Verwanzte Krypto-Wallets von Ledger: Problem größer als gedacht

Ein schwerwiegender Sicherheitsvorfall bei Ledger

In der Welt der Kryptowährungen gelten Hardware-Wallets als der sicherste Aufbewahrungsort für digitale Vermögenswerte, da sie konsequent offline betrieben werden. Doch ein massiver Sicherheitsvorfall erschüttert nun das Vertrauen in den französischen Hersteller Ledger. Unbekannte Täter haben es geschafft, Geräte des Unternehmens zu manipulieren, bevor diese überhaupt in den Handel gelangen. Dabei wird das Gehäuse der Wallets geöffnet und eine zusätzliche Hardware-Komponente verbaut. Dieses Implantat besteht aus einem Chip, der die Bildschirminhalte des Geräts abgreift, sowie einem LTE-Modem inklusive eSIM. Über diese Mobilfunkverbindung werden sensible Informationen, insbesondere die Seed-Phrase, die den Zugriff auf die Kryptobestände ermöglicht, an die Angreifer übermittelt. Da der eigentliche Secure Chip des Herstellers unangetastet bleibt, bemerken Nutzer die Manipulation im regulären Betrieb meist nicht. Die Folgen sind verheerend: Die Täter erlangen die vollständige Kontrolle über die Wallets und können die darauf gespeicherten Kryptowährungen entwenden. Aktuelle Analysen deuten darauf hin, dass die Reichweite dieser kriminellen Aktivitäten weit über die bisher vermuteten Grenzen hinausgeht und bereits zu Schäden in dreistelliger Millionenhöhe geführt hat.

Die Dimensionen des Schadens und die Analyse

Die Ausmaße des Diebstahls sind laut vorliegenden Daten erschreckend. Das Analysehaus Bitquery hat öffentliche Daten aus sechs verschiedenen Blockchains ausgewertet und kommt zu dem Ergebnis, dass bis zum 13. Oktober dieses Jahres Kryptowährungen im Wert von rund 102 Millionen US-Dollar entwendet wurden. Diese Summe verteilt sich auf 324 einzelne Wallets, die von den Tätern leergeräumt wurden. Ein Teil der gestohlenen Mittel, konkret USDT-Stablecoins im Wert von zehn Millionen US-Dollar, konnte von Tether eingefroren werden, doch über den Großteil der Beute können die Angreifer weiterhin frei verfügen. Dass die Schadenssumme so hoch ausfällt, liegt vor allem an der Zielgruppe: Hardware-Wallets werden häufig von Großspekulanten genutzt, die bereit sind, in die Hardware zu investieren, um ihre beträchtlichen Vermögenswerte zu schützen. Genau diese Nutzer sind für die Kriminellen besonders attraktiv. Die Daten zeigen zudem, dass die betroffenen Geräte keineswegs nur kurzzeitig im Umlauf waren. Etwa 40 Prozent der geplünderten Wallets wurden bereits vor mehr als 90 Tagen erstmals genutzt. Es gibt sogar Fälle, in denen Wallets, die erst 2024 oder 2025 in Betrieb genommen wurden, bereits vollständig geleert wurden.

Hintergrund und Entwicklung der Manipulation

Die kriminellen Aktivitäten sind kein kurzfristiges Phänomen, sondern das Ergebnis einer langfristigen und professionellen Planung. Bereits im Mai dieses Jahres präsentierte ein amerikanischer Embedded-Spezialist öffentlich ein manipuliertes Gerät. Damals handelte es sich noch um einen vergleichsweise groben Umbau, der jedoch von außen kaum als solcher zu erkennen war. Die seither entdeckten Geräte zeigen jedoch eine deutliche Professionalisierung: Die zusätzlichen Bauteile stammen mittlerweile aus einer industriellen Serienfertigung, was auf mehrere Iterationen und eine hohe kriminelle Energie hindeutet. Die Täter gingen dabei methodisch vor. Analysen von Bitquery belegen, dass die Angreifer Ende September und Anfang Oktober zunächst zwei Wochen lang mit kleineren Testüberweisungen agierten, um ihre Vorgehensweise zu optimieren. Der eigentliche Zugriff auf die Vermögenswerte erfolgte schließlich teilweise automatisiert. Innerhalb von nur drei Sekunden konnten die Täter 25 fremde TRON-Wallets für Überweisungen freigeben, und innerhalb von nur sechs Sekunden verschwanden USDT-Bestände im Wert von 29 Millionen US-Dollar aus den Zielkonten. Dies unterstreicht die Effizienz und die technische Versiertheit der Hintermänner.

