Manipulierte Ledger-Produkte Warum Krypto-Käufer plötzlich panisch ihre Hardware-Wallets auseinandernehmen Lange galt eine Verwahrmethode für Kryptowerte als recht sicher: Hardware-Wallets. Jetzt erregt eine aufwendige Attacke Aufsehen, über 100 Millionen Dollar fehlen. Die Schockwellen reichen bis zu Saturn und MediaMarkt. »Ups! Etwas ist schiefgelaufen!« Wer auf MediaMarkt.de die Produktseite des Ledger Nano X ansurft, eines der bekannten Hardware-Wallets, landet derzeit nur bei einem Comic-Ninja mit rotem Gürtel. »Diese Seite ist leider verschwunden«, heißt es dazu, »wir schicken umgehend jemanden auf die Suche.« Was wie ein banaler Seitenfehler wirkt, hängt mit einem spektakulären und millionenschweren Kryptoraub zusammen, der seit einigen Tagen weltweit Schlagzeilen macht.

Käufer von Digitalwährungen wurden dabei auf perfide Weise beklaut: über geheime Einbauten in physische Wallets der Firma Ledger – also in Geräten, die extra angeschafft wurden, um das eigene Kryptovermögen optimal abzusichern und es nicht etwa Onlinebörsen anzuvertrauen. In der Kryptoszene gilt der Ansatz des »cold storage« als besonders sicher.

Ledgers Nano X erinnert optisch an einen USB-Stick mit kleinem Display. Nach allem, was bisher bekannt ist, haben Unbekannte in Geräte wie dieses Zusatzhardware verbaut, bevor die Geräte dann im Handel verkauft wurden. Mithilfe der gefährlichen Extraausstattung im Inneren der Gehäuse wollten sich die Angreifer den sogenannten Seed übermitteln lassen. Es geht um den Zentralschlüssel Der Seed ist im Fall der Ledger-Geräte eine Reihe von 24 Wörtern. Er fungiert als eine Art Zentralschlüssel für die Wallet und wird beim Einrichten generiert. Wer diese Wortsequenz kennt, kann über das Kryptovermögen verfügen und es auch in eigene Wallets transferieren. Selbst ohne physischen Zugriff auf das Gerät.

Offenbar kamen Implantate verschiedener Bauarten zum Einsatz. In der Vergangenheit entdeckt wurden zum Beispiel Lösungen mit einer kleinen Antenne, einer eSim und einem LTE-Funkmodul, die scheinbar perfekt mit ins Gehäuse passten – auch weil die Manipulateure dafür teils den Akku verkleinerten.

Generell ist die Methode, zusätzliche Hardware einzuschmuggeln, sehr aufwendig: Immerhin müssen Geräte dafür wohl, nachdem sie den Hersteller verlassen haben, an irgendeiner Stelle der Vertriebskette einzeln mit den zusätzlichen Bauteilen ausgerüstet werden – mit dem Risiko, bei Kundenbeschwerden schnell aufzufliegen.

Das Kalkül der Angreifer dürfte zugleich gewesen sein: Wer sein Kryptovermögen durch den Kauf und Einsatz von Hardware-Wallets schützt, wird nicht nur Peanuts verwahren, sondern in der Regel substanzielle Summen.

Über 100 Millionen Dollar Schaden Dieser Poker ging wohl auf. Medienberichten zufolge haben die unerwarteten Geldabflüsse primär Südostasien betroffen, der Schaden scheint enorm. Wie die Techjournalistin Kim Zetter berichtet , wurde laut einer Übersicht der Seite Bitquery.io Digitalwährung im Wert von über 100 Millionen Dollar erbeutet.

»Hinter diesen Angriffen steckt viel kriminelle Energie«, meint Thomas Roth, »das Vorgehen ist ziemlich scary.« Roth, 35, ist IT-Sicherheitsforscher und Mitgründer der Plattform Hextree.io. 2018 stellten er und zwei andere Hacker beim Hackerkongress 35C3 selbst Angriffe auf Hardware-Wallets vor, der SPIEGEL berichtete.

Roth sagt, Ledger-Geräte seien sowohl bei Privatleuten, als auch im professionellen Umfeld weitverbreitet, bis hin zu Krypto-Exchanges. Einige Leute seien jetzt in Panik, glaubt er. »Gegen Attacken über die Lieferkette kann man sich nur schwer schützen.« Als Laie könne man nun im Grunde nur in die eigenen Geräte hineinschauen und hoffen, dass darin alles genauso aussehe, wie vom Hersteller angegeben.

Offenbar tun das aktuell viele verunsicherte Walletbesitzer: In Onlineforen kursieren Anleitungen und Fotos geöffneter Geräte.

Das sagt Ledger Ledger selbst teilte zunächst mit, dass der Angriff eigenen Erkenntnissen zufolge Geräte betreffe, die über einen offiziellen Reseller namens CryptoBilis in Südostasien verkauft wurden. Auch am Mittwochnachmittag betonte das Unternehmen, alle bestätigten Verluste beträfen eine begrenzte Anzahl von Wiederverkäufern. Ledger habe keinen Fall verifizieren können, in dem jemand Betroffenes ein Gerät außerhalb von Südostasien gekauft wurde. Die Untersuchungen aber dauerten an, weitere Meldungen würden geprüft.

Auf seiner Website hat Ledger eine Anleitung zum Selbstcheck samt Fotos der Originalbauteile veröffentlicht . Allerdings verweist der Anbieter darauf, dass die Garantieansprüche erlöschen, sollten beim Öffnen und Prüfen der Geräte Schäden entstehen.

