Der Ledger-Hack könnte weitere Kreise ziehen. Auf X berichten Nutzer von einem LTE-Implantat in einem Ledger Stax und von einem manipulierten Gerät, das aus einer MediaMarkt-Filiale stammen soll. Bestätigt ist bislang keiner der beiden Fälle.
Seit Sonntag zeigen zwei Nutzer auf X Hardware Wallets mit fremden Bauteilen. Der eine präsentiert einen Ledger Stax mit LTE-Modem, der andere einen Nano X mit zusätzlicher Verkabelung, den er vor rund zwei Wochen bei MediaMarkt gekauft haben will. Träfen die Berichte zu, wäre erstmals auch der Ledger Stax betroffen, und manipulierte Geräte wären im europäischen Handel aufgetaucht. Ledger hat beide Fälle bislang nicht bestätigt.
So begann der Ledger-Hack
Seit Freitag, dem 9. Oktober, melden Ledger-Nutzer in Südostasien leergeräumte Wallets. Die Spur führt zu CryptoBilis, einem von Ledger autorisierten Reseller der Malaysia, Indonesien und die Philippinen beliefert. Ledger bestätigte am Samstag ein nicht autorisiertes Hardware-Implantat im Gerät eines Betroffenen. On-Chain-Analysten schätzen den Schaden auf 87 bis 94 Millionen Dollar, Bitquery zählt 315 geleerte Wallets auf sechs Chains.
Den Aufbau des Implantats hatte zuvor der frühere Mt.-Gox-Chef Mark Karpelès an einem Nano X aus Malaysia dokumentiert. Nach seinen Angaben liest eine versteckte Platine mit LTE-Modul und eSIM die Seed Phrase beim Einrichten vom Display ab und funkt sie an die Angreifer. Weil das Secure Element unangetastet bleibt, besteht das Gerät sogar den Genuine Check, wie wir gestern berichteten.
Angebliches LTE-Modem im Ledger Stax
Am Sonntagabend veröffentlichte der X-Nutzer wentrre Fotos seines geöffneten Ledger Stax und fragte, ob mit dem Gerät etwas nicht stimme. Auf den Bildern ist ein Mobilfunkmodem vom Typ Nordic nRF9151 zu sehen. Der handelsübliche IoT-Chip steckt in keinem echten Ledger-Gerät. Daneben sitzen weitere fremde Bauteile, ein Kabel läuft über den Akku zu einer Antenne unter der Rückschale.
Wo das Gerät gekauft wurde und ob Coins abgeflossen sind, geht aus den bisherigen Berichten nicht hervor. Sollte sich der Fund bestätigen, wäre es das erste bekannte Implantat in einem Ledger Stax. Technisch wäre das bemerkenswert, denn der Stax nutzt statt des kleinen Nano-X-Displays einen großen E-Ink-Touchscreen. Ein Implantat dürfte also eigens für dieses Modell entwickelt worden sein.
Verdächtiger Nano X angeblich von MediaMarkt
Bereits am Sonntagmittag hatte der X-Nutzer 0xJohannes_ Fotos eines Nano X mit zusätzlicher Verkabelung gepostet. Gekauft habe er das Gerät vor rund zwei Wochen im Laden eines offiziellen Händlers, später nannte er MediaMarkt. In welchem Land die Filiale steht, ist offen. Coins sind nach seinen Angaben nicht abgeflossen.
Mark Karpelès erkennt auf den Fotos eine ältere Version des Implantats, das er selbst dokumentiert hat. Die Antenne trägt laut Karpelès die chinesische Aufschrift für „Eurasien-Version“. Er vermutet regionale Varianten für unterschiedliche LTE-Frequenzen und hält weitere Geräte für möglich. Der Käufer selbst hält es für denkbar, dass ein präpariertes Gerät zurückgegeben und erneut verkauft wurde. Ledger verwies in einer Antwort auf sein jüngstes Update, in dem der Hersteller seine Händler daran erinnert, keine Rückläufer wieder in den Verkauf zu geben. Bestätigt hat Ledger den Fall nicht und von MediaMarkt gibt es bislang keine Stellungnahme.
Ledger hält an der CryptoBilis-Spur fest
Ledger ordnet alle bestätigten Diebstähle weiterhin CryptoBilis zu und spricht in seinem Update vom Sonntag von einer begrenzten Zahl betroffener Geräte. Bei Käufen auf Ledger.com gebe es keine Hinweise auf Manipulationen.
Dass präparierte Geräte nur über diesen einen Händler in Umlauf kamen, ist damit allerdings nicht gesagt. Karpelès hatte seine beiden manipulierten Exemplare nicht bei CryptoBilis gekauft, sondern über Yahoo Auctions in Japan und bei einem chinesischen Anbieter auf Amazon Japan, der aus Malaysia lieferte.
Ledger rät, verdächtige Geräte gar nicht erst einzurichten. Wer ein solches Wallet bereits nutzt, soll laut Hersteller mit neuer Seed Phrase auf eine neue Hardware Wallet umziehen.
