MediaMarktSaturn hat alle Ledger-Produkte aus seinen Märkten und Onlineshops genommen, nachdem ein Käufer zwei präparierte Geräte aus zwei Filialen gemeldet hat. Ledger selbst hat bislang keinen Diebstahl mit einem Gerät bestätigt, das nicht vom südostasiatischen Händler CryptoBilis stammt, prüft aber nach eigenen Angaben Berichte über Implantate an anderen Orten.
Ein Sprecher des Konzerns schrieb dem Fachmedium Cointelegraph am Dienstag, MediaMarktSaturn “has removed all of the manufacturer’s products from its stores and online platforms”, habe also sämtliche Produkte des Herstellers aus Märkten und Onlineplattformen entfernt. “We take this incident very seriously”, hieß es weiter. Für welche der Länder das gilt, in denen die Kette Märkte betreibt, ließ der Sprecher offen.
Im deutschen Onlineshop ist das am Dienstagmittag zu sehen: Die Suche nach Ledger liefert dort nur noch eine Nano Gen5 für 179 Euro, versehen mit dem Hinweis, Lieferung und Abholung im Markt seien nicht möglich.
Ein Käufer findet im zweiten Gerät dasselbe Funkmodul
Ausgelöst hat den Schritt ein Nutzer, der sich auf X Johannes nennt und am Sonntag ein manipuliertes Gerät aus einer MediaMarkt-Filiale gezeigt hatte, über das wir am Montag berichtet haben. Am Montag kaufte er nach eigener Darstellung ein zweites Gerät in einer anderen Filiale, filmte das Auspacken und fand wieder zusätzliche Kabel und ein LTE-Modul.
“I can confirm that the Ledger supply chain is compromised in Europe as well”, schrieb er in einem Update auf X: Die Lieferkette sei auch in Europa kompromittiert, Ledger solle die Geräte zurückrufen. Ein Mitarbeiter des Markts habe ihm bestätigt, dass es sich nicht um eine Rückgabe gehandelt habe, weil zurückgegebene Ledger direkt an den Hersteller gingen. Die Ware stamme laut den Unterlagen der Filiale vom Großhändler Aqipa GmbH.
Unabhängig geprüft ist keines der beiden Geräte: Das erste hat Johannes nach eigenen Angaben an den früheren Mt.-Gox-Chef Mark Karpelès geschickt, das zweite an Ledger.
Ledger beschreibt erstmals, wie das Implantat arbeitet
Ledger hat am Dienstag um 8:39 Uhr MESZ ein Update seines Sicherheitsteams Donjon veröffentlicht. Danach sitzt das Implantat im Gehäuse und liest mit, was auf dem Bildschirm steht. Zeigt das Gerät bei der Einrichtung die 24 Wörter der Wiederherstellungsphrase, entschlüsselt ein Mikrocontroller die Wörter und schickt sie über LTE mit einer vorab eingerichteten eSIM ab. Das Secure Element, den geschützten Chip mit den Schlüsseln, und das Betriebssystem verändere das Bauteil nicht.
Zu Europa bleibt Ledger zurückhaltend: “We have not verified a drain linked to a signer bought elsewhere.” Einen Abfluss mit einem anderswo gekauften Gerät hat das Unternehmen also noch nicht bestätigt. Zugleich schreibt es, man prüfe “reports of implants in other signers and locations”, also Berichte über Implantate in weiteren Geräten und an weiteren Orten.
Wie viele Kunden betroffen sind und wie viel Geld fehlt, nennt Ledger weiterhin nicht. Die im Netz kursierenden Zahlen stammten von Dritten. On-Chain-Analysten schätzen nach Angaben von CoinDesk bis zu 93,2 Millionen Dollar aus mehr als 300 Wallets; Tether hatte bereits 10 Millionen Dollar der Beute gesperrt.
Ledger gibt nur Kunden von CryptoBilis eine klare Anweisung
Wer bei CryptoBilis gekauft hat, soll ein unbenutztes Gerät nicht einrichten und Guthaben von einem eingerichteten Gerät auf ein neues mit neuer Wiederherstellungsphrase umziehen; für alle anderen verweist Ledger auf eine Anleitung, mit der sich das Gehäuse öffnen und von innen prüfen lässt, warnt aber, dass das Gerät dabei Schaden nehmen kann und die Phrase vorher gesichert sein muss.
Für Käufer in Deutschland und Österreich, wo Elektronikmärkte zu den üblichen Bezugswegen gehören, bleibt damit eine unbequeme Lage: Der größte Händler nimmt die Ware zurück, der Hersteller hat den Fall noch nicht bestätigt. Welche anderen Hardware-Wallets es gibt, zeigt unser Krypto-Wallet-Vergleich.
Die beiden Geräte von Johannes liegen inzwischen bei Karpelès und bei Ledger, und an ihnen hängt, ob aus den Berichten ein bestätigter Fall in Europa wird.
Wer neue Coins bis zur Klärung nicht auf ein Gerät aus dem Handel laden möchte, kann Bitcoin und Ether bei Bitpanda kaufen und dort verwahren lassen. Was die Börsen bei Verwahrung und Auszahlung auf eine eigene Wallet unterscheidet, steht im Krypto-Börsen Vergleich.
