Die Affäre um die manipulierten Ledger-Geräte, die in Südostasien verkauft wurden, hat nun ihre Fortsetzung per E-Mail. Laut Journal du Coin lockt eine Phishing-Kampagne verunsicherte Nutzerinnen und Nutzer zu einem gefälschten «Firmware-Update». Die Seite imitiert die Echtheitsprüfung von Ledger und verlangt anschliessend die Wiederherstellungsphrase. Die Warnung stammt von SlowMist, dem Sicherheitsunternehmen, das bereits das Muster der ersten Implantate bestätigt hatte. Die Kernbotschaft ist einfach: Über eine Website wird nichts aktualisiert.

Das Szenario des gefälschten Ledger-Updates

Die E-Mail ist mit «The Ledger Team» unterzeichnet. Sie kündigt einen Firmware-Patch gegen in Malaysia entdeckte «Spyware-Bedrohungen» an und nennt fünf betroffene Geräte: Nano S Plus, Nano X, Flex, Stax und Nano Gen5. Der Button «Update Now» führt auf eine Seite, die den «Genuine check» nachbildet, den Ledger in seiner App durchführt. Der Nutzer wählt sein Modell aus, danach wird er nach seinen 24 Wörtern gefragt, um das Gerät «wiederherzustellen» oder zu «synchronisieren».

An diesem Punkt ist das Spiel verloren. Wie Journal du Coin in Erinnerung ruft, kann wer die Wiederherstellungsphrase besitzt, das Wallet auf jedem beliebigen Gerät neu erstellen und es leeren, ohne den Ledger je anzurühren. Das letzte Woche entdeckte Hardware-Implantat zielte genau auf dieses Ergebnis ab: Es las die 24 Wörter während der Einrichtung vom Bildschirm ab. Das Phishing erreicht dasselbe ohne Chip, indem es auf die Angst setzt. Die von den Betrügern verwendeten Domains waren zum Zeitpunkt der Warnung nicht öffentlich bekannt.

Eine bereits schwerwiegende Affäre

Der Kontext erklärt, warum die Falle so wirksam ist. Seit dem 9. Oktober haben Hunderte Besitzer von Ledger-Geräten, die bei CryptoBilis gekauft wurden, einem autorisierten Händler in Indonesien, Malaysia und auf den Philippinen, ihre Kryptowährungen verloren. Bitquery zählt 102 Millionen Dollar, die aus 324 Wallets auf sechs Blockchains abgezogen wurden – eine per 15. Oktober überprüfte Zahl, die Ledger weder bestätigt noch bestritten hat. Chainalysis stellte sogar fest, dass eines der grössten Opfer selbst ein Betrüger war, der um mehr als 60 Bitcoin erleichtert wurde, also rund 4,8 Millionen Dollar.

Ledger spricht von einer «hochorganisierten kriminellen Gruppe», die echte Geräte geöffnet hat, um Komponenten einzubauen, bevor sie über Händler in Südostasien wieder in Umlauf gebracht wurden. Der Hersteller betont, dass Chip, Betriebssystem und Server unversehrt geblieben sind: «Es war ein lokal begrenzter Angriff auf den Vertrieb», schreibt das Unternehmen.

Warum eine Wiederherstellungsphrase nie online eingegeben wird

Die Empfehlungen von Ledger, die Journal du Coin wiedergibt, lassen sich auf wenige Regeln reduzieren. Ein Firmware-Update erfolgt ausschliesslich in der App Ledger Wallet (dem früheren Ledger Live), und jeder Schritt wird auf dem Bildschirm des Geräts bestätigt. Ledger verschickt keine E-Mails, in denen ein Update verlangt wird. Die 24 Wörter werden nur auf dem Gerät selbst eingegeben, nie auf einem Computer, einem Telefon oder einer Webseite, und der Support fragt nie danach.

Ledger kontaktiert niemanden per SMS, WhatsApp, Telegram, Telefonanruf oder Briefpost. Die einzigen legitimen Domains sind ledger.com, ledger.fr, ledgerwallet.com und ledger.zendesk.com: Vorsicht vor Varianten wie «legder» oder «leqder». Auf dem Gerät darf man nie eine Transaktion bestätigen, die man nicht selbst ausgelöst hat. Schliesslich kann ein Ledger nicht aus der Ferne deaktiviert werden, weshalb jede Drohung mit einer Sperre «mangels Überprüfung» Betrug ist. SlowMist fasst die Abwehr zusammen: nie auf einen Link klicken, um ein Update durchzuführen, nie seine Wiederherstellungsphrase irgendwo eingeben.

Das eigene Gerät überprüfen und über einen offiziellen Kanal kaufen

Die Echtheit eines Geräts wird in der offiziellen App überprüft, nicht auf einer per E-Mail erhaltenen Seite. Ledger empfiehlt, Ledger Wallet ausschliesslich über shop.ledger.com herunterzuladen und private Nachrichten in den sozialen Netzwerken zu ignorieren. Gefälschte Konten lassen sich bei @ledgerprotect auf X melden.

Beim Kauf empfiehlt sich ein offizieller Kanal. Laut Ledger haben die Kontrollen in Geschäften und Lagern in Europa kein manipuliertes Gerät zutage gefördert. Der Hersteller hat den Verkauf bei seinen autorisierten Händlern in Südostasien und Hongkong ausgesetzt, den Weiterverkauf zurückgegebener Geräte verboten und verlangt, dass der Bestand bis zum Kauf unter Verschluss bleibt.

Bei einem Gerät, das bei CryptoBilis oder einem anderen Händler der Region gekauft wurde, rät Ledger, es nicht einzurichten, solange es noch originalverpackt ist. Ist es bereits in Betrieb, lautet die Empfehlung, auf einem einwandfreien Gerät ein neues Wallet mit einer neuen Wiederherstellungsphrase zu erstellen, die Guthaben dorthin zu übertragen und dann den Support ausschliesslich über den Chat auf support.ledger.com zu kontaktieren. Dieselbe Regel gilt für alle, die ihre 24 Wörter bereits auf einer verdächtigen Seite eingegeben haben: Das Wallet ist als kompromittiert zu betrachten.

Die Antwort auf Produktebene folgt später. Der für 849 Euro vorgestellte Ledger Atom wird das Öffnen seines Gehäuses erkennen, kommt aber erst im Sommer 2027 auf den Markt. Bis dahin beruht der Schutz auf einer einzigen Regel: Die 24 Wörter verlassen nie das Gerät.

Quellen

  • Journal du Coin: «Ledger : Une attaque phishing exploite l’affaire des implants espions»
  • Journal du Coin: «Ledger piégés : un escroc perd 60 bitcoins»