Mitgelesen beim Einrichten In Ledger-Geräten aus dem Wiederverkauf in Südostasien steckte ein Modul, das die 24 Wörter mitlas. Seit dem 13. Oktober verkauft MediaMarkt Saturn keine Ledger-Geräte mehr. Was belegt ist, was berichtet wird und was du jetzt tust.

Drei Tage nach der ersten Bestätigung ist die Lage in einem Punkt klar und in vielen offen. Beides gehört an den Anfang.

Belegt durch Ledger selbst ist: In Ledger-Geräten, die über Wiederverkäufer in Südostasien verkauft wurden, darunter CryptoBilis, steckte ein nicht autorisiertes Bauteil; Ledger hat es am 10. Oktober an einem Gerät eines betroffenen Nutzers bestätigt. Das Bauteil liest beim Einrichten die 24 Wörter vom Display und sendet sie per Mobilfunk an Dritte. Secure Element, Betriebssystem und Transaktionen verändert es nicht. Alle Verluste, die Ledger verifiziert hat, betreffen Geräte aus diesem Vertriebsweg; einen Abfluss bei einem anderswo gekauften Gerät hat Ledger nicht bestätigt. Seit dem 13. Oktober verkauft MediaMarkt Saturn mit Ledgers Einverständnis keine Ledger-Geräte mehr, in Filialen und online, nach dem Bericht eines Kunden in Deutschland über ein Implantat. Verluste sind dort nicht gemeldet. MediaMarktSaturn bestätigte den Schritt gegenüber Cointelegraph.

Berichtet, aber von Ledger nicht bestätigt ist: Ein Nutzer fand in zwei Nano X aus zwei MediaMarkt-Filialen in Deutschland fremde Kabel und Mobilfunkmodule. Mark Karpelès meldete einen Ledger Flex mit Implantat, gekauft am Flughafen Singapur. Schätzungen Dritter beziffern den Schaden auf rund 84 bis 103 Millionen Dollar; Ledger sagt selbst, diese Zahlen stammten von Dritten und seien nicht vollständig geprüft. Nach Berichten erkennt Ledgers Echtheitsprüfung in der App das Implantat nicht.

Nicht belegt ist alles Weitere: wie und wo die Geräte verändert wurden, ob die Funde in Deutschland mit CryptoBilis zusammenhängen und wie viele Geräte insgesamt betroffen sind. Wir nennen das ausdrücklich, weil in solchen Lagen binnen Stunden Ursachen kursieren, die niemand gemessen hat. Die Ratschläge unten gelten unabhängig davon, wie diese Fragen ausgehen.

Eine Hardware-Wallet hat eine einzige Aufgabe: Der Schlüssel verlässt das Gerät nie. Das Secure Element hält ihn, das Display zeigt dir, was du unterschreibst, und kein Rechner dazwischen kommt an ihn heran. Nach allem, was Ledger sagt, hat genau dieser Teil gehalten.

Es gibt aber einen Moment, in dem der Schlüssel offen auf dem Display steht: beim Einrichten, wenn das Gerät dir die 24 Wörter zeigt, damit du sie aufschreibst. Ein Bauteil, das in diesem Moment mitliest, muss weder das Secure Element knacken noch eine Transaktion fälschen. Es wartet, bis du die Phrase abschreibst, und schickt sie weiter. Wer sie hat, braucht dein Gerät nicht mehr.

Damit verschiebt sich die Frage, die man an ein Gerät stellt. Nicht nur: Ist die Firmware sicher? Sondern auch: Durch wessen Hände ist das Gerät gegangen, bevor ich es zum ersten Mal einschalte? Jede Station zwischen Fabrik und Haustür ist eine Stelle, an der jemand das Gehäuse öffnen kann. Der Kauf direkt beim Hersteller entfernt diese Stationen nicht alle, aber er verkürzt die Kette auf die, für die der Hersteller selbst einsteht. Das gilt für jedes Gerät, das eine Phrase auf dem Display zeigt, nicht nur für Ledger; belegt ist der Fall bisher nur dort. Auch Trezor (Partner von BitAtlas) und OneKey haben CryptoBilis inzwischen als Händler gestrichen; Trezor meldet keine Hinweise auf manipulierte Trezor-Geräte, OneKey keine Verluste seiner Nutzer.

Und es gibt eine Bauform, bei der ein einzelnes kompromittiertes Gerät nicht reicht: Bei einem Multisig 2-von-3 mit Geräten verschiedener Hersteller braucht ein Angreifer zwei der drei Schlüssel. Eine mitgelesene Phrase allein öffnet dort nichts. Ersetzt werden muss der mitgelesene Schlüssel trotzdem, denn danach fehlt einem Angreifer nur noch einer.

Neu kaufen: nur direkt beim Hersteller, bei Ledger also im Ledger-Shop.

Gerät von CryptoBilis, noch nicht eingerichtet: nicht einrichten, Ledger-Support kontaktieren.

Gerät von CryptoBilis, schon eingerichtet: Bestand auf ein neues Gerät mit neuer Wiederherstellungsphrase umziehen. Auf einem CryptoBilis-Gerät keine Phrase eingeben oder wiederherstellen; die alte Phrase gilt als bekannt und wird nicht weiterverwendet.

Gerät aus anderem Handel: vor dem Einrichten nach Ledgers Prüfanleitung kontrollieren oder den Support fragen. Öffnen kann das Gerät beschädigen; sichere vorher deine Phrase, wenn es schon eingerichtet ist.

Geld verloren oder Gerät manipuliert: Ledger-Support und Polizei melden; das Gerät vorher niemandem schicken und nicht öffnen.

Immer: Ledger ruft nie an, schreibt nicht ungefragt und fragt nie nach deinen 24 Wörtern. Gib sie nie in eine Website, App oder ein Formular ein. Wer jetzt danach fragt, ist ein Betrüger.

Die Untersuchung läuft. Was sich ändert, tragen wir im Anbieter-Radar und im Testbericht zum Ledger Flex nach.