Hardware-Wallets von Ledger verschwinden aus den Regalen, Trezor streicht Händlerliste

Was ist eigentlich passiert?

Der Hersteller von Hardware-Wallets Ledger hat am Dienstag laut Kryptonovinky.cz und Kryptonovinky.sk eine Analyse eines Angriffs auf seine Geräte veröffentlicht, die über den Händler CryptoBilis zu den Kunden gelangten. Laut dem Sicherheitsteam von Ledger namens Donjon (so zitieren beide Kryptonovinky dessen Erkenntnisse) wurde in das Gehäuse des Geräts ein physisches Implantat eingebracht, also ein kleiner Chip mit Mikrocontroller. Dieser sollte verfolgen, was auf dem Display der Wallet angezeigt wird. In dem Moment, in dem bei der Ersteinrichtung die Wiederherstellungsphrase erschien, sollte das Implantat sie erfassen und über das Mobilfunknetz wegschicken.

Eine wichtige Präzisierung zu den Quellen: Die primäre Analyse von Ledger und dem Team Donjon selbst hat die Redaktion von charliedesk nicht aus einer direkten Quelle von Ledger gelesen, sondern kennt sie vermittelt über die Berichterstattung von Kryptonovinky. Die Beschreibung des Angriffs geben wir daher als das wieder, was Donjon laut Ledger festgestellt hat, nicht als unabhängig überprüften technischen Befund.

Die Wiederherstellungsphrase (englisch seed phrase, typischerweise 24 Wörter) ist der Hauptschlüssel zur gesamten Wallet. Wer sie hat, kontrolliert die Mittel. Genau deshalb ist das so heikel: Der beschriebene Angriff zielt weder auf die Software noch auf die Verschlüsselung, sondern auf den physischen Weg des Geräts von der Produktion zum Kunden, also auf die sogenannte Lieferkette.

Warum ist das ein Problem der Lieferkette und nicht (nur) eines einzelnen Herstellers?

Wesentlich ist, auf welchem Weg das schädliche Bauteil in das Gerät gelangt ist. Laut Beschreibung handelte es sich nicht um einen Fehler im Design der Wallet, sondern um eine Manipulation der Ware, noch bevor der Kunde sie in die Hand bekam. Das verändert die Perspektive: Die Schwachstelle ist nicht zwangsläufig das Produkt selbst, sondern die Distribution (Händler, Umverpackung, Zwischenlagerung).

Genau diese Dimension erklärt, warum auch die Konkurrenz auf die Aufdeckung reagiert. Laut CryptoSlate und Cointelegraph hat der Chief Commercial Officer (CCO) von Trezor, Danny Sanders, einen auf den 13. Oktober datierten Brief verschickt, in dem er ausgewählten Partnern mitteilte, dass sie ab dem 1. Januar 2027 ihren Status als autorisierte Händler verlieren. Trezor rahmt das laut CryptoSlate als Verschärfung der Aufsicht über die eigene Lieferkette und als präventiven Schritt.

Was genau ändert Trezor?

Laut CryptoSlate erklärte Trezor, dass bei den eigenen Geräten keine Beweise für Manipulation gefunden wurden. Es handelt sich also um eine präventive Verengung des Händlerkreises, nicht um eine Reaktion auf ein gefundenes Implantat in den eigenen Produkten.

Und was ist mit den verschwundenen Angeboten?

Sowohl die tschechische als auch die slowakische Kryptonovinky geben übereinstimmend an, dass Ledger-Wallets aus einem Teil des Verkaufs verschwinden; die slowakische Version nennt konkret die MediaMarkt-Filialen. Der Umfang dieser Rücknahme, ob es sich um eine vorübergehende Maßnahme oder eine flächendeckende Entscheidung handelt und welche Märkte genau betroffen sind, geht aus den verfügbaren Quellen nicht eindeutig hervor. Das ordnen wir vorerst als unbestätigt ein.

Was bedeutet das für den normalen Nutzer?

Dies ist keine Anleitung, was man mit dem Geld tun soll, sondern eine Beschreibung, wo bei dieser Art von Vorfall das Risiko liegt. Bei einem Angriff auf die Lieferkette entscheidet die Herkunft des Geräts und die Frage, wie die Wiederherstellungsphrase generiert und angezeigt wird. Allgemein gilt, dass Hersteller von Hardware-Wallets bei ähnlichen Situationen auf den Kauf über offizielle Kanäle und auf die Echtheitsprüfung des Geräts verweisen. Konkrete Vorgehensweisen unterscheiden sich je nach Hersteller und sind nicht Gegenstand dieser vier Quellen, deshalb führen wir sie hier nicht als Fakt auf.

Was weiter zu beobachten ist (um es später überprüfen zu können)

• Ob Ledger den Umfang der betroffenen, über CryptoBilis verkauften Stücke veröffentlicht und wie viele Mittel (falls überhaupt) entwendet wurden. Bislang unbekannt.
• Wie genau Trezor die Verengung der Händler durchführt und welche Partner betroffen sind. Veröffentlicht ist bislang nur das Prinzip und das Datum.
• Ob und auf welchen Märkten Ledger tatsächlich in das stationäre und das Online-Angebot zurückkehrt, einschließlich Ketten wie MediaMarkt.

Charliedesk verfolgt diesen Fall als eine Geschichte über die Distribution, nicht über ein Versagen der Kryptografie. Sobald verifizierte Zahlen hinzukommen, ergänzen wir sie und lassen uns daran überprüfen.