erst im Zeitpunkt des Kaufs überreicht werden. Das soll verhindern, dass Angreifer manipulierte Produkte als Köder in fremde Regale legen.
Ledger hofft, dass Mitbewerber die gleichen Einschränkungen machen, und ist bereit, eigene Erfahrungen zu teilen. „Wir haben auch an zusätzlichen Maßnahmen auf Produktebene zur Hintanthaltung solcher Angriffe gearbeitet.” Näheres nennt die Firma noch nicht.