Betroffene Regionen und Handelswege

Das Problem ist geografisch nicht auf Südostasien beschränkt, wie Ledger zunächst vermuten ließ. Auch in Deutschland sind Fälle bekannt geworden. Ein Nutzer berichtete online, dass er im August bei MediaMarkt Saturn ein Ledger-Wallet erworben habe, das sich nach einer Prüfung als manipuliert herausstellte. Als er am darauffolgenden Montag in einer anderen Filiale desselben Händlers ein weiteres Gerät kaufte, war auch dieses mit einem Implantat versehen. Der Käufer dokumentierte die Öffnung des Geräts in einem Video, das die verräterischen Einbauten im Inneren zeigt. Als Lieferant für diese Geräte wurde ein österreichischer Distributor identifiziert, nicht der zuvor von Ledger in den Fokus gerückte Händler Cryptobilis. In Singapur wurden ebenfalls manipulierte Geräte der Modellreihe Ledger Flex entdeckt, die sowohl in einem Einkaufszentrum als auch über einen Automaten am Flughafen bezogen wurden. Der Automatenbetreiber gilt als offizieller Ledger-Wiederverkäufer. Ein Käufer, der ein Gerät mit einem kleinen Kratzer erhielt, ließ dieses durch den ehemaligen Mt. Gox-Gründer Mark Karpelès untersuchen, der die Manipulation durch das Öffnen des Geräts zweifelsfrei bestätigte.

Einordnung der Unternehmenskommunikation

Die bisherige Kommunikation des Herstellers Ledger steht in der Kritik. Auf der offiziellen Webseite des Unternehmens findet sich kaum ein Hinweis auf die großflächige Manipulation. Die werblichen Aussagen, dass Hacker keinen Zugriff auf die Schlüssel erhalten könnten, da diese offline gespeichert seien, bleiben unverändert bestehen. Lediglich in einem Support-Artikel vom 9. Oktober findet sich ein kurzer Absatz, in dem Ledger angibt, Berichte über Verluste bei Nutzern in Südostasien zu untersuchen. Kunden, die bei Cryptobilis eingekauft haben, wird geraten, die Geräte nicht zu verwenden. Diese Warnung erscheint jedoch angesichts der Faktenlage als unzureichend. Einzuordnen ist das so, dass Ledger die Tragweite des Problems entweder unterschätzt oder die Öffentlichkeit nicht in vollem Umfang informieren möchte. Da die manipulierten Geräte über verschiedene Zulieferer und unterschiedliche Händler in den Umlauf gelangt sind, greift die Eingrenzung auf einen einzigen Händler und einen Zeitraum von 90 Tagen zu kurz. Die Sicherheitsversprechen des Herstellers werden durch die Realität der manipulierten Hardware massiv in Frage gestellt.

Offene Fragen zur Sicherheitslücke

Der aktuelle Kenntnisstand lässt zahlreiche Fragen offen, die für die betroffenen Nutzer von zentraler Bedeutung sind. Es ist bisher nicht geklärt, wie genau die Täter Zugriff auf die Lieferketten von Ledger erhalten konnten, um die Geräte vor dem Verkauf zu manipulieren. Ebenso bleibt unklar, wie viele Geräte insgesamt betroffen sind und in welchen weiteren Ländern oder bei welchen weiteren Händlern die manipulierten Wallets in den Umlauf gebracht wurden. Der Quelltext gibt zudem keinen Aufschluss darüber, ob Ledger bereits konkrete Schritte unternommen hat, um die betroffenen Distributoren zu identifizieren oder die Sicherheitsvorkehrungen in der Produktion grundlegend zu ändern. Auch die Frage, ob der Hersteller plant, betroffene Kunden finanziell zu entschädigen, wird in den vorliegenden Informationen nicht beantwortet. Die Lücke zwischen den offiziellen Sicherheitsgarantien des Herstellers und der tatsächlichen Bedrohungslage durch die modifizierte Hardware bleibt somit ein kritischer Punkt, der für die Nutzer weiterhin ein hohes Risiko darstellt.

Konsequenzen für den Handel und Ausblick

Die ersten Reaktionen auf den Skandal zeigen sich bereits im Einzelhandel. MediaMarkt Saturn hat den Verkauf von Ledger-Wallets vorerst eingestellt, um auf die Vorfälle zu reagieren. Für die Kunden bedeutet dies eine Phase der Unsicherheit. Wer bereits ein Gerät besitzt, sollte dieses einer kritischen Prüfung unterziehen, auch wenn die Manipulation von außen kaum erkennbar ist. Die Empfehlung, die Kryptowährungen auf andere, als sicher geltende Wallets zu übertragen, ist für viele Nutzer die einzige verbleibende Option, um weitere Verluste zu vermeiden. Es ist damit zu rechnen, dass das Vertrauen in die Marke Ledger nachhaltig beschädigt ist, solange keine transparente Aufklärung über die Herkunft der manipulierten Geräte erfolgt. Die kommenden Wochen werden zeigen, ob der Hersteller seine Kommunikationsstrategie anpasst und welche Maßnahmen er ergreift, um die Integrität seiner Lieferkette wiederherzustellen. Bis dahin bleibt die Nutzung von Hardware-Wallets, die über Dritthändler bezogen wurden, ein erhebliches Sicherheitsrisiko für Anleger weltweit.