Dies ist die dritte Entwicklung einer Geschichte, die seit Anfang Oktober schnell voranschreitet – deshalb lohnt es, das Neue vom bereits Bekannten zu trennen.
Bekannt war: Über Reseller gekaufte Wallets sind kompromittiert, rund 86 Millionen Dollar flossen von betroffenen Haltern ab, und das Ausmaß erwies sich als größer als zunächst berichtet. Das ergaben unsere Berichte vom 10. und 15. Oktober.
Neu ist, was Ledger nun gegenüber dem deutschen Sicherheitsportal heise hinzufügt: Absicht und Größenordnung. Der Hersteller beschreibt einen Angriff auf "die ganze Branche", monatelang vorbereitet, mit einem Budget in Millionenhöhe. Heises Formulierung "Verwanzte Wallets" hält den Fokus auf physischen Geräten statt auf einem reinen Remote-Exploit.
Zusammengenommen beschreibt das eine Supply-Chain-Kampagne statt eines einzelnen Coups: Geld, das vorab investiert wird, Zeit, um Geräte in den Vertrieb einzubringen, und ein Ziel, das weit genug gefasst ist, dass kein einzelner Hersteller der eigentliche Punkt ist. Für Nutzer von Hardware-Wallets ist das die denkbar schlechteste Form: Das einzige Versprechen des Produkts lautet, dass der Schlüssel auf einem unmanipulierten Gerät erzeugt wurde – und der einzige Grund, eines zu kaufen, ist, keiner Webseite vertrauen zu müssen.
Offen bleibt: wie viele Geräte und welche Marken betroffen sind, an welcher Stelle der Vertriebskette die Kompromittierung geschah, ob ein Händler Mittäter war oder selbst ausgenutzt wurde, und welche Ansprüche Betroffene haben. Quelle für die Formulierung "ganze Branche" ist Ledger selbst – und ein Hersteller, der die Bedrohung seiner eigenen Kategorie beschreibt, ist keine unbeteiligte Quelle.
Solange diese Fragen offen sind, ändert sich der praktische Rat nicht: nur beim Hersteller oder einem autorisierten Händler kaufen, die Recovery-Phrase selbst auf dem Gerät erzeugen, nie eine vorausgefüllte Seed-Karte akzeptieren und Firmware-Signaturen vor der Nutzung prüfen.
