Wer pflanzt Backdoors in Ledger-Krypto-Wallets?
Who Is Planting Backdoors in Ledger Crypto Wallets?
Nachdem Ledger eingeräumt hatte, dass in einigen in Südostasien verkauften Wallets ein Backdoor steckte, mit dem Diebe rund 102 Millionen Dollar erbeuteten, melden Nutzer in Deutschland weitere manipulierte Geräte – gekauft bei der Kette MediaMarkt. Auch in Ledger Flex und Stax wurden Implantate gefunden. Die Angreifer haben ihre Taktik geändert und zielen nun auf autorisierte Händler, um das Vertrauen der Kunden auszunutzen.
Aber die jüngsten Kompromittierungen deuten darauf hin, dass Angreifer gezielt autorisierte Verkäufer ins Visier nehmen, um das Vertrauen der Kunden in sie auszunutzen und den implantierten Geräten eine größere Verbreitung zu verschaffen.
- acstapleton
Wenn man sich die Bilder hier ansieht, gibt es hier null Sicherheitsbemühungen seitens des Ledger-Teams. Sie verwenden einen MCU (ST MCU mit Cortex M4-Kern), der keine nennenswerten Sicherheitsfunktionen hat (d.h. kein Secure Boot, keine Unterscheidung zwischen Trusted- und User-Mode-Betrieb – Funktionen, die der neuere Cortex M33-Kern unterstützt und neuere ST-Teile implementieren). Es gibt also keine Möglichkeit zu garantieren, dass die darauf laufende Software nicht manipuliert wurde.
Es gibt auch keine physische Manipulationserkennung. Keine Tamper-Pads, um das Öffnen des Gehäuses zu erkennen, kein Siegel, das beim Öffnen bricht und den Betrieb verhindert. Wie andere bereits erwähnt haben, wäre die einfachste Vorsichtsmaßnahme, das Ganze zusammenzukleben, was sie auch nicht getan haben.
Ledger mit der Sicherung von irgendetwas Geheimem zu vertrauen, wäre eine sehr schlechte Idee.
- lxgr
Traurig zu sehen, wie viele Leute mit scheinbar null Hintergrund in Hardware-Sicherheit bequem ein Expertenurteil über diesen Angriff abgeben, offenbar ohne sich entweder mit dem Sicherheitsmodell der angegriffenen Plattform zu befassen (es ist öffentlich und meiner Meinung nach lesenswert [1]) oder mit der Raffinesse des Angriffs selbst.
Ledgers Fehler hier war einzig und allein die Annahme, dass es unmöglich sei, Hardware für Langstreckenkommunikation (oder in diesem Fall sogar globale) in den winzigen Platz ihres Gerätegehäuses zu packen. Ich bin nicht in ihrer Branche, aber ich hätte ehrlich gesagt bis diese Woche dasselbe vermutet.
[1] https://www.ledger.com/ledger-nano-x-bluetooth-security-mode...
- Trustable8
Ich habe gerade ein Ledger geöffnet, es ist dumm einfach. Warum machen sie daraus kein versiegeltes Gerät und kleben es zusammen, um es unmöglich zu machen, es ohne Beschädigung zu öffnen? Und warum kleben sie nicht die gesamte Platine? Die ganze Platine ist mit Testpads bedeckt, die es super einfach machen, zwielichtige Sachen darauf zu löten.
- thecybertracker
Fangen wir mit einem ganz einfachen Hash an. Das Gewicht des Geräts auf Milligramm genau. Und nehmen wir an, wenn das Gewicht nicht übereinstimmt, wurde es manipuliert.
- sorenjan
Sollte es nicht möglich sein, nachzuverfolgen, wer die eSIM gekauft hat, wohin die Daten gesendet werden und wem die Wallets gehören, auf die die gestohlenen Kryptowährungen transferiert werden?
- tristor
Der Mangel an Sicherheit bei diesen Geräten ist schockierend für jemanden, der im Bereich Hardware-Sicherheit gearbeitet hat, aber ich schätze, es sollte nicht überraschen, dass dies wie alles andere im Zusammenhang mit Krypto eine Art aufwändiger Betrug ist, der von Nicht-Experten und böswilligen Akteuren durchgeführt wird.
- ricardobeat
Die Idee einer Hardware-Wallet kam mir von Anfang an falsch vor.
Warum sollte man irgendeiner zufälligen Hardware vertrauen, deren einziger Zweck es ist, dein Geld zu halten, was sie zu einem offensichtlichen Ziel macht, statt einem Allzweckcomputer, den du vollständig kontrollierst?
- tamimio
Diese Angriffe sind leicht durchzuführen, weil viele Leute annehmen, dass neue Hardware in Luftpolsterfolie sicher ist und nicht verändert wurde. Es gibt viele Geschichten, dass Geheimdienste die Hardware verwanzen, nachdem du sie bestellt hast, insbesondere online, und nein, das sind keine Aluhut-Gedanken, sie machen es aktiv, auch in Europa, also kaufe dein Gerät immer zufällig in einem lokalen Laden und hole es sofort ab, oder kaufe es gebraucht, noch besser: Wenn du etwas Elektronikwissen hast, überprüfe es selbst.