Ledger bestätigt unautorisierte Hardware-Implantate in Wallets – Schaden laut Schätzungen bei 92 Millionen Dollar

Ledger hat unautorisierte Hardware-Implantate in Kunden-Wallets bestätigt. Bei der Untersuchung von Diebstahlsvorwürfen gegen den südostasiatischen Distributor CryptoBilis stieß das Unternehmen in einem betroffenen Wallet auf zusätzliche elektronische Bauteile. Der Hersteller bestätigte den Fund in einer offiziellen Erklärung: Das manipulierte Gerät gehört demnach einem Nutzer, der von den laufenden Ermittlungen betroffen ist. Ledger bezeichnet die Komponente als „unautorisiertes Hardware-Implantat“, nennt aber weder das Gerätemodell noch Details zum Einbau oder dazu, ob der Baustein Informationen übertragen hat. Offen ist, ob das Implantat die gemeldeten Krypto-Verluste verursacht hat. Auch die Zahl möglicherweise manipulierter Wallets ist unklar. Der Hersteller hat die Strafverfolgungsbehörden eingeschaltet und wird nach eigenen Angaben vom Incident-Response-Programm SEAL_911 der Security Alliance unterstützt. Verdächtige wurden nicht genannt, Festnahmen nicht bekanntgegeben, ein Zeitplan für den Abschluss der Ermittlungen liegt nicht vor. Blockchain-Forscher schätzen den mutmaßlichen Schaden auf mehr als 86 Millionen Dollar. Eine Auswertung von Bitquery kommt auf 92,9 Millionen Dollar aus 311 Wallets. Ledger hat diese Zahlen nicht unabhängig überprüft. Der Distributor CryptoBilis hat den Verkauf sämtlicher Hardware-Wallets ausgesetzt. Die vorübergehende Sperre umfasst das komplette Hardware-Wallet-Sortiment des Händlers und geht über die zuvor angeordnete Aussetzung von Verkauf und Versand der Ledger-Geräte hinaus. Nach einem Bericht von TokenPost vom 10. Oktober bleibt sie bis zum Abschluss der Untersuchung bestehen. Ledger erklärte, mit dem Distributor über die Ermittlungen und die nächsten Schritte im Austausch zu bleiben. Bereits vor der offiziellen Bestätigung hatte Mark Karpelès, früherer Chef der Bitcoin-Börse Mt. Gox, ein verdächtiges Ledger Nano X aus Malaysia untersucht. Am 9. Oktober berichtete er, hinter dem Display ein zusätzliches elektronisches Bauteil gefunden zu haben, eingebettet in das Material, das üblicherweise den Bildschirm schützt. Die Verpackung sei bei Ankunft unbeschädigt gewesen – was die Frage aufwirft, ob Kunden manipulierte Geräte bei einer normalen Sichtprüfung überhaupt erkennen können. Auf den veröffentlichten Fotos war eine elektronische Schaltung zu sehen, die nicht zur Originalhardware des Wallets gehört. Karpelès prüfte den Befund anschließend weiter und sichtete Aufnahmen anderer betroffener Nutzer. Ein technisches Whitepaper von Tibane Labs beschreibt ein Gerät mit Mikrocontroller, Mobilfunk-Hardware und Verbindungen zu den internen Datenleitungen des Displays. Die Analyse legt nahe, dass Bauteile am Bildschirmanschluss Informationen abgreifen können, die bei der Einrichtung des Wallets angezeigt werden. Eine Wiederherstellungsphrase besteht in der Regel aus 24 Wörtern und erlaubt den Zugriff auf die Krypto-Bestände. Wer diese Wörter kennt, kann das Wallet rekonstruieren und Transaktionen autorisieren, ohne das Originalgerät zu besitzen. Ob das Implantat tatsächlich so funktionierte und den gemeldeten Diebstahl ermöglichte, hat Ledger nicht bestätigt. Bestätigt ist bislang nur, dass ein kompromittiertes Gerät physisch manipuliert wurde – nicht aber, mit welcher technischen Methode der Angreifer an Kundengelder gelangte. Am 9. Oktober meldeten Kunden, die Ledger-Produkte über CryptoBilis gekauft hatten, unautorisierte Transaktionen. Der Händler ist in Indonesien, Malaysia und den Philippinen aktiv. Nach diesen Beschwerden leitete Ledger die Untersuchung ein und forderte den Distributor auf, Verkauf und Versand der Geräte zu stoppen. The Block berichtete später, Onchain-Ermittler hätten zunächst mutmaßlich gestohlene Gelder von mehr als 