Der vermeintlichen Entwarnung für Länder wie Deutschland stehen Postings eines X-Users entgegen, der sich »0xJohannes_« nennt. Nach eigenen Angaben besorgte er sich in einer deutschen MediaMarkt- sowie einer Saturn-Filiale jeweils ein Exemplar des Ledger Nano X und öffnete die Geräte. Er sei durch die Berichte aus Asien neugierig geworden, selbst Kryptoanleger und habe daher lieber »safe than sorry« sein wollen, schrieb er dem SPIEGEL am Mittwoch per Chat. In beiden Geräten habe er verdächtige Implantate gefunden.

In seinem X-Feed dokumentierte Johannes sowohl seine Einkäufe als auch seine Untersuchung der Geräte. »Ich kann bestätigen, dass die Ledger-Lieferkette auch in Europa kompromittiert ist«, schrieb er am Montag. Ledger solle seine Produkte sofort zurückrufen, um Kunden zu schützen. Unabhängig überprüfen ließen sich seine Angaben zunächst nicht.

Am Mittwochabend meldete sich Ledger mit dem Hinweis, das eigene Sicherheitsteam habe Geräte aus dem deutschen Einzelhandel und Großhandel geprüft: »Keines zeigte Anzeichen von Manipulation.« Im Übrigen sei europaweit bisher kein Verlust von Geldern im Zusammenhang mit Implantaten gemeldet worden.

So reagiert MediaMarktSaturn MediaMarktSaturn geht derweil lieber auf Nummer sicher. »Uns sind die Berichte und Postings auf Social Media bekannt und wir nehmen den Vorfall sehr ernst«, heißt es vom Unternehmen auf SPIEGEL-Nachfrage. Man stehe mit dem eigenen Lieferanten im Austausch. Außerdem betont MediaMarktSaturn: »Wir haben die betroffenen Produkte aus unserem Onlineshop und aus unseren Märkten entfernt.« Praktisch klappte das mit der Entfernung im Onlineshop aber offenbar besser als in den Filialen.

Der SPIEGEL jedenfalls konnte am Mittwochvormittag in zwei nordrhein-westfälischen Elektromärkten problemlos Ledger-Produkte kaufen. Einmal stand ein Ledger Nano X im Regal, einmal ein Ledger Nano S Plus. Hinweise auf die Aufregung um Ledger und MediaMarktSaturns angeblichen bereits eingeleiteten Verkaufsstopp gab es in beiden Filialen nicht.

Die gute Nachricht immerhin lautet: In den beiden Geräten, die wir am Mittwoch gekauft und geöffnet haben, entdeckten wir keine offensichtlichen Hinweise auf Manipulationen.

Ledger Nano X, gekauft am Mittwoch: Keine Hinweise auf Manipulationen Foto: Markus Böhm / DER SPIEGEL Thomas Roth sagt, nervösen Besitzern eines Ledger-Geräts würde er raten, dieses online verfügbaren Anleitungen folgend einmal vorsichtig zu öffnen, allein für den eigenen Seelenfrieden. Und Roth sagt auch: »Die Attacke ist jetzt öffentlich und die Lücke wird, falls vorhanden, auch ausgenutzt.« Und was sollte man tun, wenn man in seinem Gerät verdächtige Kabel oder Bauteile findet? »Ich würde meine Kryptowährung sofort transferieren«, sagt Roth, »am besten aber natürlich nicht mit dem betroffenen Ledger-Gerät, sondern über ein anderes, nicht manipuliertes Wallet.« Hinweise auf Manipulationen gab es schon früher Hinweise auf Manipulationen mancher Ledger-Geräte gab es schon länger.

Bereits im Mai zeigte der Hardware-Hacker Joe Grand auf einer Konferenz in Kalifornien Bilder eines verwanzten Ledger Nano X, den ein Reddit-User nach eigenen Angaben von einem Verkäufer in Thailand erworben hatte.

Der Käufer hatte selbst entdeckt, dass der Akku des Geräts verkleinert worden war, damit zusätzliche Bauteile hineinpassten, etwa eine kleine Antenne und eine auffällige zusätzliche Verkabelung. Grand sagte in seinem Vortrag, in diesem Fall sei ein gefährliches Hardware-Implantat »in the wild« entdeckt worden.

Mitte September stieg dann ein Mann in die Aufklärung des sich anbahnenden Krypto-Skandals ein, der in der Szene selbst nicht den allerbesten Ruf genießt: Mark Karpelès, der Gründer der frühen Kryptobörse Mt. Gox, die 2014 zusammenbrach und ihre Auszahlungen stoppte. Bereits Mitte September postete Karpelès auf X Fotos eines geöffneten Nano X mit einer neuen Implantatsversion. Sie war unter dem Screen des Geräts versteckt und somit leichter zu übersehen: »Das ist eine ziemliche Weiterentwicklung«, kommentierte Karpelès.

Empfohlener externer Inhalt Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Es gab also Warnzeichen. Wirklich Fahrt nahm die Geschichte allerdings erst von voriger Woche auf an – als Kryptoinvestoren aus Asien über haarsträubende unberechtigte Abflüsse aus ihren Wallets berichteten. In vielen Fällen wurden diese offenbar komplett leer geräumt.

X-User Johannes sagt, er habe seine zwei Geräte inzwischen verschickt: eins an den Hersteller Ledger und eins an Mark Karpelès, der für einen der großen frühen Krypto-Skandale steht, und der jetzt als eine Art Verbraucherschützer auftritt und früh vor der neuen Abzockmasche warnte.