Ledger hat Händler und Distributoren in Indonesien, Singapur, Thailand, den Philippinen, Vietnam, Malaysia und Hongkong aufgefordert, den Verkauf seiner Hardware-Wallets auszusetzen und die Geräte aus den Regalen zu nehmen. Bestätigte Diebstähle gibt es nach Angaben des Herstellers weiterhin nur in Südostasien, einen Fall in Europa hat er nicht verifiziert.
Das “Incident Update” erschien in der Nacht zum Mittwoch um 0:03 Uhr MESZ auf dem X-Konto von Ledger. Der Stopp soll gelten, solange die Untersuchung läuft. Bisher hatte das Unternehmen nur den südostasiatischen Händler CryptoBilis gebeten, Verkauf und Versand einzustellen.
Zur Lage außerhalb Asiens bleibt Ledger bei seiner Linie: “We have not verified a drain linked to a device bought elsewhere”, heißt es in dem Beitrag. Einen Abfluss von Coins über ein anderswo gekauftes Gerät hat der Hersteller also nicht bestätigt.
Ledger sucht die undichte Stelle in der Lieferkette
Offen ist vor allem, wo die Geräte präpariert wurden, und genau das soll die Untersuchung klären: “The investigation is ongoing to determine who tampered with these devices and where in the distribution chain it happened”, schreibt Ledger, gesucht werden also die Täter und die Stelle in der Vertriebskette.
Der Fall hat sich in fünf Tagen von einem einzelnen Händler auf eine ganze Region ausgeweitet. Am 9. Oktober wurde bekannt, dass Ledger Diebstähle bei Kunden von CryptoBilis untersucht. Am Tag darauf bestätigte das Unternehmen ein Implantat im Gerät eines Opfers, ein Bauteil, das nach späteren Angaben des Donjon die Wiederherstellungsphrase mitliest und per Mobilfunk verschickt. Am Dienstag nahm MediaMarktSaturn sämtliche Ledger-Produkte aus dem Angebot, nachdem ein Käufer zwei verdächtige Geräte aus zwei Filialen gemeldet hatte.
Die Geräte, die Ledger erreichen, untersucht nun das hauseigene Sicherheitsteam Donjon. Betroffene verweist Ledger an seinen Kundendienst über den offiziellen Kanal support.ledger.com.
Ledger sieht den eigenen Shop nicht betroffen
“We have no indication that Ledger’s infrastructure, systems or services or direct sales channel have been compromised”, schreibt das Unternehmen. Nach eigener Darstellung gibt es also keinen Hinweis darauf, dass die eigene Technik oder der Direktverkauf über ledger.com betroffen sind.
Für Käufer in Deutschland, Österreich und der Schweiz ändert der Schritt zunächst wenig. Der Händlerstopp gilt ausdrücklich nur für die sieben genannten Märkte; ob MediaMarktSaturn Ledger wieder ins Sortiment nimmt, ist nicht bekannt. Wie uneinheitlich die Branche reagiert, zeigt Trezor: Der Konkurrent hat sein Händlernetz vorsorglich verkleinert, ohne manipulierte eigene Geräte zu melden. Wie viele Geräte betroffen sind und wie viel Geld fehlt, sagt Ledger weiterhin nicht.
Am Donnerstag lädt Ledger in Paris zu seiner Hausveranstaltung Op3n, und erst dort zeigt sich, ob das Donjon bis dahin mehr vorzulegen hat als ein Update auf X.
Bitcoin und Ether lassen sich bei Bitpanda auch ohne eigene Hardware-Wallet kaufen und in der Verwahrung der Plattform halten. Welche Börsen eine Auszahlung auf ein eigenes Gerät erlauben und was sie dafür berechnen, zeigt der Krypto-Börsen Vergleich.
