// Inhalt
Dieser Artikel enthält Affiliate-Links: Wenn Sie sich darüber anmelden, erhält FUTURMAG möglicherweise eine Provision, ohne dass Ihnen Mehrkosten entstehen. Redaktionelle Richtlinien
Am 9. Oktober 2026 verschwanden von drei Bitcoin-Adressen auf einen Schlag fast 5 Millionen Dollar. Das Geld lag auf Ledger -Hardware-Wallets, Geräten, die nur einen Zweck haben: Krypto-Schlüssel vom Internet fernzuhalten. Abgeflossen ist es höchstwahrscheinlich über eine SIM-Karte, die jemand im Gehäuse versteckt hatte.
Das Seltsamste ist nicht die Summe. Der Besitzer des Geldes war selbst ein Betrüger. Die Blockchain-Analysefirma Chainalysis bezeichnete ihn als eines der größten Opfer der Diebstahlwelle und verfolgte zurück, woher seine 60 Bitcoin stammten. Er hatte Leute dafür bezahlt, gefälschte Bewertungen zu schreiben, und verlangte dann eine Gebühr, bevor er auszahlte, was sie verdient hatten. Am 22. September schob er die Einnahmen auf drei Ledger-Adressen. Am 9. Oktober holte sie sich jemand anderes.
Wo der Betrüger seine Geräte gekauft hat, sagt Chainalysis nicht. Aber noch am selben Tag eröffnete Ledger eine Untersuchung zu Verlusten, die Käufer in Südostasien gemeldet hatten. Am 10. Oktober bestätigte das Unternehmen, dass in der Wallet eines Opfers ein fremdes Implantat steckte, und am 13. erklärte es genau, was es gefunden hatte: einen zusätzlichen Mikrocontroller und ein Mobilfunkmodem mit eSIM, einer SIM-Karte, die direkt auf die Platine gelötet ist. Ein Gerät, das offline leben sollte, ging heimlich online und schickte seine eigenen Schlüssel hinaus.
Vierundzwanzig Wörter auf einem Display
Eine Hardware-Wallet sieht aus wie ein USB-Stick mit winzigem Display und ein paar Tasten. Im Inneren sitzt ein sicherer Chip, der den geheimen Schlüssel speichert und Überweisungen selbst signiert. Laptop oder Handy reichen ihm nur eine vorbereitete Transaktion hin und bekommen sie signiert zurück. Der Schlüssel verlässt den Chip nie, Schadsoftware auf dem Laptop kommt also nicht an ihn heran.
Das Verfahren hat einen Notausgang, ohne den es nicht auskommt. Wallets gehen verloren oder zu Bruch. Für diesen Fall zeigt das Gerät bei der Ersteinrichtung 24 Wörter auf dem Display, und der Besitzer schreibt sie auf Papier ab.
Das Hauptgeheimnis einer Wallet liegt nur in seltenen Momenten im Klartext vor. Am häufigsten bei der Ersteinrichtung, wenn die Wörter auf dem Display erscheinen, seltener bei der Wiederherstellung, wenn man sie wieder eintippt. Der Angriff ist um den ersten dieser Momente herum gebaut.
Ein Handy in der Wallet
Am 13. Oktober beschrieb Ledgers Sicherheitsteam Ledger Donjon, wie das Implantat funktioniert. Ein Mikrocontroller im Gehäuse beobachtet, was auf dem Display erscheint, entziffert die Seed-Wörter und sendet sie per LTE, also über ganz gewöhnliches mobiles Internet wie beim Handy. Den sicheren Chip und die Firmware lässt er in Ruhe und verändert weder Transaktionen noch Signaturen. Die Wallet merkt nichts. Sie bewacht weiter brav ihren Schlüssel, während die 24 Wörter, mit denen sich dieser Schlüssel nachbauen lässt, längst in fremden Händen sind.
