Öffentlicher Streit zwischen Ledger und Mt. Gox
Pascal Gauthier, CEO von Ledger, hat sich öffentlich mit Mark Karpelès, dem ehemaligen CEO von Mt. Gox, über die Warnungen zu modifizierten Hardware-Wallets gestritten, die mit geschätzten 90 Millionen Dollar an Kryptowährungsdiebstählen in Verbindung stehen. In einem Austausch am 17. Oktober auf der Plattform X stellte Karpelès in Frage, ob Ledger die Gefahren durch ausgeklügelte Spionage-Implantate ausreichend kommuniziert hatte, bevor Kunden Verluste bei Geräten meldeten, die über den südostasiatischen Wiederverkäufer CryptoBilis verkauft wurden. Gauthier verteidigte die Sicherheitsmaßnahmen von Ledger und stellte die Kritik des ehemaligen Börsenleiters in Frage.
Die Entdeckung unautorisierter Komponenten
Der Streit folgte der Entdeckung unautorisierter Elektronikkomponenten in einem echten Ledger-Gerät. Ermittler fanden heraus, dass die zusätzliche Hardware während der Einrichtung die 24-Wörter-Wiederherstellungsphrase eines Wallets erfassen und über eine Mobilfunkverbindung übertragen konnte. Schätzungen zufolge belaufen sich die vermuteten Verluste auf über 90 Millionen Dollar. Ledger hat diese Zahl jedoch nicht als endgültige verifizierte Summe festgelegt, und Karpelès‘ Behauptung, dass frühere Warnungen diese Verluste hätten verhindern können, bleibt unbewiesen.
Diskussion über Sicherheitskommunikation
Die Meinungsverschiedenheit begann, als Karpelès die frühere Kommunikation von Ledger über physische Modifikationen seiner Hardware-Wallets in Frage stellte. In einem Beitrag am 17. Oktober korrigierte er eine frühere Behauptung, dass Ledger solche Implantate vor dem neuesten Vorfall nicht besprochen habe. Karpelès räumte ein, dass das Unternehmen im März einen Sicherheitsartikel veröffentlicht hatte, der Risiken im Zusammenhang mit manipulierten Geräten behandelte. Er argumentierte jedoch, dass die Veröffentlichung von Leitlinien in einem Bildungsbereich angesichts der Komplexität der später entdeckten Geräte unzureichend war. Eine prominentere Warnung hätte seiner Meinung nach über 90 Millionen Dollar an Verlusten verhindern können.
Reaktionen und Konfrontationen
Gauthier antwortete, dass das Unternehmen umfangreiche Maßnahmen zum Schutz der Kunden ergreift und dass Außenstehende zwischen etablierten Beweisen und Spekulationen unterscheiden sollten. Der Ledger-CEO erkannte Karpelès‘ Beitrag zur Diskussion an und bat ihn, seine Kommentare auf das zu beschränken, was er belegen könne. Der Austausch wurde konfrontativer, als Gauthier auf Karpelès‘ frühere Leitung der gescheiterten Mt. Gox-Börse verwies.
„Kommend vom Mt. Gox-CEO… Komm schon, Mann. Du bist kein weißer Ritter. Werd realistisch,“
schrieb Gauthier in den veröffentlichten Beiträgen.
Hintergrund zu Mt. Gox
Mt. Gox brach 2014 nach massiven Bitcoin-Verlusten zusammen, was die Gläubiger vor einen langen Rückzahlungsprozess stellte. Karpelès antwortete, dass seine eigene Erfahrung mit einem großen Börsenausfall ein Grund sei, stärkere Sicherheitskommunikation von Unternehmen zu erwarten, die mit Kundenvermögen umgehen. Die öffentliche Meinungsverschiedenheit betrifft Ledgers Reaktion auf die Bedrohung, stellt jedoch nicht fest, dass das Unternehmen absichtlich Informationen über den CryptoBilis-Angriff verborgen hat.
Sicherheitsartikel und dessen Inhalt
Der Sicherheitsartikel, der im Mittelpunkt des Streits steht, trägt den Titel „Best Practices To Securely Buy Your Ledger Signer“. Die Website von Ledger listet den 6. März 2026 als ursprüngliches Veröffentlichungsdatum und den 18. September als letzte Aktualisierung. Die aktuelle Version erklärt mehrere Möglichkeiten, wie Kriminelle mit Hardware-Wallets interferieren können, bevor sie die Kunden erreichen. Sie behandelt gefälschte Geräte, Wallets, die mit vorausgewählten Wiederherstellungsphrasen versendet werden, und echte Geräte, die nach dem Verlassen der Fabrik modifiziert wurden.
Implikationen der Sicherheitsüberprüfung
Ledgers eigene Dokumentation bestätigt eine wichtige Einschränkung seines Geräteauthentifizierungssystems. Der Genuine Check des Unternehmens überprüft die kryptografische Identität des Secure Elements, des geschützten Chips, der für sensible Wallet-Operationen verwendet wird. Während der Einrichtung sendet die Software von Ledger eine Überprüfungsanfrage an das Gerät. Das Secure Element antwortet mit einer einzigartigen kryptografischen Signatur, die mit seinem ursprünglichen Herstellungsprozess verbunden ist. Eine erfolgreiche Antwort bestätigt, dass das Gerät einen authentischen Sicherheitschip enthält. Die Überprüfung untersucht jedoch nicht jede physische Komponente im Wallet oder stellt fest, dass niemand das Gerät nach der Produktion modifiziert hat.
Schlussfolgerung und Empfehlungen
Ledger begann, Beschwerden von Kunden zu untersuchen, die Hardware-Wallets über CryptoBilis, einen Wiederverkäufer, der in Südostasien tätig ist, gekauft hatten. Am 9. Oktober bat das Unternehmen CryptoBilis, den Verkauf und Versand auszusetzen, während Ermittler Berichte über fehlende Kryptowährungen untersuchten. Kunden, die innerhalb der letzten 90 Tage Geräte von dem Wiederverkäufer gekauft hatten, wurden geraten, ungenutzte Wallets nicht zu initialisieren. Ledger empfahl betroffenen Kunden, die ihre Geräte bereits eingerichtet hatten, ihre Mittel auf ein Wallet zu übertragen, das mit einer neuen Wiederherstellungsphrase auf einem vertrauenswürdigen Gerät generiert wurde.
Die Untersuchung bestätigte anschließend, dass mindestens ein untersuchtes Wallet unautorisierte Elektronik enthielt, die in der Lage war, Wiederherstellungsinformationen zu sammeln. Die gemeldete Diebstahlsumme variierte in unabhängigen Schätzungen, während Ermittler potenziell verbundene Adressen und Transaktionen identifizierten. Ledger empfiehlt, direkt beim Unternehmen oder über autorisierte Verkäufer zu kaufen, sichtbare Manipulationen zu überprüfen und die Authentifizierung über offizielle Software abzuschließen.
