Kryptodiebe verkaufen Hardware-Wallets mit heimlicher eSIM

Was geschehen ist – die Kernmeldung

Ein massiver Betrugsfall erschüttert derzeit die Krypto-Community und stellt das Vertrauen in Hardware-Wallets auf eine harte Probe. Kriminelle Akteure haben es geschafft, die als besonders sicher geltenden Ledger Nano X-Geräte abzufangen und technisch zu manipulieren, bevor diese bei den ahnungslosen Endkunden ankamen. Bei den betroffenen Geräten handelt es sich um Hardware-Wallets, die eigentlich dazu dienen sollen, private Schlüssel – die sogenannten Seed-Phrases – sicher und offline zu verwahren. Den Berichten zufolge wurden in die Geräte zusätzliche Hardware-Komponenten integriert, die es den Angreifern ermöglichen, die angezeigten Informationen auf dem Display des Wallets in Echtzeit mitzulesen. Durch den Einbau eines LTE-Modems samt eSIM-Modul und einer kleinen Antenne werden die sensiblen Daten anschließend per Mobilfunk an die Täter übermittelt. Auf diese Weise konnten die Kriminellen bereits Kryptowährungen im Wert von rund 100 Millionen US-Dollar entwenden. Das Ausmaß des Schadens ist besorgniserregend, da die Nutzer davon ausgingen, ihre Vermögenswerte auf einem absolut sicheren, vom Internet getrennten Speichermedium zu verwalten, während ihre Bestände in Wahrheit bereits längst durch die Hintertür abflossen.

Die Einzelheiten der Manipulation

Die technische Raffinesse hinter diesen Angriffen ist beachtlich. Die Täter greifen dabei nicht den eigentlichen Sicherheitskern des Geräts an, den sogenannten Secure Element Chip. Dieser bleibt in seiner Funktion unberührt und gilt weiterhin als sicher. Stattdessen haben die Angreifer eine zusätzliche Hardware-Komponente in das Gehäuse integriert, die den Datenfluss zwischen dem Secure Element Chip und dem eingebauten Bildschirm abfängt. Diese Methode, die in Fachkreisen als „embedded Tempest“ bezeichnet wird, erlaubt es den Tätern, jeden Buchstaben der Seed-Phrase zu erfassen, sobald der Nutzer das Gerät einrichtet. Da die Wallets für den Offline-Betrieb konzipiert sind, mussten die Angreifer eine Möglichkeit finden, die Daten nach außen zu senden. Dies geschieht über ein winziges LTE-Modem, das zusammen mit einer eSIM und einer Antenne im Gehäuse untergebracht wurde. Die Stromversorgung dieser Zusatzkomponenten erfolgt direkt über den internen Akku des Ledger Nano X. Die Analyse von Tibane Labs bestätigt, dass die Täter hierbei äußerst präzise vorgehen. Während frühe Versionen der manipulierten Geräte noch durch ein auffälliges Drahtgewirr oder den Austausch des Originalakkus gegen kleinere Ersatzmodelle erkennbar waren, hat die aktuelle, dritte Generation der Manipulation eine neue Stufe der Professionalität erreicht. Die Zusatzhardware ist nun exakt zugeschnitten und findet Platz, indem die Täter den Schaumstoff unter dem Bildschirm entfernen. Von außen ist das Gerät für den Anwender praktisch nicht von einem unmanipulierten Original zu unterscheiden.

Hintergrund und bisheriger Verlauf

Die Geschichte dieser manipulierten Wallets ist ein Beispiel für eine schleichende Eskalation im Bereich der Cyberkriminalität. Zunächst wurden solche Manipulationen in Handarbeit durchgeführt, wie etwa im Mai auf der Konferenz Hardware.io durch den Embedded-Spezialisten Joe Grand demonstriert wurde. Damals waren die Eingriffe noch grob und ließen sich durch das Öffnen des Gehäuses leicht identifizieren. Über die Monate hinweg haben die Täter ihre Methoden jedoch in Richtung einer professionellen Serienproduktion weiterentwickelt. Der Verdacht konzentriert sich dabei auf den Händler Cryptobilis, der von Malaysia aus operiert und vor allem in Südostasien aktiv ist. Es gibt Berichte, wonach das Unternehmen kürzlich den Eigentümer gewechselt hat, ohne dies öffentlich zu machen. In der Kryptoszene kursieren zudem nicht verifizierte Screenshots, die darauf hindeuten, dass der Händler seit August einem Chinesen namens JiaMing gehört. Die betroffenen Wallets gelangen über verschiedene Handelswege, darunter auch Plattformen wie Amazon Japan, in die Hände der Kunden. Dabei werden die Geräte oft von Anbietern verkauft, die ihre Ware aus Malaysia versenden, was die Rückverfolgung für die Opfer erheblich erschwert. Die Krypto-Assets, die durch diese Methode gestohlen werden, gelangen nach dem Abfluss in der Regel in Kryptomixer, um die Spur der Gelder zu verwischen.

