Kryptowährungsnutzer in Singapur haben nach dem Kauf manipulierter Ledger-Hardware-Wallets bei lokalen Einzelhändlern etwa 3,5 Millionen S$ verloren, was eine polizeiliche Untersuchung von Geräten mit schädlichen Komponenten ausgelöst hat.
Zusammenfassung
- Die Polizei von Singapur hat seit dem 10. September in zwei Fällen Verluste an Kryptowährungen in Höhe von etwa 3,5 Millionen S$ gemeldet, die manipierte Ledger-Hardware-Wallets betrafen, die bei lokalen Einzelhändlern gekauft wurden.
- Vorläufige Ermittlungen ergaben, dass die betroffenen Geräte schädliche Hardware-Komponenten enthielten, die in der Lage waren, die Wiederherstellungsphrasen oder privaten Schlüssel der Nutzer zu erfassen und unbefugte Überweisungen zu ermöglichen.
- Ledger setzte den Verkauf von Hardware-Wallets in mehreren südostasiatischen Märkten, darunter Singapur, Malaysia, Indonesien, Thailand, die Philippinen, Vietnam und Hongkong, aus, nachdem kompromittierte Geräte entdeckt worden waren.
- Blockchain-Analysten schätzten die Verluste im Zusammenhang mit kompromittierten Wallets zuvor auf mehr als 86 Millionen US-Dollar, obwohl Ledger angab, den Gesamtbetrag des gestohlenen Geldes oder die Anzahl der betroffenen Nutzer nicht bestätigen zu können.
Laut einer Warnung der Polizei von Singapur vom 28. Oktober advisory wurden seit dem 10. September mindestens zwei Fälle im Zusammenhang mit kompromittierten Ledger-Geräten gemeldet, wobei vorläufige Ermittlungen ergaben, dass einige über Einzelhandelsgeschäfte verkaufte Wallets physisch modifiziert worden waren, um sensible Informationen zu stehlen.
Die Ermittler fanden heraus, dass die betroffenen Geräte nicht autorisierte Hardware enthielten, die in der Lage war, die Wiederherstellungsphrasen oder privaten Schlüssel der Nutzer zu erfassen, die dann genutzt werden konnten, um auf ihre Kryptowährungsbestände zuzugreifen und Gelder ohne Erlaubnis zu überweisen.
Ledger-Hardware-Wallets mit schädlichen Komponenten gefunden
Die gemeldeten Verluste folgen auf eine frühere Untersuchung von Ledger zu kompromittierten Geräten, die über CryptoBilis vertrieben wurden, einen in Südostasien tätigen Wiederverkäufer.
Am 13. Oktober bestätigte Ledger, dass versteckte Hardware-Implantate in einem seiner Geräte entdeckt worden waren, nachdem Nutzer früher in diesem Monat Kryptowährungsdiebstähle gemeldet hatten.
Das Donjon-Sicherheitsteam des Unternehmens stellte fest, dass die nicht autorisierte Komponente die während der Wallet-Einrichtung angezeigte 24-Wörter-Wiederherstellungsphrase erfassen und die Informationen über eine LTE-Mobilfunkverbindung an einen Angreifer übertragen konnte.
Wiederherstellungsphrasen ermöglichen es Nutzern, den Zugriff auf ihre Kryptowährungs-Wallets wiederherzustellen. Jeder, der die vollständige Phrase erlangt, kann potenziell die Wallet auf einem anderen Gerät neu erstellen und die darin befindlichen Vermögenswerte übertragen.
Ledger gab an, dass die schädliche Komponente unabhängig vom Secure Element des Geräts funktionierte, das zum Schutz privater Schlüssel entwickelt wurde, und keine Änderungen am Betriebssystem der Wallet erforderte.
Wie zuvor von crypto.news berichtet, gelangten die kompromittierten Geräte über einen Wiederverkäufer-Vertriebskanal zu den Kunden, wobei Ledger angab, dass seine eigenen Systeme und direkten Vertriebskanäle in den bestätigten Fällen nicht betroffen waren.
