Wanze im Krypto-Wallet: Ledger bestätigt Hardware-Implantat

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Der Verdacht ist jetzt offiziell, und für Ledger ist das ein harter Schlag: Der französische Hardware-Wallet-Hersteller hat bestätigt, dass im Gerät eines betroffenen Kunden ein „nicht autorisiertes Hardware-Implantat“ steckte. Das teilte der Ledger-Support auf X mit. Damit ist klar, dass zumindest ein Teil der Geräte, über die Kund:innen in Südostasien um Kryptowerte in zweistelliger Millionenhöhe gebracht wurden, physisch manipuliert war.

Was ein Hardware-Implantat ist

Ein Hardware-Implantat ist ein zusätzliches elektronisches Bauteil, das nachträglich und unbemerkt in ein Gerät eingebaut wird. Es lässt die Software unangetastet und greift Daten direkt an der Elektronik ab. Bei einer Hardware-Wallet ist das besonders heikel, weil das Gerät beim Einrichten die Wiederherstellungsphrase anzeigt. Diese meist 24 Wörter reichen aus, um die Wallet anderswo nachzubauen und Kryptowerte ohne das Gerät abzuziehen.

Genau so dürfte der Angriff funktioniert haben. Der frühere Mt.-Gox-Chef Mark Karpelès hatte bereits kurz nach Bekanntwerden der Diebstähle ein originalverpacktes Gerät aus Malaysia zerlegt und darin eine versteckte zweite Platine gefunden. Laut einer technischen Analyse von Tibane Labs sitzt sie beim Ledger Nano X hinter dem Display und besteht aus einem Mikrocontroller und Mobilfunk-Hardware, die an die internen Datenleitungen des Bildschirms angeschlossen ist. So kann das Implantat mitlesen, was beim Einrichten angezeigt wird, und die Wiederherstellungsphrase per Mobilfunk verschicken. Ledgers eigene Firmware bemerkt davon nichts, weil der Sicherheitschip selbst unangetastet bleibt. Ledger selbst hat die Funktionsweise des Implantats bislang nicht bestätigt.

Welche Geräte betroffen sind

Betroffen sind Geräte, die über CryptoBilis verkauft wurden, einen offiziellen Ledger-Händler für Indonesien, Malaysia und die Philippinen. Ledger empfiehlt allen, die dort gekauft haben:

• Noch nicht eingerichtet: das Gerät gar nicht erst in Betrieb nehmen.
• Bereits eingerichtet: die Kryptowerte auf ein neues Ledger-Gerät mit einer neuen Wiederherstellungsphrase übertragen. Die alte Phrase auf ein neues Gerät zu übernehmen, reicht nicht, weil sie als kompromittiert gelten muss.

CryptoBilis hat inzwischen den Verkauf sämtlicher Hardware-Wallets gestoppt, bis die Untersuchung abgeschlossen ist. Das betrifft auch Geräte von Mitbewerbern wie Trezor, Tangem, SafePal und OneKey, die der Händler ebenfalls im Sortiment hat. Ob auch dort manipulierte Geräte ausgeliefert wurden, ist offen. Ledger betont, man habe „keine Hinweise darauf, dass Ledgers Sicherheitsinfrastruktur, Systeme oder Dienste kompromittiert wurden“. Geräte aus dem eigenen Onlineshop seien nicht betroffen. Unterstützt wird Ledger bei der Untersuchung von SEAL 911, einem Notfallteam aus Sicherheitsforscher:innen der Kryptobranche, außerdem arbeitet das Unternehmen mit den Behörden zusammen.

Was gestohlen wurde

Eine offizielle Schadenssumme nennt Ledger nicht. Die Blockchain-Analysefirma Bitquery kommt in ihrer Auswertung auf 92,9 Millionen Dollar (rund 83 Millionen Euro) aus 311 Wallets:

• USDT auf Tron: Den größten Teil machen Tether-Stablecoins im Wert von rund 70,5 Millionen Dollar (etwa 63 Millionen Euro) aus.
• Bitcoin: rund 16,8 Millionen Dollar (etwa 15 Millionen Euro).
• Weitere Coins: Ether sowie Kryptowerte auf BNB Chain und Polygon.

Rund 10 Millionen Dollar (etwa 9 Millionen Euro) in USDT wurden laut Bitquery eingefroren. Einen Teil der erbeuteten Ether haben die Täter:innen bereits über den Krypto-Mixer Tornado Cash geschleust, um die Spuren zu verwischen.

Die Sicherheitsforscherin Taylor Monahan warnt dennoch vor Panik: Nach einer bisher unbekannten Lücke in Ledgers Technik sehe der Fall nicht aus. Gefährlicher seien jetzt Betrüger:innen, die mit gefälschten Google-Anzeigen, Phishing-Seiten und nachgemachten Apps auf verunsicherte Kund:innen zielen. Auch Ledger warnt: Das Unternehmen werde niemals nach der Wiederherstellungsphrase fragen.

Nicht der erste Ärger für Ledger

Für Ledger reiht sich der Vorfall in eine lange Liste von Problemen ein:

• Datenleck 2020: Angreifer:innen erbeuteten die E-Mail-Adressen von mehr als einer Million Kund:innen, bei hunderttausenden auch Namen, Telefonnummern und Wohnadressen. Der Datensatz landete später frei im Netz.
• Gefälschte Geräte 2021: Betrüger:innen nutzten die geleakten Adressen und verschickten manipulierte Ledger-Geräte per Post, samt offiziell wirkendem Brief, die Kund:innen ihre Wiederherstellungsphrase eingeben ließen.
• Ledger Recover 2023: Ein optionaler Dienst zur Sicherung der Wiederherstellungsphrase löste heftige Kritik aus, weil er zeigte, dass die Firmware Schlüsselmaterial grundsätzlich exportieren kann.
• Connect-Kit-Angriff 2023: Angreifer:innen schleusten Schadcode in eine Software-Bibliothek ein, mit der zahlreiche Krypto-Apps Ledger-Wallets anbinden, und erbeuteten rund 600.000 Dollar.
• Entführung 2025: Ledger-Mitgründer David Balland wurde in Frankreich entführt und erst nach einem Polizeieinsatz befreit.
• Global-e 2026: Anfang des Jahres legte ein Datenleck beim Zahlungsdienstleister Global-e Namen und Kontaktdaten von Ledger-Käufer:innen offen.

Ledger kündigt nun weitere Maßnahmen gegen physische Manipulation an, nennt aber weder Details noch einen Zeitplan. Das Grundversprechen von Hardware-Wallets, dass die Wiederherstellungsphrase das Gerät nie verlässt, hilft wenig, wenn schon das Gerät selbst nicht mehr das ist, was der Hersteller ausgeliefert hat.