Ledger hat Berichte über eine angeblich weiterhin bestehende Schwachstelle in seiner Ethereum-App zurückgewiesen. CTO Charles Guillemet, seines Zeichens Chief Technical Officer bei Ledger, führt aus, dass der zugrunde liegende Fehler bereits vor rund zwei Wochen behoben wurde.

Betroffen waren laut Guillemet bestimmte Abläufe beim sogenannten Clear Signing. Diese Funktion soll Nutzern auf dem Hardware-Wallet verständlich anzeigen, welche Transaktion sie tatsächlich freigeben. Ein Fehler in diesem Prozess kann entsprechend sensibel sein, weil die Anzeige auf dem Gerät ein wesentlicher Teil des Sicherheitsmodells von Hardware-Wallets ist.

Tipp der Redaktion: Bitcoin zu früh verkauft? Frank Thelen reagiert auf Kritik aus der Community

Ledger zufolge wurde das Problem vom internen Sicherheitsteam Donjon entdeckt. Das Team habe dabei eine KI-gestützte Umgebung zur Suche nach Schwachstellen eingesetzt. Nutzer, die Firmware und installierte Ledger-Apps auf dem aktuellen Stand halten, seien durch den bereits ausgelieferten Fix geschützt:

“Wenn Sie Ihre Ledger-Apps auf dem neuesten Stand halten, sind Sie geschützt. Das ist alles.”

Streit über Zeitpunkt und Offenlegung

Wie in der Vergangenheit bereits des Öfteren passiert, dreht sich die aktuelle Diskussion weniger um die Existenz des Fehlers als um dessen Veröffentlichung. Ledger beschreibt, dass ein Sicherheitsunternehmen mit Fokus auf Smart Contracts die Sicherheitslücke entdeckt und Ledger daraufhin kontaktiert habe.

Laut Ledger war die Sicherheitslücke bereits bekannt und mit einem bereits veröffentlichten Update auch behoben. Deswegen sei es laut Guillemet auch irreführend, zu behaupten, dass es eine große Sicherheitslücke gegeben habe.

Einige Nutzer aus der Community haben die mögliche Schwachstelle hingegen als massives Sicherheitsrisiko dargestellt.

KI beschleunigt die Suche nach Wallet-Schwachstellen, erhöht aber auch das Risiko für Nutzer

Die künstliche Intelligenz ist Fluch und Segen zugleich. Zwar können Schwachstellen in der Software oder anderen Sicherheitsbereichen schneller erkannt werden. Jedoch steigt auch die Gefahr, dass Hacker KI nutzen, um in Wallets einzudringen und das Vermögen abzuziehen.

Guillemet sieht in KI jedoch einen starken Vorteil für Ledger:

“Hier kommt der unbequeme Teil: KI verändert die Sicherheitslandschaft für alle – für Verteidiger genauso wie für Angreifer.

@DonjonLedger ist genau hier führend: KI wird eingesetzt, um echte Schwachstellen zu finden, bevor sie Nutzer erreichen.

Aber Forschung im KI-Tempo macht das Ökosystem nur dann sicherer, wenn die Menschen dahinter weiterhin grundlegende Sicherheitsprinzipien einhalten: Verantwortungsbewusst offenlegen. Vor der Veröffentlichung verifizieren.”

Da sich die Vorfälle in den letzten Wochen häufen, haben wir für euch die wichtigsten Tipps im Umgang mit Hardware-Wallets zusammengefasst:

  • Bewahre deine Seed Phrase niemals digital auf, sondern ausschließlich offline, zum Beispiel auf Papier oder einer Metallplatte.
  • Gib deine Seed Phrase niemals an andere Personen, Webseiten, Apps oder Support-Mitarbeiter weiter, denn wer sie kennt, kann deine Wallet vollständig übernehmen.
  • Überprüfe bei jeder Transaktion die Empfängeradresse und den Betrag direkt auf dem Display der Hardware-Wallet, nicht nur auf dem Computer oder Smartphone.
  • Kaufe eine Hardware-Wallet möglichst direkt beim Hersteller oder bei einem autorisierten Händler, um manipulierte Geräte zu vermeiden.
  • Verwende eine starke PIN und bewahre sie getrennt von deiner Seed Phrase auf.
  • Installiere Firmware und Wallet-Software nur aus offiziellen Quellen und prüfe sorgfältig, ob du wirklich auf der richtigen Webseite bist.
  • Unterschreibe keine Transaktion, die du nicht vollständig verstehst, insbesondere bei DeFi-Anwendungen, Smart Contracts oder unbekannten Token.
  • Erstelle mindestens ein sicheres Backup deiner Seed Phrase und lagere Backups an getrennten, geschützten Orten.
  • Teste nach der Einrichtung zunächst mit einem kleinen Betrag, ob Empfangen, Senden und gegebenenfalls die Wiederherstellung der Wallet funktionieren.
  • Eine zusätzliche Passphrase kann die Sicherheit erhöhen, muss aber ebenfalls zuverlässig gesichert werden, da verlorene Passphrasen nicht wiederhergestellt werden können.
  • Behandle deinen Computer und dein Smartphone grundsätzlich als potenziell kompromittiert und vertraue bei sicherheitskritischen Informationen dem Display deiner Hardware-Wallet.
  • Plane auch den Notfall und deine Nachlassregelung, damit deine Kryptowährungen bei Verlust, Unfall oder Tod nicht dauerhaft unzugänglich werden.

Zuletzt wurde auch bei Trezor bekannt, dass mehr als 11.000 Kundendaten von einem Hacker gestohlen werden konnten.

Lesetipp: Analyst: Anleiherückkäufe können Bitcoin-Kurs auf 180.000 USD treiben

Der größte Hack der letzten Monate wurde beim kanadischen Hersteller Coldcard entdeckt. Hierbei gelang es Angreifern, mehr als 1.690 Bitcoin im Wert von über 130 Millionen USD zu erbeuten.