Ein Krypto-Wallet kann eine Authentizitätsprüfung bestehen und dennoch manipulierte Hardware enthalten.
Ledger hat bestätigt, bei einer Untersuchung von Kryptowährungsdiebstählen im Zusammenhang mit seinen Geräten ein nicht autorisiertes Hardware-Implantat gefunden zu haben. Das Unternehmen brachte die bestätigten Fälle, die derzeit untersucht werden, mit CryptoBilis in Verbindung, einem autorisierten Reseller, dessen Verkäufe Ledger ausgesetzt hat.
Laut BleepingComputer fanden Forscher bei der Untersuchung modifizierter Geräte zusätzliche Schaltkreise, die vertrauliche Wallet-Informationen erfassen können. Unklar ist weiterhin, zu welchem Zeitpunkt die Geräte manipuliert wurden.
Der Vorfall verdeutlicht ein Sicherheitsrisiko in der Lieferkette: Selbst Geräte, die zum Schutz vertraulicher Informationen entwickelt wurden, können kompromittiert werden, wenn Angreifer physischen Zugriff erlangen, bevor die Geräte die Nutzer erreichen.
Was ist ein Hardware-Wallet und warum ist das wirklich wichtig?
Ein Hardware-Wallet ist ein physisches Gerät, das die kryptografischen Schlüssel speichert, mit denen Kryptowährungstransaktionen autorisiert werden, und sie von Computern und Smartphones mit Internetzugang isoliert. Anders als bei einem Börsenkonto, bei dem typischerweise ein Drittanbieter die Schlüssel verwahrt, haben Nutzer mit einem Hardware-Wallet direkte Kontrolle über ihre Vermögenswerte. Allein dadurch sind Hardware-Wallets von Grund auf sicher.
Der Schutz hängt jedoch von mehr ab als nur vom Design des Geräts.
Die Untersuchung von Ledger zeigt, wie Angreifer diese Annahme umgehen könnten, indem sie nicht autorisierte Komponenten hinzufügen, die vertrauliche Informationen erfassen können. Das Gerät funktioniert möglicherweise weiterhin normal, wodurch die Kompromittierung für Nutzer schwer zu erkennen ist.
So soll das Hardware-Implantat funktioniert haben
Berichte von Ledger-Kunden in Südostasien veranlassten das Unternehmen, Geräte in dieser Region zu untersuchen. Dabei stellte es später fest, dass alle betroffenen Kunden ihre Geräte bei einem seiner autorisierten Reseller – CryptoBilis – erworben hatten.
Am 9. Okt. gab Ledger auf X bekannt, den Verkauf durch CryptoBilis während der laufenden Untersuchungen pausiert zu haben. Laut BleepingComputer ergaben die Untersuchungen des Unternehmens später, dass das Wallet mindestens eines betroffenen Kunden ein nicht autorisiertes Hardware-Implantat enthielt.
Sicherheitsforscher untersuchten modifizierte Ledger-Nano-X-Geräte und fanden, wie von BleepingComputer berichtet, zusätzliche Schaltkreise, die zum Erfassen von Wallet-Informationen entwickelt wurden. Das gemeldete Implantat identifiziert Recovery-Phrasen und überträgt die erfassten Informationen über eine eSIM.
Mit der Recovery-Phrase kann ein Angreifer das Wallet an anderer Stelle wiederherstellen und die darin enthaltenen Gelder leeren.
Ledger setzt bei seinen Wallets einen Manipulationsschutz ein. Die bösartigen Implantate, die im Zentrum dieses Vorfalls stehen, liefen jedoch aufgrund einer Einschränkung des Genuine-Check-Designs von Ledger trotzdem.Das Unternehmen weist darauf hin, dass eine Prüfung keine nicht autorisierten Änderungen erkennen kann, wenn das ursprüngliche Secure Element intakt bleibt.
Das deutet darauf hin, dass die beteiligten Akteure die Modifikation sorgfältig vorgenommen haben. Ledger hat zwar den insgesamt gestohlenen Betrag noch nicht offiziell bestätigt, schätzen Blockchain-Tracking-Unternehmen und Branchenmedien die Verluste der Nutzer auf mehr als 86 Millionen US-Dollar.
Was Nutzer und Unternehmen tun sollten
Der Vorfall verdeutlicht den Unterschied zwischen authentischer Hardware und Hardware, die während der gesamten Distribution physisch sicher geblieben ist.
Kryptowährungsnutzer können das Risiko manipulierter Geräte verringern, indem sie bei vertrauenswürdigen Händlern kaufen und die Verifizierungshinweise des Herstellers befolgen und so die Gefahr manipulierter Geräte reduzieren. Ungewöhnlich niedrige Preise oder unerwartete Veränderungen an der Verpackung können Anlass für eine zusätzliche Prüfung sein, doch auch ihr Ausbleiben garantiert keine Sicherheit.
Wer vermutet, dass sein Gerät kompromittiert wurde, sollte es nicht weiter verwenden und den Hersteller über die offiziellen Supportkanäle kontaktieren. Wenn eine Recovery-Phrase möglicherweise offengelegt wurde, sollte das Wallet selbst als kompromittiert betrachtet werden, statt sich allein auf ein Ersatzgerät zu verlassen.
Für Unternehmen geht dasselbe Risiko über Kryptowährungs-Wallets hinaus. Organisationen, die auf Hardware von Drittanbietern und sogar auf Software angewiesen sind, könnten Schwachstellen übernehmen, die eingeführt wurden, bevor diese Produkte ihre Standorte erreichen. Eine kompromittierte Komponente kann ansonsten solide Sicherheitskontrollen untergraben, vertrauliche Daten offenlegen oder Angreifern einen Zugang zu den Unternehmenssystemen verschaffen.
Die Überprüfung von Lieferanten, die Rückverfolgbarkeit von Produkten, manipulationssichere Verpackungen und die Verifizierung der Hardware können diese Risiken verringern. Doch keine einzelne Prüfung garantiert, dass ein Produkt frei von bösartigen Modifikationen ist.
Eine erfolgreiche Authentizitätsprüfung kann bestätigen, dass bestimmte Komponenten echt sind, aber nicht unbedingt beweisen, dass nichts anderes hinzugefügt wurde. Diese Lücke macht die Integrität der Lieferkette zu einem wesentlichen Bestandteil der Hardwaresicherheit.
Weitere Nachrichten: Angreifer nutzen aktiv CVE-2026-85097 aus, eine kritische Schwachstelle im WordPress-Plugin Bricksforge, die die Ausführung von Remote-Code ohne Authentifizierung ermöglicht.