Singapurische Polizei: Manipulierte Hardware-Wallets möglicherweise mit Verlusten von rund 3,5 Millionen Singapur-Dollar verbunden

Die singapurischen Behörden untersuchen einen mutmaßlichen Angriff auf die Lieferkette von Hardware-Wallets. Berichten zufolge verloren mindestens zwei Nutzer zusammen Kryptowährungen im Wert von rund 3,5 Millionen Singapur-Dollar.

Laut einer Mitteilung der Singapore Police Force wurden die Fälle seit dem 10. September gemeldet. Die Betroffenen hatten ihre Hardware-Wallets über ausgewählte Einzelhandelskanäle in Singapur erworben. Erste Erkenntnisse deuten darauf hin, dass einige Geräte möglicherweise mit manipulierten Hardwarekomponenten ausgestattet waren, die Wiederherstellungsphrasen oder private Schlüssel abgreifen konnten.

Die Ermittlungen dauern an. Die Behörden haben bislang weder die konkret betroffenen Händler genannt noch erklärt, wie die mutmaßlich manipulierten Komponenten in den Vertriebsprozess gelangten.

Wie ein manipuliertes Gerät Krypto-Assets gefährden kann

Hardware-Wallets sollen private Schlüssel von Geräten isolieren, die mit dem Internet verbunden sind. Dieser Schutz hängt jedoch entscheidend von der Integrität des Geräts selbst und von der Sicherheit der Lieferkette ab, über die es zum Nutzer gelangt.

Ein kompromittiertes Gerät könnte möglicherweise:

• eine Wiederherstellungsphrase erfassen, sobald sie bei der Einrichtung eingegeben wird
• private Schlüssel oder andere Schlüsselmaterialien auslesen oder kopieren
• bei einer Transaktion irreführende Wallet-Adressen anzeigen
• Transaktionen an eine von Angreifern kontrollierte Adresse umleiten
• nach Abschluss der Einrichtung unbefugte Übertragungen ermöglichen

Ein solcher Vorfall unterscheidet sich von einem herkömmlichen Phishing-Angriff. Das Opfer kann einen scheinbar normalen Initialisierungsprozess durchführen, während das Gerät bereits vor dem Kauf manipuliert wurde.

Deshalb sollte eine Hardware-Wallet nicht allein deshalb als vertrauenswürdig gelten, weil sie in einer physischen Verpackung verkauft wird. Die Echtheitsprüfung, eine sichere Einrichtung, die Überprüfung der Firmware und eine sorgfältige Kaufentscheidung sind allesamt Bestandteile des Sicherheitsmodells.

Die wichtigste Warnung: Niemals eine Wiederherstellungsphrase auf einem verdächtigen Gerät eingeben

Die Singapore Police Force rät Nutzern, keine Wiederherstellungsphrase einzugeben und keine weiteren Transaktionen über ein Gerät durchzuführen, bei dem der Verdacht auf eine Manipulation besteht.

Eine Wiederherstellungsphrase ist praktisch die wichtigste Sicherungskopie einer Wallet. Wer Zugriff auf sie erhält, kann die Wallet möglicherweise auf einem anderen Gerät wiederherstellen und die darin verwahrten Vermögenswerte übertragen. Blockchain-Transaktionen sind in der Regel unumkehrbar. Wer zunächst abwartet, ob verdächtige Aktivitäten auftreten, kann dadurch den möglichen Schaden vergrößern.

Nutzer sollten sofort handeln, wenn ein Gerät:

• über einen inoffiziellen oder nicht eindeutig nachvollziehbaren Vertriebsweg erworben wurde
• Anzeichen einer Manipulation an Verpackung oder Hardware aufweist
• sich anders verhält als im dokumentierten Einrichtungsprozess des Herstellers vorgesehen
• auf ungewöhnliche Weise nach vertraulichen Informationen fragt
• unerwartete Wallet-Adressen oder Transaktionsdaten anzeigt
• bereits mit unbefugten Übertragungen in Verbindung gebracht wurde

Nutzer sollten außerdem bedenken, dass seriöse Support-Teams niemals nach einer vollständigen Wiederherstellungsphrase oder einem privaten Schlüssel fragen werden.

