Der CEO von Ledger sagt: „Jeder wird mal gehackt!“

Pascal Gauthier, CEO von Ledger, war am 10. November zu Gast bei „Bloomberg Crypto“ und erklärte, dass jeder irgendwann einmal gehackt werde. Er fügte hinzu, dass dies auch für Ledger gelte und dass sich die Bedrohungslage von Jahr zu Jahr verschärfe.

Als Feststellung ist das durchaus zutreffend. Etwas weniger passend klingt es jedoch aus dem Mund des Mannes, dessen Unternehmen ein Gerät verkauft, das genau das Gegenteil vermitteln soll. Crypto X hat dies innerhalb weniger Stunden bemerkt.

Die Frage hinter der Antwort

Die Moderatoren Isabelle Lee und Tim Stenovec fragten, wie Ledger seine Kunden nach den Ereignissen im Oktober beruhigen könne. Damit hatten sie nicht ganz Unrecht. Am 9. Oktober meldeten Nutzer, die Ledger-Geräte über CryptoBilis – einen autorisierten Wiederverkäufer für Malaysia, Indonesien und die Philippinen – gekauft hatten, erstmals leere Wallets. Der Ledger-Support wies Käufer dieses Wiederverkäufers an, ihre Geräte nicht einzurichten. Einen Tag später bestätigte das Unternehmen, dass mindestens ein betroffenes Gerät ein unbefugtes Hardware-Implantat enthielt.

Das Implantat kopierte laut Ledger die Wiederherstellungsphrasen und versendete sie über eine Mobilfunkverbindung. Das Secure Element selbst war nicht kompromittiert. Der Chip hat also seine Aufgabe erfüllt. Alles drum herum hingegen nicht.

Die Schätzungen der Verluste variieren. Bitquery bezifferte in seinem Update vom 12. Oktober den Schaden auf rund 102 Millionen US-Dollar über 324 Wallets, während andere Tracker Werte zwischen 72 und 93 Millionen US-Dollar angaben. Gauthier nannte bei Bloomberg eine Summe von etwa 90 Millionen US-Dollar. Tether sperrte rund 10 Millionen US-Dollar in USDT ein, und ein Teil der gestohlenen ETH floss über Tornado Cash.

Die 0,01-Prozent-Verteidigung

Gauthiers Argument war ein Verhältnis. 90 Millionen US-Dollar, so argumentierte er, seien etwa 0,01% dessen, was Ledger schützt, und lägen weit unter den rund 6 Milliarden US-Dollar, die beim Binance-Hack verloren gingen. BTC-ECHO beziffert den Schaden des Hacks vom 29. Oktober auf 6,4 Milliarden Dollar und berichtet, dass das FBI nordkoreanische Angreifer dafür verantwortlich macht. Andere Medien sprechen von 6,3 Milliarden Dollar. So oder so ist das keine geringe Summe.

Er sagte außerdem, dass zentralisierte Plattformen das größere Ziel seien, da sie so viele Kryptowährungen an einem Ort bündeln, und nannte dabei FTX und Bybit. Laut der Zusammenfassung von Wu Blockchain fügte er hinzu, dass der Markt nach wie vor Banken und Binance benötige. Im größeren Zusammenhang bezifferte er die durch Kryptodiebstähle verursachten Verluste im vergangenen Jahr auf etwa 9 Milliarden US-Dollar und im Jahr 2026 bislang auf rund 12 Milliarden US-Dollar, wobei KI-gestützte Angriffe und letztendlich Quantencomputer die Situation weiter erschweren werden.

Eine Einschränkung zu den Berechnungen: Auf den ersten Blick impliziert ein Wert von 0,01%, dass Ledger rund 900 Milliarden US-Dollar sichert, und dieser Nenner ist Ledgers eigene Schätzung. Niemand hat dies unabhängig überprüft.

Die Zeitleiste

Der Beitrag von BeInCrypto brachte die Schlagzeile in den Fokus vieler Leser, und die Reaktionen fielen nicht gerade freundlich aus. Ein Nutzer, 0xdxve, fragte, warum sich überhaupt jemand die Mühe machen sollte, Coins auf einem Ledger zu speichern, wenn doch jeder ohnehin gehackt werde. Bert bezeichnete es als seltsam, dass der CEO eines Hardware-Wallet-Anbieters so etwas sage. Jeremy sagte, er würde eine große Short-Position auf Ledger eingehen, wenn das Unternehmen an der Börse notiert wäre. StarPlatinum wies darauf hin, dass das gesamte Geschäftsmodell von Ledger auf einem Gerät basiert, das Hacks verhindern soll.

Ich verstehe die Wut. Ich glaube aber auch, dass dabei oft übersehen wird, was tatsächlich passiert ist. Dies war kein Versagen des Sicherheitschips. Es handelte sich um einen Fehler in der Lieferkette vor dem Kunden – genau die Art von Prozessangriff, von der Gauthier bereits 2019 in einem alten Breaker-Interview sagte, dass sie für die meisten Krypto-Hacks verantwortlich sei. Er blieb sich treu. Er hat sich nur eine ziemlich schwierige Woche ausgesucht, um konsequent zu sein.

Was Ledger nicht rechtzeitig bemerkt hat

Die schwierigere Frage ist die nach der Geschwindigkeit. Der ehemalige Mt. Gox-CEO Mark Karpelès veröffentlichte am 16. September Fotos eines Spionage-Implantats in einem Nano X – Wochen vor Ledgers erster öffentlicher Warnung. Er und Gauthier lieferten sich später laut BTC-ECHO einen öffentlichen Schlagabtausch darüber.

Dann breitete sich die Nachricht aus. Ein deutscher Kunde, der ein Nano X bei MediaMarkt gekauft hatte, meldete ebenfalls einen Spionagechip, und ein weiterer Käufer, Johannes, gab an, dass ein zweites Gerät aus einer anderen Filiale der Kette ebenfalls einen solchen Chip enthielt. MediaMarktSaturn stellte am 13. Oktober den Verkauf von Ledger-Geräten in elf Ländern ein. Ledger gibt an, dass außerhalb Südostasiens keine Verluste bestätigt wurden, und The Block berichtete, dass im deutschen Fall keine Gelder verloren gingen. Trezor teilte später mit, dass es ein manipuliertes Gerät gefunden habe, das von demselben CryptoBilis-Wiederverkäufer stammte, wie 24/7 Wall St. berichtete.

Was Ledger als Nächstes auf den Markt bringt

Gauthier widmete einen Großteil des Interviews dem Ledger Atom, einem sicheren Smartphone mit einem vertrauenswürdigen Bildschirm. Er erklärte, das Unternehmen habe das Gerät auf den Markt gebracht, während es unter Beschuss stand. Laut einem Bericht von Incrypted ist die Auslieferung für Juli 2027 geplant. Ledger hat noch nicht bekannt gegeben, wann der Verkauf bei MediaMarktSaturn wieder aufgenommen wird.