Der französische Krypto-Hardware-Hersteller Ledger warnt vor einer großangelegten Supply-Chain-Attacke auf Hardware-Wallets. Kriminelle manipulieren Geräte in der Lieferkette, um Seed-Phrasen abzugreifen und Kryptowährungen zu stehlen. Ledger gibt an, dass Produkte aus dem eigenen Direktvertrieb bisher nicht betroffen sind.

Lieferketten-Attacke auf Ledger-Wallets

Kriminelle versehen Ledger-Hardware-Wallets offenbar mit zusätzlichen elektronischen Komponenten. Ziel ist es, Wiederherstellungswörter (Seed-Phrasen) abzufangen und so Zugriff auf Wallets zu erlangen. Es handelt sich um physische Manipulationen vor dem Verkauf der Geräte.

Ledger zufolge gibt es keine Hinweise auf eine allgemeine Sicherheitslücke in der Firmware oder im Sicherheitschip der Produkte.

Bestätigte Vorfälle konzentrieren sich bisher auf Südostasien. Ledger forderte Händler und Vertriebspartner in Indonesien, Singapur, Thailand, den Philippinen, Vietnam, Malaysia und Hongkong auf, den Verkauf vorübergehend einzustellen. Der südostasiatische Händler CryptoBilis steht im Zentrum der Berichte; über ihn sollen primär manipulierte Geräte in Umlauf gekommen sein.

Ein bekannter Einzelfall aus Januar 2025 betraf einen Nutzer, dessen Ledger Nano X nach einem Kauf über die E-Commerce-Plattform Lazada geleert wurde. Der Verlust wurde mit 214.000 US-Dollar angegeben.

Modus Operandi der Angreifer

In den berichteten Fällen enthalten die manipulierten Geräte einen versteckten Chip. Dieser liest die 24-Wörter-Wiederherstellungsphrase während des Einrichtungsprozesses vom Bildschirm aus und sendet die Daten über eine integrierte eSIM per Mobilfunk an die Angreifer. Der eigentliche Sicherheitschip der Ledger-Geräte musste dafür nicht verändert werden.

Ein Verdachtsfall in Deutschland wurde bekannt. Ein Kunde entdeckte zusätzliche elektronische Bauteile in einem bei MediaMarkt gekauften Ledger-Gerät. MediamarktSaturn setzte daraufhin den Verkauf der Produkte vorsorglich in Filialen und online aus. Bislang wurden in diesem Zusammenhang keine Vermögensverluste gemeldet, so das Unternehmen.

Hohe Schadenssummen und Branchenreaktion

Die Schätzungen zum Gesamtschaden durch die aktuellen Supply-Chain-Angriffe variieren. Berichte nennen Summen von über 70 Millionen, über 80 Millionen oder über 86 Millionen US-Dollar. Eine genaue, von Ledger bestätigte Gesamtsumme liegt nicht vor.

Der Vorfall löst in der Branche Reaktionen aus. Der Konkurrenzanbieter Trezor hat die Anzahl der Geschäfte reduziert, die seine Geräte vertreiben dürfen.

Ian Rogers, Chief Human Agency Officer von Ledger, äußert sich dazu: „Wo immer deine Assets gespeichert sind, solltest du dich für das Sicherheitsniveau interessieren, das diese schützt.“ Gegenüber Bloomberg warnt er zudem: „Die eigentliche Geschichte ist, was Angreifer durch Künstliche Intelligenz mit Systemen anstellen können, die auf schwacher Zufälligkeit beruhen.“

Historische Sicherheitsvorfälle und offene Fragen

Ledger war in der Vergangenheit bereits von Sicherheits- und Datenschutzvorfällen betroffen. Im Dezember 2023 nutzte ein Exploit das Ledger DApp-Verbindungskit. Dabei wurden Berichten zufolge mindestens 600.000 US-Dollar gestohlen. Die Schwachstelle wurde nach Angaben der Berichte innerhalb von etwa fünf Stunden behoben.

Im September 2020 wurde eine Datenbank mit E-Commerce-Daten von rund 272.000 Kunden kompromittiert. Für Juli 2023 wird in Berichten eine weitere Datenschutzverletzung erwähnt. Zudem tauchen in einzelnen Berichten Hinweise auf einen „Global-e leak“ im Jahr 2026 mit angeblich massiver Kundendaten-Exposition auf. Details dazu sind unklar.

Wer konkret für die Manipulationen in der Lieferkette verantwortlich ist, bleibt unklar. Ebenso offen ist, welche spezifischen Maßnahmen Ledger und die betroffenen Händler ergreifen werden, um Rückverfolgbarkeit und Sicherheit künftiger Lieferungen zu gewährleisten. Die Untersuchungen dürften noch einige Zeit in Anspruch nehmen, während die Krypto-Community und Analysten die Auswirkungen auf das Vertrauen in Hardware-Wallets beobachten.