Der Hardware-Wallet-Hersteller Ledger verschärft seine Kontrollen für Wiederverkäufer und Vertriebspartner, nachdem modifizierte Geräte während der Einrichtung die Wiederherstellungsphrasen der Kunden erfasst hatten.
Ledger gab an, dass Kriminelle Originalgeräte erworben, versteckte Komponenten eingebaut und diese über Wiederverkäufer in Südostasien wieder in Umlauf gebracht hätten. Das Unternehmen bezeichnete den Vorfall als einen lokalen Vertriebsangriff und nicht als Kompromittierung seiner Chips, seines Betriebssystems, seiner Server oder seiner Direktvertriebsinfrastruktur.
Technologiepublikationen bringen die manipulierten Geräte mit gestohlenen Kryptowährungen im Wert von rund 93 Millionen US-Dollar in Verbindung. Die offizielle Stellungnahme von Ledger vom 15. Oktober bestätigt diese Schadensschätzung nicht.
Wichtige Erkenntnisse
- Berichten zufolge öffneten Kriminelle Originalgeräte und installierten Komponenten, die dazu bestimmt waren, während der Einrichtung Wiederherstellungsphrasen aufzuzeichnen.
- Ledger gibt an, dass die betroffenen Geräte nach dem Verlassen des Unternehmens modifiziert wurden.
- Das Unternehmen hat autorisierte Wiederverkäufer und Vertriebspartner in Südostasien und Hongkong aufgefordert, den Verkauf einzustellen.
- Ledger verändert die Art und Weise, wie Wiederverkäufer zurückgegebene Geräte lagern, anzeigen und handhaben.
- Eine erfolgreiche Software-Authentizitätsprüfung erkennt möglicherweise keine Komponente, die außerhalb der normalen Sicherheitsarchitektur der Wallet arbeitet.
Funktionsweise der modifizierten Geräte
Laut Ledger kauften die Angreifer originale Hardware-Wallets, öffneten diese und installierten versteckte Komponenten, die Wiederherstellungsphrasen auslesen konnten. Anschließend wurden die Geräte wieder in den Vertrieb über Wiederverkäufer gebracht.
Mithilfe einer Wiederherstellungsphrase lassen sich die mit einer Wallet verknüpften privaten Schlüssel wiederherstellen. Jeder, der diese Phrase erhält, kann die Wallet daher möglicherweise an anderer Stelle nachbilden und Transaktionen autorisieren, ohne das ursprüngliche Gerät zu besitzen.
Deshalb muss eine Wiederherstellungsphrase anders behandelt werden als ein gewöhnliches Passwort. Der Leitfaden von UPay zu Kryptowährungs-Wallet-Typen erklärt, dass Wallets die kryptografischen Schlüssel verwalten, die zur Kontrolle von Blockchain-Assets verwendet werden, anstatt die Assets selbst zu speichern.
Sobald diese Schlüssel reproduziert werden können, bietet der physische Besitz der Original-Geldbörse möglicherweise keinen Schutz mehr für die Gelder.
Warum der Angriff eine Softwareprüfung umging
Ledger erklärte, die implantierte Komponente funktioniere außerhalb des Chips, auf dem die offizielle Firmware laufe. Der normale Authentizitätstest könne zwar das legitime Gerät bestätigen, jedoch nicht die während des Vertriebs hinzugefügte separate Hardware erkennen.
Diese Unterscheidung bedeutet nicht, dass Hardware-Wallets keinen Schutz bieten. Eine Krypto-Hardware-Wallet ist so konzipiert, dass sie private Schlüssel von mit dem Internet verbundenen Geräten isoliert und das Risiko bestimmter Malware-Arten verringert.
Offline-Schlüsselspeicherung und Lieferkettenintegrität adressieren jedoch unterschiedliche Risiken. Eine legitime Hardware-Wallet kann Schlüssel vor einem infizierten Computer schützen, aber ein vor dem Kauf modifiziertes Gerät kann den Prozess der Schlüsselerstellung oder -anzeige beeinträchtigen.
Der Vorfall unterstreicht daher, wie wichtig es ist, sowohl die technische Konstruktion einer Geldbörse als auch den Weg, auf dem sie ihren Besitzer erreicht, zu beurteilen.
Ledger ändert seine Anforderungen an Wiederverkäufer
Ledger gab an, Geräte aus Geschäften und Lagern untersucht zu haben, ohne weitere manipulierte Geräte zu finden. Dennoch wurden die Verkäufe über autorisierte Händler in den betroffenen Regionen während der Untersuchung ausgesetzt.
Das Unternehmen führt außerdem strengere Auflagen für Wiederverkäufer ein. Produkte dürfen nicht in offenen Regalen oder Auslagen aufbewahrt werden, Meldungen über ungewöhnliche Geräte müssen umgehend weitergeleitet werden, und zurückgesendete Geräte dürfen niemals wiederverkauft werden – auch nicht, wenn sie originalverpackt erscheinen.
Ledger hat betroffenen Kunden empfohlen, sich über offizielle Kanäle an den Kundensupport zu wenden. Nutzer sollten besonders vorsichtig sein bei unaufgeforderten Nachrichten, die die Wiederherstellung ihrer Wallet oder eine Entschädigung anbieten. UPay weist in seinen Hinweisen zur Auswahl einer Krypto-Wallet darauf hin, dass die Eingabe einer Wiederherstellungsphrase auf einer nicht verifizierten Website oder in einer nicht verifizierten Anwendung einem Angreifer die Kontrolle über die damit verbundenen Vermögenswerte ermöglichen kann.
Das Öffnen eines verdächtigen Geräts ohne entsprechende technische Anleitung kann dieses beschädigen oder nützliche Beweismittel vernichten.
Fazit
Für den Angriff war es nicht erforderlich, die Server oder die Firmware von Ledger zu kompromittieren. Stattdessen zielten die Kriminellen Berichten zufolge auf den Übertragungsweg zwischen der legitimen Produktionsumgebung und der Kundenkonfiguration ab.
Diese Unterscheidung macht den Vorfall herstellerübergreifend relevant. Die Sicherheit von Hardware hängt nicht nur von der Gestaltung einer Wallet ab, sondern auch von deren Vertrieb, Rückgabe und Verkauf. Für Nutzer bleiben verifizierte Kaufkanäle und der sorgfältige Umgang mit der Wiederherstellungsphrase wesentliche Bestandteile der Wallet-Sicherheit.
