Verwanzte Hardware-Wallets für Kryptowährungen sind Benutzer teuer zu stehen gekommen. Von 9. bis 13. Oktober beläuft sich die Gesamtbeute auf mindestens 102 Millionen US-Dollar. Der betroffene Hersteller Ledger gab sich schmallippig, obwohl seit spätestens Mai bekannt ist, dass verwanzte Wallets in Umlauf sind. Am Donnerstag hat sich Ledger schließlich zu Wort gemeldet und versucht, zu beschwichtigen: „Das war kein systemischer Angriff auf die Lieferkette, sondern ein lokaler Angriff auf die Distribution.”
„Eine stark organisierte kriminelle Gruppe hat den fortgeschrittensten Angriff ausgeführt, den unsere Branche je gesehen hat”, schreibt Leder. „Über viele Monate haben sie echte Ledger-Geräte gekauft, geöffnet, maßgeschneiderte Komponenten (...) eingebaut, und (die Geräte) durch Großhändler in Südostasien wieder in die Distribution gebracht.”
Leider gibt Ledger nicht an, über welche Distributoren die manipulieren Wallets vertrieben worden sind. Gesichert sind Verkäufe in Asien, doch hat ein Deutscher berichtet, bei MediaMarkt Saturn im August und erneut vorige Woche ebenfalls verwanzte Ledger-Wallets erstanden zu haben. Lieferant soll ein österreichischer Distributor gewesen sein; heise online hat ihn zwecks Stellungnahme kontaktiert. MediaMarkt Saturn hat den Ledger-Verkauf vorerst eingestellt.
Geduldige Täter mit Millionenbudget
Wie Ledger berichtet, haben die Angreifer „ihre eigene Logistik und technische Infrastruktur mit Servern zur Sammlung der Seed Phrases, Leerung (der Wallets) und Wäsche” der Beute aufgebaut. „Sie waren geduldig, sie haben Millionen ausgegeben, und sie haben in einer koordinierten Aktion zugeschlagen und Wallets geleert”.
Ledgers Testkäufe eigener Geräte bei Händlern, darunter auch in Deutschland, hätten keine weiteren verwanzten Wallets zu Tage gefördert. Auch bei Stichproben aus Lagern sowie umfangreichen Stichproben aus eigenen Beständen hätten sich alle Apparate als sauber erwiesen.
Noch keine Details zu Produktverbesserung
„Das war ein Angriff auf unsere Nutzer, und, machen wir uns nichts vor, die gesamte Branche”, stellt das französische Unternehmen fest. Es erinnert seine Distributoren und autorisierten Händler daran, retournierte Ware keinesfalls anderen Kunden anzudienen. Von Kunden beanstandete Unregelmäßigkeiten seien umgehend zu melden.
Ab sofort sollen Ledger-Geräte in keinem Regal oder Schaukasten mehr liegen, sondern im Verborgenen gelagert und erst im Zeitpunkt des Kaufs überreicht werden. Das soll verhindern, dass Angreifer manipulierte Produkte als Köder in fremde Regale legen.
Ledger hofft, dass Mitbewerber die gleichen Einschränkungen machen, und ist bereit, eigene Erfahrungen zu teilen. „Wir haben auch an zusätzlichen Maßnahmen auf Produktebene zur Hintanthaltung solcher Angriffe gearbeitet.” Näheres nennt die Firma noch nicht.
So läuft der Angriff
Die Täter beschaffen sich echte Hardware-Wallets, öffnen diese und fügen den kleinen Geräten einen winzigen Chip hinzu, der Bildschirminhalte abgreift. Dazu kommt ein LTE-Modem samt eSIM, dass die bei Einrichtung des Wallets am Bildschirm angezeigte Seed Phrase an die Täter funkt. Damit erhalten sie Kontrolle über jene Kryptowährungsbestände, die mit der Seed Phrase „gesichert” werden.
Die manipulierten Geräte gelangen auf unbekanntem Weg zu autorisierten Händlern, und von dort zu Nutzern. Die verwanzten Ledger-Wallets wirken originalverpackt, und auch am Geräteäußeren fällt meistens nichts auf. Seit Mai ist das Grundprinzip öffentlich bekannt, damals war die Umbauten vergleichsweise krude. Inzwischen ist die Sache so professionell aufgezogen, dass man selbst in geöffneten Geräten nichts Verdächtiges sieht, außer einer nicht vorgesehenen Antenne.
Bei der Beute handelt es sich in der Regel um stattliche Beträge, da Großspekulanten eher geneigt sind, für ein Hardware-Wallet zu bezahlen. Eine Analyse Bitquerys hat 324 betroffene Wallets gefunden, aus denen die Täter von 9. bis 13. Oktober Kryptowährungseinheiten im Gesamtgegenwert von 102 Millionen US-Dollar entnommen haben – umgerechnet durchschnittlich 282.000 Euro pro Wallet.
(ds)