Das Unternehmen bestätigte am 10. Oktober ein nicht autorisiertes Hardware-Implantat in einer betroffenen Wallet und begann mit der Untersuchung weiterer gemeldeter Vorfälle im Zusammenhang mit Geräten, die über denselben Wiederverkäufer gekauft worden waren.
Ledger setzte Verkäufe in ganz Südostasien aus
Nach der Entdeckung forderte Ledger Wiederverkäufer und Distributoren in ganz Südostasien auf, den Verkauf und Versand seiner Hardware-Wallets auszusetzen, während das Unternehmen die betroffenen Produkte untersuchte.
Die am 13. Oktober angekündigte Aussetzung betraf Singapur, Malaysia, Indonesien, Thailand, die Philippinen, Vietnam und Hongkong.
Ledger wies CryptoBilis zunächst an, den Verkauf seiner Geräte einzustellen, nachdem Berichte über gestohlene Gelder von Kunden eingegangen waren, die Wallets über den Wiederverkäufer gekauft hatten.
Das Unternehmen riet Kunden, die in den vorangegangenen 90 Tagen Ledger-Geräte bei CryptoBilis gekauft hatten, ungenutzte Wallets nicht zu initialisieren. Denjenigen, die ihre Geräte bereits eingerichtet hatten, wurde empfohlen, ihre Vermögenswerte auf eine neue Wallet mit einer neu generierten Wiederherstellungsphrase zu übertragen.
Laut The Straits Times wurden kompromittierte Geräte auf dem Einzelhandelsmarkt in Singapur identifiziert, darunter eines, das bei Metapod am Flughafen Changi verkauft wurde, und ein weiteres, das Berichten zufolge in einer Challenger-Filiale in VivoCity gekauft wurde.
Blockchain-Analysten hatten zuvor geschätzt, dass im Zusammenhang mit den kompromittierten Wallets mehr als 86 Millionen US-Dollar gestohlen worden waren, obwohl Ledger angab, die Gesamtverluste oder die Anzahl der betroffenen Nutzer nicht bestätigen zu können.
Die Angabe der Singapurer Polizei von 3,5 Millionen S$ umfasst die lokal gemeldeten Fälle und ist getrennt von der früheren regionalen Schätzung zu betrachten.
Untersuchung zu Ledger-Wallets erreicht europäische Einzelhändler
Die Besorgnis über manipulierte Ledger-Geräte blieb nicht auf Südostasien beschränkt.
Am 13. Oktober setzte der deutsche Elektronik-Einzelhändler MediaMarktSaturn den Verkauf von Ledger-Hardware-Wallets in seinen stationären Geschäften und Online-Kanälen aus, nachdem ein Kunde in Deutschland gemeldet hatte, in einem Gerät eine nicht autorisierte Komponente gefunden zu haben.
Ledger stimmte der Aussetzung zu, während sein Sicherheitsteam die gemeldete Hardware-Modifikation untersuchte.
Der Hersteller erklärte, dass beim deutschen Vorfall keine Kundengelder verloren gegangen seien, und beteuerte, dass seine Infrastruktur, Systeme und Dienste nicht kompromittiert worden seien.
Ein separater Sicherheitsvorfall bei Hardware-Wallets trat am 26. Oktober zutage, als der konkurrierende Hersteller Keystone eine Verletzung des Authentifizierungsschlüssels bekannt gab, die seine Geräte betraf.
Keystone erklärte, Hacker hätten einen Geräte-Authentifizierungsschlüssel gestohlen und Informationen von 25.964 Kunden offengelegt, was das Unternehmen dazu zwang, 18.835 Hardware-Wallets zu zerstören und den Versand vorübergehend auszusetzen.
Anders als bei den Ledger-Vorfällen erklärte Keystone, dass die Wiederherstellungsphrasen und privaten Schlüssel seiner Kunden nicht kompromittiert worden seien.
