Gefahr für Krypto-Anleger: Manipulierte Hardware-Wallets mit eSIM-Implantaten entdeckt

Ledger bestätigt, dass das Gerät eines Nutzers ein „nicht autorisiertes Hardware-Implantat“ enthielt. Diese Bestätigung erfolgt im Rahmen der Untersuchung von Berichten über verlorene Kryptofonds von Nutzern in Südostasien. Betroffene Geräte wurden über den offiziellen Ledger-Wiederverkäufer CryptoBilis für Indonesien, Malaysia und die Philippinen bezogen.

Bitquery beziffert die Verluste aus den betreffenden Fällen auf 92,9 Millionen US-Dollar.

Mechanismus des Betrugs: versteckte eSIM und Datenabfluss

Das beschriebene Implantat ist ein zusätzliches elektronisches Bauteil, das nachträglich in ein Gerät eingebaut wurde. Technische Analysen zeigen, dass es sich hinter dem Display eines Ledger Nano X befindet. Es besteht aus einem Mikrocontroller sowie zellularer Hardware, die mit den internen Datenleitungen des Bildschirms verbunden ist. Die Hardware enthält eine eSIM.

Den verfügbaren Beschreibungen zufolge kann das Implantat Daten auslesen, die während der Einrichtung auf dem Bildschirm angezeigt werden. Hierzu zählt die Recovery Phrase. Diese Daten versendet das Implantat anschließend über ein mobiles Netzwerk.

Die Recovery Phrase, bestehend aus 24 Wörtern, reicht aus, um eine Wallet auf einem anderen Gerät wiederherzustellen und so Zugriff auf die Kryptowerte zu erlangen.

Angaben zufolge wurden die Seriennummern auf dem Chip des Implantats abgekratzt. Die Lötarbeiten am Implantat werden in der Analyse als „wirklich schlecht“ und „unordentlich“ beschrieben. Dies deutet auf eine manuelle, nachträgliche Manipulation hin.

Ledger gibt an, dass der sichere Chip, der die privaten Schlüssel schützt, von dieser Manipulation unberührt blieb. Die Firmware des Geräts bemerkt diesen externen Abgriff der angezeigten Daten nicht.

Sicherheitsforscherin Taylor Monahan ordnet den Fall nicht als bisher unbekannte Schwachstelle in Ledgers Technologie ein. Sie bezeichnet ihn als physischen Sabotageakt.

Umfassende Ermittlungen und die Rolle von CryptoBilis

Ledger untersucht den Vorfall und kooperiert dafür mit dem Emergency Response Team SEAL 911 sowie mit den Behörden. Ledger bat CryptoBilis, alle Verkäufe und Lieferungen von Ledger-Geräten bis zum Abschluss der Untersuchung einzustellen. CryptoBilis pausierte daraufhin den Vertrieb aller Hardware-Wallets, einschließlich der Produkte von Konkurrenzunternehmen.

Ledger kontaktiert betroffene Nutzer und überprüft die Kontrollen bei seinen autorisierten Wiederverkäufern. Das Unternehmen erinnerte diese zudem daran, zurückgesandte Geräte nicht weiterzuverkaufen. Ledger arbeitet an weiteren Schutzmaßnahmen gegen physische Manipulation.

Die Blockchain-Analysefirma Bitquery hat die gestohlenen Werte untersucht. Laut Bitquery entfallen von den rund 92,9 Millionen US-Dollar etwa 70,5 Millionen US-Dollar auf USDT auf Tron und rund 16,8 Millionen US-Dollar auf Bitcoin. Weitere betroffene Coins sind Ether sowie Kryptowerte auf BNB Chain und Polygon.

Etwa 10 Millionen US-Dollar in USDT konnten eingefroren werden. Ein Teil des gestohlenen Ethers wurde nach Angaben der Analysen über den Krypto-Mixer Tornado Cash geleitet.

Ledger gibt an, die Anzahl der betroffenen Geräte sei begrenzt. Ledgers eigene Systeme und Direktvertriebskanäle sind demnach nicht betroffen.

Parallelen und historischer Kontext: Ledgers Sicherheitshistorie

Die Vorfälle rücken die Lieferkette von Hardware-Wallets erneut in den Fokus. Ledger war bereits in der Vergangenheit von Sicherheitsvorfällen betroffen. Im Jahr 2020 wurden E-Mail-Adressen von über einer Million Kunden sowie Namen, Telefonnummern und Adressen von Hunderttausenden durch ein Datenleck veröffentlicht.

Dieses Datenleck nutzten Angreifer später für Phishing-Kampagnen, bei denen Nutzer auf gefälschte Update-Seiten gelockt oder manipulierte Geräte verschickt wurden, um Recovery Phrases abzugreifen.

Im Jahr 2021 wurden Fälle bekannt, in denen Nutzer ein „kostenloses Ersatzgerät“ erhielten. Nach Wiederherstellung der Wallet mit ihrer ursprünglichen Mnemonic verloren sie Tokens. Im Jahr 2023 führte eine Schwachstelle im Connect Kit, einer Softwarebibliothek zur Verbindung von Ledger-Wallets mit Krypto-Apps, laut Bericht zu Verlusten von etwa 600.000 US-Dollar.

Eine neue Hardware-Wallet ist laut den verfügbaren Informationen niemals vorkonfiguriert und sollte bei der Einrichtung keine bereits vorhandene Recovery Phrase abfragen.

Ausblick für Krypto-Anleger

Hast du ein Gerät von CryptoBilis erworben, empfiehlt Ledger zur Vorsicht: Ist das Gerät noch nicht eingerichtet, solltest du es nicht in Betrieb nehmen. Hast du das Gerät bereits eingerichtet, rät Ledger dazu, Kryptowerte auf ein neues Ledger-Gerät mit einer neu generierten Recovery Phrase zu übertragen. Die alte Recovery Phrase gilt als kompromittiert und sollte nicht wiederverwendet werden.

Die laufenden Ermittlungen von Ledger und den Behörden zielen darauf ab, den Umfang der Manipulationen zu klären und die Verantwortlichen zu ermitteln. Es bleibt abzuwarten, welche weiteren Schutzmaßnahmen Ledger einführen wird, um physische Manipulationen künftig zu unterbinden. Die Vorfälle zeigen, dass neben Software-Schwachstellen auch physische Manipulationen eine Bedrohung für die Sicherheit von Kryptowerten darstellen.

Analysten werden die Auswirkungen auf das Vertrauen in die Lieferketten von Hardware-Wallets weiterhin genau beobachten.