72 Millionen Dollar identifiziert, eine weitere Schätzung bezifferte den Verlust auf über 86 Millionen Dollar. Ledger hat diese Zahlen nicht bestätigt. Bitquery zufolge wurden rund 92,9 Millionen Dollar aus 311 Wallets auf Bitcoin, Ethereum, TRON, BNB Chain und Polygon abgezogen. Die Differenz zu früheren Angaben erklärt das Analysehaus mit der Einbeziehung weiterer Wallets und Netzwerke. Den größten Anteil machen USDT-Transaktionen auf TRON aus, rund 70,5 Millionen Dollar, gefolgt von Bitcoin mit 16,8 Millionen Dollar. Zeitliche Nähe und Adressbeziehungen der Transaktionen sprechen laut Bitquery dafür, dass der Angreifer mehrere Wallets kompromittiert hat. Etwa 10 Millionen Dollar in USDT wurden auf Adressen im Zusammenhang mit dem mutmaßlichen Diebstahl eingefroren. Die Analyse verzeichnet zudem Transfers an Krypto-Börsen und an Tornado Cash, einen Dienst zur Verschleierung von Transaktionsverläufen. Ein aktueller Onchain-Bericht von PublicAML beschrieb für den 10. Oktober weitere Bewegungen der mutmaßlich gestohlenen Ether, darunter 900 ETH an Tornado Cash. Wallet-Zuordnungen und Verlustberechnungen der Forscher bleiben unabhängig von Ledgers bestätigten Erkenntnissen. Die früheren CryptoBilis-Führungskräfte Arravind Prabu und Vimalatheethan erklärten, die Kontrolle über das operative Geschäft nach dem Eigentümerwechsel Anfang 2026 abgegeben zu haben. In einer Erklärung, die sie dem Forscher Mark Karpelès zukommen ließen und die von Tibane Labs veröffentlicht wurde, heißt es, die Übergabe sei im März abgeschlossen worden; seither hätten sie keinen Zugriff mehr auf Systeme oder Kundendatenbanken. Die Erklärung belegt nicht, wer die betroffenen Geräte manipuliert hat, und stellt keinen Zusammenhang zwischen dem Eigentümerwechsel und dem Vorfall her. Ledger rät Kunden, die Geräte über CryptoBilis bezogen und noch nicht eingerichtet haben, von einer Initialisierung ab. Wer die Geräte bereits genutzt hat, sollte die Krypto-Bestände auf ein neues Hardware-Wallet mit einer vollständig neuen Wiederherstellungsphrase übertragen. Eine bestehende Wiederherstellungsphrase auf ein Ersatzgerät zu übertragen, beseitigt die mögliche Kompromittierung durch die Originalhardware nicht. Der Hersteller warnt zugleich vor Betrügern, die die Verunsicherung nach dem Händlerfall ausnutzen. Informationen zu betroffenen Geräten, zur Untersuchung und zu möglichen Schutzmaßnahmen sollten ausschließlich über offizielle Kanäle bezogen werden. Ledger-Mitarbeiter fragen niemals nach der 24-Wörter-Wiederherstellungsphrase. Ein am 11. Oktober veröffentlichter Bericht dokumentiert gefälschte Ledger-Websites, auf die bösartige Google-Anzeigen führen und die über gefälschte Wallet-Verifizierungen Wiederherstellungsphrasen abgreifen sollen. Diese Phishing-Kampagne ist bislang nicht mit den Hardware-Ermittlungen zu CryptoBilis verbunden. Ledger kündigte zusätzliche Schutzmaßnahmen an, die unautorisierte physische Eingriffe erschweren sollen. Ein Termin für deren Einführung oder Details zu einer Hardware-Neugestaltung wurden nicht genannt. Hinweise zum Vorfall nimmt das Unternehmen über sein Bug-Bounty-Programm entgegen, betroffene Nutzer sollen während der Ermittlungen weiter direkt informiert werden. Für Hilfestellungen verweist Ledger auf support.ledger.com. Der Hersteller betonte, es gebe keine Hinweise darauf, dass die eigene Sicherheitsinfrastruktur, eigene Systeme oder Dienste kompromittiert wurden. Frühere Sicherheitsuntersuchungen von Ledger hatten Fälle unautorisierter Modifikationen an Wallet-Hardware behandelt, darunter ein Angriffsszenario aus dem Jahr 2018, bei dem Angreifer nach physischem Zugriff ein Wallet manipulierten und mit zusätzlichen elektronischen Bauteilen beeinflussten. Diese früheren Untersuchungen betrafen andere Angriffsszenarien und stehen nicht im Zusammenhang mit den Ermittlungen zu CryptoBilis.