Deshalb nützt die offizielle Echtheitsprüfung hier nichts. Laut Ledger kann die Funktion Genuine Check zusätzlich verbaute Bauteile nicht erkennen, solange der originale sichere Chip an seinem Platz sitzt. Sie prüft den Chip. Nicht seine Nachbarn.
Hobbybastler waren das nicht. In der ersten Variante fanden Forscher von Tibane Labs einen STM32-Mikrocontroller, eine eSIM von 2 mal 2 Millimetern und ein abgeschirmtes Funkmodul. Um Platz zu schaffen, war der Originalakku gegen einen kleineren getauscht worden, der Wallet und „Spion“ gemeinsam versorgte. In der zweiten Variante waren die Aufdrucke auf den Chips abgeschliffen, und die Platine steckte unter dem Display, dort, wo normalerweise ein Schaumstoffpolster sitzt. Es war eine flexible Platine aus Serienfertigung, wie in einer Fabrik, nicht etwas, das jemand von Hand am Küchentisch zusammengelötet hat.
Ein Laden mit dem richtigen Schild an der Tür
Ledger führt jeden bestätigten Verlust auf einen einzigen Verkäufer zurück, CryptoBilis, einen malaysischen Händler. Das war kein zufälliger Flohmarkt-Wiederverkäufer: Am 9. Oktober war er als offizieller Ledger-Händler in Indonesien, Malaysia und auf den Philippinen gelistet. Wer die Kartons wann und wo geöffnet hat, auf dem Weg aus der Fabrik oder in einem Lager, hat die Untersuchung noch nicht geklärt.
Die Geschichte blieb aber nicht auf Asien beschränkt. In Deutschland kaufte ein ganz normaler Kunde eine Wallet bei MediaMarkt, einer großen Elektronikkette, und fand darin einen „Spion“. Er verlor kein Geld, und die Kette nahm Ledger aus ihren Läden und aus dem Onlineshop. Mark Karpelès, der frühere Chef der Börse Mt. Gox, schrieb, er habe in einem Ledger Flex, gekauft in einem Geschäft am Flughafen Singapur, ein Implantat entdeckt, auch wenn Ledger keinen Zusammenhang zwischen diesem Gerät und CryptoBilis bestätigte. Ledger selbst bat Händler in sechs südostasiatischen Ländern und in Hongkong, die Wallets aus dem Verkauf zu nehmen , bis die Prüfungen abgeschlossen sind.
Wie viel insgesamt gestohlen wurde, weiß niemand. Nach der Zählung der Forscher, die unter den Namen tanuki42 und Specter auftreten, flossen zwischen 72 Millionen und mehr als 86 Millionen Dollar an verdächtige Adressen. Ledger betont, diese Zahlen stammten von Dritten und seien nicht überprüft. Tether gibt digitale Dollar aus, sogenannte Stablecoins, und kann die eigenen Coins auf fremden Adressen einfrieren. Das Unternehmen fror Werte von 10 Millionen Dollar ein, die mit dem Diebstahl zusammenhängen. Bislang ist das die einzige genannte Summe, die unterwegs aufgehalten werden konnte.
Ein Schlüssel, der sich nicht ändern lässt
Bei Ledger übersah die Echtheitsprüfung eine zusätzliche Platine. Bei Keystone, einem anderen Hersteller von Hardware-Wallets, stahlen Diebe den Schlüssel, auf dem eine solche Prüfung selbst beruht. Am 20. Oktober gelangte ein Angreifer über eine Schwachstelle in einem Datenüberwachungswerkzeug eines Drittanbieters auf die Website des Unternehmens. Keystone teilte mit , dass Daten von fast 26.000 Käufern aus den Jahren 2024 bis 2026 offengelegt wurden: Namen, Kontaktdaten, Lieferadressen und Bestellinhalte. Seed-Phrasen und Wallet-Schlüssel seien nach Angaben des Unternehmens nicht betroffen.
