Die Kompromittierung von Ledger-Hardware-Wallets ist offenbar breiter als zunächst berichtet. Heise meldet, dass das Problem mit manipulierten Geräten — der Fall, den wir am 10. Oktober beschrieben haben, bei dem über Zwischenhändler gekaufte Wallets mit einem unautorisierten Hardware-Implantat bei Nutzern ankamen und rund 86 Millionen Dollar von betroffenen Adressen abflossen — weiter reicht als die erste Offenlegung nahelegte.
Das ist deshalb wichtig, weil die Form dieses Versagens der gängigen Empfehlung ungewöhnlich feindlich gegenübersteht. Das Sicherheitsmodell der Selbstverwahrung setzt voraus, dass der private Schlüssel das Gerät nie verlässt und dass ein versiegelt gekauftes Gerät vertrauenswürdig ist. Dieser Fall bringt die Annahme am frühestmöglichen Punkt zum Einsturz: nicht in der Firmware, nicht bei der Seed-Phrase, sondern in der physischen Lieferkette zwischen Werk und Kunde. Es gibt kein Software-Update, das eine kompromittierte Platine nachträglich ehrlich macht, und keinen Alarm, der beim ersten Mal anschlägt, wenn eine manipulierte Einheit etwas signiert, was sie nicht signieren sollte.
Eine größere Reichweite schärft die praktischen Fragen. Wie viele Einheiten, über welche Kanäle, über welchen Zeitraum? Erkennt ein Nutzer das durch Hinsehen, oder nur durch Zerlegen des Geräts? Und was schuldet der Hersteller Kunden, von denen nun erwartet wird, dass sie Hardware misstrauen, die angeblich genau der Sinn der Übung war?
Die unbequeme Schlussfolgerung für die Branche lautet nicht, dass Hardware-Wallets nutzlos sind — ein gut entworfenes bleibt ein weit besseres Ziel als eine Browser-Erweiterung. Sondern: Die Vertrauenskette hat sich nachgelagert, vorbei an der Kryptografie, hinein in Handel, Logistik und Verpackung, wo kaum jemand prüft. Solange diese Kette nicht durchgängig verifizierbar ist, ist "direkt beim Hersteller gekauft" keine Marketingvorliebe. Es ist die Sicherheitsmaßnahme.
