Ein brasilianischer Sicherheitsforscher hat andere vor dem neuesten Betrug mit gefälschten Ledger-Geräten gewarnt, der darauf abzielt, Kryptowährungen der Nutzer zu stehlen.
Unter dem Namen „Past_Computer2901“ postete der Sicherheitsforscher am Donnerstag auf dem Reddit-Kanal „ledgerwallet“, dass er ein, wie er dachte, legitimes Ledger-Gerät für den persönlichen Gebrauch gekauft hatte. Nach dessen Ankunft stellte er jedoch schnell fest, dass es sich um eine hochentwickelte Fälschung handelte, die darauf abzielte, Nutzergelder zu stehlen.
„Dies soll keine Panik verursachen, sondern vielmehr als ernsthafte Warnung dienen – ich bin ehrlich gesagt immer noch etwas erschüttert von dem schieren Ausmaß dieser Operation“, sagten sie.
Betrüger wenden immer ausgeklügeltere Strategien an, um Nutzer anzugreifen, die sich für die Selbstverwahrung entscheiden, von Lieferkettenangriffen über Social Engineering bis hin zu Genehmigungsbetrug.
Anfang dieses Monats wurden mehr als 50 Opfer dazu gebracht, ihre Seed-Phrasen in einer gefälschten Ledger Live App preiszugeben, die über eine Bait-and-Switch-Strategie in den Apple App Store gelangte. Die Opfer verloren insgesamt 9,5 Millionen US-Dollar, bevor Apple die bösartige App entfernte.
Der Forscher sagte, er habe den Ledger Nano S Plus auf einem chinesischen Marktplatz gekauft, zu dem gleichen Preis wie im offiziellen Ledger-Shop. Die Verpackung und die Artikelbeschreibung erschienen zunächst ebenfalls legitim.
Als sie das Gerät jedoch mit der echten Ledger Live App – die glücklicherweise bereits auf ihrem Computer installiert war – verbanden, bestand es Ledgers integrierten „Echtheits-Check“ nicht.
Dies veranlasste sie, das Gerät auseinanderzunehmen, wobei sie modifizierte Hardware und Firmware entdeckten, die darauf ausgelegt waren, sensible Wallet-Daten zu erfassen und offenzulegen.
Der Sicherheitsforscher sagte, die Betrüger zielten auf Erstnutzer von Ledger ab, da der QR-Code, der in der Box enthalten ist, die Nutzer normalerweise anweisen würde, eine bösartige Version der Ledger Live App herunterzuladen, die einen gefälschten „Echtheits-Check“ anzeigen würde.
Nutzer, die den Anweisungen weiterhin folgen, würden den Betrügern schließlich ermöglichen, die Seed-Phrasen eines Nutzers zu erhalten und jederzeit Gelder abzuziehen.
„Bleiben Sie sicher. Laden Sie Ledger Live nur von ledger.com herunter. Kaufen Sie Hardware nur von ledger.com“, sagte der Sicherheitsforscher.
„Wenn Ihr Gerät den Echtheits-Check nicht besteht – stellen Sie die Nutzung sofort ein.“
Nachdem sie das Gerät auseinandergenommen hatten, entdeckten sie klare Anzeichen von Manipulation, darunter abgekratzte Chip-Markierungen und eine WLAN- und Bluetooth-Antenne, die im Inneren des Geräts eingebettet war.
Legitime Ledger-Hardwareprodukte sind darauf ausgelegt, private Schlüssel vollständig offline zu halten.
Verwandt: Musiker verliert 420.000 $ Bitcoin „Altersvorsorge“ durch gefälschte Ledger App
Der Sicherheitsforscher untersuchte anschließend die Firmware und versetzte den „Chip in den Boot-Modus“, wodurch das Gerät zunächst als Nano S Plus 7704 mit einer angeschlossenen Seriennummer identifiziert wurde.
Nach Abschluss der Boot-Sequenz erschien jedoch der Name eines anderen Herstellers: Espressif Systems, ein börsennotiertes chinesisches Halbleiterunternehmen mit Sitz in Shanghai.
Cointelegraph kontaktierte Espressif um einen Kommentar, erhielt jedoch keine sofortige Antwort.
Magazin: Was ist ein „Netzwerkstaat“ und gibt es reale Beispiele dafür? Große Fragen