Eine Liste mit den Wohnadressen von Menschen, die ein Gerät zur Aufbewahrung von Krypto gekauft haben, ist schon für sich gefährlich. In Frankreich tauchen Räuber bereits bei solchen Leuten zu Hause auf, und ihre Hinweise holen sie sich genau aus solchen geleakten Datenbanken. Manche der Einträge hätte es gar nicht mehr geben dürfen. Nach Keystones eigener Richtlinie sollten sie nach 180 Tagen gelöscht werden, doch das automatische Löschwerkzeug fiel aus. Niemand bemerkte es. „Wir haben unsere Zusage, Kundendaten rechtzeitig zu löschen, nicht erfüllt und übernehmen die Verantwortung für dieses Versäumnis“, schrieb das Unternehmen.
Der zweite Verlust wiegt schwerer. Der Angreifer nahm auch einen Schlüssel mit, der werkseitig in jedes Gerät eingebaut wird, damit es sich bei einer Online-Prüfung als echt ausweisen kann. Dieser Schlüssel lässt sich in bereits produzierten Wallets nicht ändern. Das heißt: Eine Fälschung, die ihn trägt, würde genau die Prüfung bestehen, die sie entlarven soll.
Keystone beschloss, 18.835 unverkaufte Geräte zu vernichten, setzte Lieferungen aus und stellte den Webshop auf Vorbestellungen um. Wallets, die vor dem 20. Oktober geliefert wurden, könne man weiter benutzen, wenn sie die Authentifizierung bestehen, so das Unternehmen. Wer nach diesem Datum eine Wallet erhalten hat, sollte sie zunächst genauer prüfen lassen. Keystone warnt außerdem, es werde Kunden nie per Nachricht auffordern, ein Gerät zurückzuschicken oder Gelder zu übertragen: Solche Nachrichten stammen von Betrügern.
Eine Kette, der man vertrauen muss
Die Hersteller reagieren unterschiedlich. Trezor fand keine manipulierten eigenen Geräte, verkleinert aber ab dem 1. Januar 2027 sein Händlernetz, und einige Shops verlieren das Recht, seine Wallets zu verkaufen. OneKey trennte sich von CryptoBilis als Partner und tauscht eigene Wallets, die dort zwischen dem 1. März und dem 13. Oktober 2026 gekauft wurden, kostenlos aus.
Ledger rät, CryptoBilis-Geräte gar nicht erst einzurichten. Wer es schon getan hat, sollte seine Gelder auf eine neue Wallet mit neuer Seed-Phrase übertragen und die alten Wörter nie auf einem verdächtigen Gerät eingeben. Ledger sagt, die eigenen Server und der Direktvertrieb seien nicht kompromittiert worden, und bisher widerspricht dem nichts. Daraus folgt die praktischste Lehre: Am sichersten kauft man direkt beim Hersteller und richtet nie eine Wallet unklarer Herkunft ein.
Vieles ist noch unbekannt. Die Zahl der Opfer wurde nicht genannt, und wer die Platinen gelötet hat, ist nicht gefunden. Auch ist unklar, wie weit sich die manipulierten Geräte über einen Verkäufer hinaus verbreitet haben.
Changpeng Zhao, Mitgründer von Binance, schrieb am Tag der ersten Meldungen, dass die Selbstverwahrung zusätzliche Verantwortung mit sich bringe. Doch die CryptoBilis-Kunden hatten ihre Wallets bei einem offiziellen Händler gekauft, und keine Sorgfalt der Welt hätte ihnen erlaubt, eine unter dem Display versteckte Platine zu bemerken.
Die Hardware-Wallet versprach ihrem Besitzer, dass er einer Börse oder Bank nicht mehr vertrauen muss. Der Oktober hat gezeigt: Das Vertrauen ist nicht verschwunden, sondern nur umgezogen. Jetzt muss man der Fabrik vertrauen, dem Lager, dem Laden und dem Kurier, der den Karton schon in der Hand hatte, bevor Sie es taten.