Die beteiligten Akteure und Institutionen

Im Zentrum der Auseinandersetzung steht der französische Hersteller Ledger, dessen Produkte für ihre hohe Sicherheit bekannt sind. Das Unternehmen hat den Vorfall mittlerweile bestätigt, wobei es sich bisher auf einen einzelnen, offiziell bestätigten Fall eines finanziellen Verlusts durch ein manipuliertes Gerät bezieht. Ledger hat zudem Maßnahmen ergriffen, um den Schaden zu begrenzen, indem es dem Händler Cryptobilis vorerst untersagt hat, weitere Geräte zu verkaufen. Zudem wurde eine allgemeine Warnung an alle Händler ausgesprochen, keine Retouren an andere Kunden weiterzugeben. Auf der Seite der Analysten spielt Tibane Labs eine zentrale Rolle bei der Untersuchung der manipulierten Hardware. Auch der Sicherheitsexperte Joe Grand hat durch seine Analysen maßgeblich dazu beigetragen, die Methoden der Angreifer offenzulegen. Auf der anderen Seite stehen die Opfer, die oftmals unwissentlich bei Händlern wie Cryptobilis eingekauft haben. Ein besonderes Problem stellt dabei die Intransparenz der Lieferketten dar, da viele Käufer gar nicht wissen, bei welchem Händler sie ihr Gerät ursprünglich erworben haben, wenn sie es beispielsweise über Drittplattformen bezogen haben. Die Krypto-Community und Blockchain-Beobachter versuchen derzeit, das volle Ausmaß der Diebstähle zu erfassen und haben bereits über 300 betroffene Wallets identifiziert.

Einordnung der Sicherheitslage

Einzuordnen ist dieser Vorfall als ein schwerwiegender Angriff auf die Integrität der Lieferkette. Normalerweise wird bei Hardware-Wallets davon ausgegangen, dass die Sicherheit durch die Hardware selbst garantiert wird. Dieser Fall zeigt jedoch, dass die physische Sicherheit des Geräts nur so viel wert ist wie die Integrität des Handelsweges. Den Berichten zufolge ist das Vertrauen in die Hardware-Wallets von Ledger als solches nicht erschüttert, da der Secure Element Chip selbst nicht kompromittiert wurde. Das Problem liegt vielmehr in der Manipulation der Hardware vor der Auslieferung an den Endkunden. Die Tatsache, dass die Täter nun in der Lage sind, die Geräte so professionell zu modifizieren, dass sie von außen nicht mehr als manipuliert erkennbar sind, stellt eine neue Qualität der Bedrohung dar. Es ist ein klassischer „Man-in-the-Middle“-Angriff auf physischer Ebene. Nutzer, die ihre Geräte bei nicht autorisierten oder unseriösen Händlern erworben haben, befinden sich in einer hochriskanten Lage. Die Empfehlung von Ledger, bei Zweifeln die Bestände sofort auf ein neues, nachweislich sicheres Wallet zu transferieren, unterstreicht die Dringlichkeit der Situation. Die Sicherheit der Kryptowährungen hängt hierbei direkt von der Vertrauenswürdigkeit des Zwischenhändlers ab, was die Bedeutung zertifizierter Vertriebskanäle massiv hervorhebt.

Offene Fragen zur Manipulation

Trotz der detaillierten Analysen durch Tibane Labs und der Stellungnahmen von Ledger bleiben einige Fragen unbeantwortet. So ist das exakte Gesamtausmaß des finanziellen Schadens noch immer nicht offiziell bestätigt. Die Zahl von 93 Millionen US-Dollar basiert auf Beobachtungen durch Dritte, die die Blockchain analysieren, aber eine offizielle Bestätigung durch den Hersteller steht noch aus. Ebenso bleibt unklar, wie viele Geräte insgesamt manipuliert wurden und wie viele davon noch im Umlauf sind, ohne dass die Besitzer von der Gefahr wissen. Auch die Identität der Täter hinter dem Händler Cryptobilis ist nicht zweifelsfrei geklärt. Ob der genannte Name JiaMing tatsächlich eine reale Person oder lediglich ein Pseudonym für eine kriminelle Organisation ist, bleibt Spekulation. Ungeklärt ist zudem die Frage, ob auch andere Händler weltweit von ähnlichen Manipulationen betroffen sein könnten oder ob sich die Aktivitäten der Täter ausschließlich auf den südostasiatischen Raum beschränken. Da Ledger den genauen Hergang der Manipulationen noch nicht in allen Details kommentiert hat, bleibt auch offen, welche spezifischen Sicherheitsvorkehrungen in der Produktion in Zukunft getroffen werden könnten, um solche Modifikationen bereits ab Werk oder durch Siegel besser erkennbar zu machen.

Wie es weitergeht

Die Situation bleibt für viele Besitzer von Ledger-Wallets angespannt. Das Unternehmen hat klare Handlungsanweisungen gegeben: Wer in den letzten drei Monaten bei Cryptobilis eingekauft hat, sollte das Gerät keinesfalls weiterverwenden. Stattdessen wird geraten, die noch vorhandenen Kryptobestände umgehend auf ein anderes, als sicher geltendes Wallet zu transferieren. Ledger hat zudem den Verkauf durch Cryptobilis gestoppt und ein Verbot für alle Händler erlassen, Retouren an neue Kunden weiterzugeben. Dies ist eine präventive Maßnahme, um die Verbreitung der manipulierten Geräte zu unterbinden. Die betroffenen Nutzer sind nun dazu aufgerufen, ihre Hardware kritisch zu prüfen, auch wenn die Manipulationen von außen kaum erkennbar sind. Da die Täter ihre Methoden stetig weiterentwickeln, ist davon auszugehen, dass sowohl der Hersteller als auch die Sicherheitscommunity die Entwicklungen in der Lieferkette genau beobachten werden. Es bleibt abzuwarten, ob weitere betroffene Händler identifiziert werden und ob es zu strafrechtlichen Ermittlungen gegen die Betreiber von Cryptobilis kommt. Für die Anwender bedeutet dies, dass sie in Zukunft noch stärker auf den direkten Kauf beim Hersteller oder bei autorisierten, verifizierten Fachhändlern angewiesen sind, um das Risiko eines solchen „Supply-Chain-Angriffs“ zu minimieren.