Ledger-Implantat wirft Fragen zu europäischen Händlern auf
Ledger untersucht Meldungen über manipulierte Hardware Wallets in Europa, während sich die Diskussion auf Händler wie MediaMarkt und die Rolle des Distributors Aqipa verlagert.
Wichtigste Erkenntnisse
- Ledger steht unter Druck, nachdem Nutzer in Europa Meldungen über manipulierte Geräte gemacht haben, während das Unternehmen vor allem den Reseller CryptoBilis nannte.
- Das Implantat soll während der Einrichtung die Recovery Phrase vom Bildschirm auslesen und über eine mobile Verbindung weiterleiten.
- Ledger bittet Betroffene, den Support zu kontaktieren und Anzeige zu erstatten, machte aber keine Angaben zu Schadensersatz oder den gesamten Verlusten.
Ledger steht unter Druck, nachdem das Unternehmen in einem Update erneut vor allem auf den Reseller CryptoBilis verwies. Gleichzeitig meldeten Nutzer innerhalb weniger Minuten, dass auch in Europa manipulierte Geräte auftauchten. Die Diskussion dreht sich nicht nur darum, wo die manipulierten Signer verkauft wurden, sondern auch darum, wer den Schaden tragen muss, wenn ein Implantat die Recovery Phrase während des Setups abfangen kann.
CryptoBilis bleibt im Fokus
Laut Ledger Donjon, dem internen Security-Team von Ledger, liest das Implantat die Recovery Phrase während der Installation vom Bildschirm aus und sendet die 24 Wörter anschließend über eine mobile Verbindung weiter. Ledger sagt, dass es Meldungen über Implantate in anderen Signern und an anderen Standorten untersucht, nannte in dem Update aber keinen anderen Händler als CryptoBilis.
Gerade dieses Schweigen führte zu Kritik. In den Kommentaren verwiesen Nutzer auf MediaMarkt, eine große europäische Elektronikkette, und auf andere mögliche Vertriebskanäle in Europa. Ein Nutzer sagte, auch sein zweites Gerät aus einer anderen MediaMarkt-Filiale habe dieselben zusätzlichen Kabel und ein zellulares Bauteil gehabt. Dazu teilte er ein Unboxing-Video und sagte, der Bestand sei über den Distributor Aqipa geliefert worden. In einer früheren Mitteilung sagte Ledger bereits, es habe ein nicht autorisiertes Hardware-Implantat in einem über CryptoBilis verkauften Gerät gefunden und arbeite mit den Behörden zusammen.
Frage nach Schadensersatz
Ledger bittet betroffene Nutzer, den Support zu kontaktieren, damit ihr Fall berücksichtigt werden kann, und Anzeige bei der Polizei zu erstatten. Zur Erstattung verlorenen Geldes sagte das Unternehmen in dem Update nichts. Auch ist noch nicht bestätigt, wie viele Nutzer Geld verloren haben oder wie hoch der Gesamtschaden ist.
Ein Trader soll laut der Meldung nach dem Kauf über den Reseller $6,6 Millionen (€5,9 Millionen) an Bitcoin verloren haben. Das macht den Fall besonders heikel, zumal Ledger’s Genuine Check zwar den Security-Chip prüft, aber nicht jedes Bauteil rund um das Gerät. Dadurch kann ein versteckter Spy-Chip in manchen Fällen dennoch den Test bestehen. Zuvor war bereits gemeldet worden, dass ein versteckter Spy-Chip in einer versiegelten Ledger-Wallet die Hardware-Sicherheit unter Druck setzte.
Warum das auch Europa betrifft
Der Fall passt in eine breitere Reihe von Supply-Chain-Angriffen auf Hardware Wallets. Für europäische Krypto-Nutzer ist vor allem relevant, dass sich die Diskussion nun nicht nur um einen einzelnen Reseller dreht, sondern auch um die Herkunft von Geräten in der Vertriebskette. Ledger warnt außerdem, dass das Unternehmen niemals anruft, direkt Nachrichten schickt oder nach einer Recovery Phrase fragt, was die Wahrscheinlichkeit weiteren Missbrauchs rund um solche Vorfälle verringern dürfte.
