Der frühere Mt.-Gox-Chef Mark Karpelès hat in einer Ledger Nano X aus einer deutschen MediaMarkt-Filiale nach eigener Untersuchung ein Spionage-Implantat gefunden. Ledger hält dagegen, in deutschen Laden- und Lagerbeständen sei kein manipuliertes Gerät aufgetaucht. Ein eigenes Prüfergebnis zu den Geräten aus dem Fall hat der Hersteller nicht veröffentlicht.
“Ledger Nano X received from @0xJohannes_ (who bought it from MediaMarkt in Germany) confirmed bugged”, schrieb Karpelès am Donnerstag um 13:42 Uhr MESZ auf X. Das Gerät, das der Nutzer Johannes in Deutschland gekauft und ihm geschickt hatte, sei also bestätigt verwanzt; ein zweites Exemplar hatte Johannes an Ledger geschickt.
Damit hat das Gerät, mit dem der Fall in Deutschland vor einer Woche öffentlich wurde, einen Befund von außerhalb des Herstellers. Karpelès selbst spielt das herunter: “This is not news and action has already been taken”, schreibt er, gehandelt worden sei bereits. Die nächste Frage sei, “how this ended in Germany”, wie das Gerät nach Deutschland gelangte.
Ledger fand in deutschen Beständen kein manipuliertes Gerät
Der Hersteller hatte am Mittwochabend um 19:06 Uhr eine andere Lage beschrieben. Sein Team habe Geräte aus Läden und Distributorenlagern in ganz Deutschland untersucht, auch aus den genannten Filialen, teilte Ledger auf X mit: “None showed any sign of tampering.” Keines habe Spuren einer Manipulation gezeigt, und in Europa sei kein Verlust gemeldet worden, der mit den Implantaten zusammenhängt.
Im selben Beitrag räumte Ledger ein, die im Netz gezeigten Geräte noch nicht untersucht zu haben, und bat den Besitzer, sie einzuschicken. Am Donnerstag bekräftigte das Unternehmen in seiner ausführlichen Stellungnahme, jedes geprüfte Gerät sei sauber gewesen. Zu Karpelès’ Befund hat sich Ledger auf seinem X-Konto bis Samstagnachmittag nicht geäußert.
Beides kann zugleich stimmen.
Ledger spricht über die Stichproben, die das eigene Team gezogen hat, Karpelès über ein einziges Gerät, das ein Käufer mitgebracht hat. Auch Johannes schrieb nach Angaben des US-Portals Unchained, die übrigen Geräte in der Filiale hätten unauffällig gewirkt. Ob Johannes damit zufällig das einzige präparierte Exemplar erwischt hat, “wouldn’t be able to say for sure”, wird Karpelès dort zitiert: Das könne er nicht sicher sagen.
Karpelès hält das Implantat für dieselbe Bauart wie in Asien
Eingebaut sei das Implantat in der Nano X etwas anders als in den Geräten aus Südostasien, schreibt Unchained unter Berufung auf Karpelès, aber “it’s surely the same implant”. Bei einer Ledger Flex, die nach seinen Angaben am Flughafen Singapur bei einem autorisierten Händler gekauft wurde, beschrieb er eine angepasste Platine mit drei Chips: einer liest den Bildschirm aus, einer ist ein Mobilfunkmodem, einer eine eSIM, über die die Daten hinausgehen.
Bestätigte Abflüsse führt Ledger weiterhin allein auf Geräte des malaysischen Händlers CryptoBilis zurück.
Betrüger nutzen die Verunsicherung mit falschen Firmware-Updates
Für Besitzer eines Ledger-Geräts ist die größere Gefahr derzeit nicht im Gehäuse zu suchen. Das Sicherheitsunternehmen SlowMist warnte am Freitag um 8:56 Uhr vor einer Kampagne, die ein angebliches Ledger-Firmware-Update anbietet, mit nachgebauter Echtheitsprüfung, Geräteauswahl und “Update Now”-Knopf. Der Rat dazu: “Never click website links to update. Never enter your recovery phrase anywhere.”
Die Analystin Taylor Monahan, die Meldungen von Geschädigten sammelt, sagte im Podcast von Unchained, die jüngsten Verlustberichte seien “not actually Ledger drains”. Die Coins seien über gefälschte Suchanzeigen für die Ledger-Software, falsche Apps, Phishing-Seiten, Angst-Mails und Anrufe abhandengekommen, von Menschen, die in Panik geraten seien. Ihr Rat in zwei Worten: “Don’t panic.”
Wer ein Gerät aus dem Handel nutzt, gewinnt durch eilige Schritte nichts. Updates kommen über die App des Herstellers, nicht über einen Link in einer E-Mail, und die Wiederherstellungsphrase gehört auf keine Webseite. Wie Ledger mit dem eingeschickten zweiten Gerät aus Deutschland verfährt, ist die Antwort, auf die Käufer bei MediaMarkt jetzt warten.
Wer neue Bitcoin vorerst nicht auf eine Hardware-Wallet aus dem Laden überträgt, kann sie bei eToro kaufen und auf der Plattform halten. Welche Geräte es außer Ledger gibt, zeigt unser Krypto-Wallet-Vergleich.