Was betroffene Nutzer tun sollten

Wenn eine Wiederherstellungsphrase oder ein privater Schlüssel möglicherweise offengelegt wurde, sollte die betroffene Wallet als dauerhaft kompromittiert betrachtet werden. Das Ändern einer PIN oder die erneute Installation einer Anwendung erzeugt keine neuen kryptografischen Zugangsdaten.

Eine sicherere Vorgehensweise ist:

1. Das verdächtige Gerät sofort nicht mehr verwenden.
2. Die bestehende Wiederherstellungsphrase nicht erneut auf demselben Gerät eingeben.
3. Eine verifizierte, nicht betroffene Wallet über einen vertrauenswürdigen Vertriebsweg beschaffen.
4. Eine vollständig neue Wallet mit einer neuen Wiederherstellungsphrase erstellen.
5. Die verbleibenden Vermögenswerte auf die neue Wallet übertragen.
6. Token-Genehmigungen überprüfen und nicht mehr benötigte Berechtigungen gegebenenfalls widerrufen.
7. Kaufbelege, Geräteinformationen, Transaktions-Hashes und relevante Kommunikation sichern.
8. Vermutete Verluste den örtlichen Strafverfolgungsbehörden und dem Wallet-Hersteller melden.

Bei Ethereum und anderen Smart-Contract-Netzwerken reicht es möglicherweise nicht aus, nur die nativen Assets zu übertragen. Nutzer sollten auch Token-Guthaben, NFT-Bestände, Staking-Positionen und aktive Vertragsberechtigungen überprüfen. Ein kompromittierter Schlüssel kann sämtliche Konten gefährden, die aus derselben Wiederherstellungsphrase abgeleitet wurden.

Sicherheit der Lieferkette gehört zur Selbstverwahrung

Der Vorfall verdeutlicht ein wichtiges Grundprinzip der Kryptowährungssicherheit: Selbstverwahrung macht zwar unabhängiger von zentralisierten Intermediären, überträgt aber zugleich mehr Verantwortung auf den Nutzer.

Sicherheitsrisiken können an zahlreichen Stellen entstehen, unter anderem bei:

• der Herstellung
• der Montage des Geräts
• der Verteilung von Firmware
• der Lagerung im Einzelhandel
• dem Versand und der Zustellung
• der erstmaligen Einrichtung
• der Erzeugung der Wiederherstellungsphrase
• der Bestätigung von Transaktionen

Eine Wallet, die bei einem nicht autorisierten Händler gekauft wurde, kann Risiken bergen, die sich durch eine gewöhnliche Sichtprüfung nur schwer erkennen lassen. Selbst eine versiegelte Verpackung ist keine absolute Garantie, wenn das Produkt eine nicht vertrauenswürdige Lieferkette durchlaufen hat.

Nutzer sollten offizielle Bezugsquellen bevorzugen, das Gerät anhand der offiziellen Verfahren des Herstellers überprüfen, Firmware ausschließlich über vertrauenswürdige Software aktualisieren und die Ersteinrichtung in einer privaten Umgebung vornehmen. Wiederherstellungsphrasen sollten von der Wallet selbst erzeugt und offline notiert werden. Sie sollten niemals fotografiert, in Cloud-Notizen gespeichert, über Messenger versendet oder auf Websites eingegeben werden.

Auch die Leitlinien des National Institute of Standards and Technology zur digitalen Identität bekräftigen das übergeordnete Sicherheitsprinzip, dass Authentifizierungsgeheimnisse vor unbefugter Offenlegung geschützt werden müssen. Im Kryptobereich ist dieser Grundsatz besonders wichtig, weil die Kontrolle über den Schlüssel in der Regel auch die Kontrolle über die Vermögenswerte bedeutet.

Warum die Überprüfung von Transaktionen weiterhin wichtig ist

Auch wenn eine Wallet scheinbar normal funktioniert, sollten Nutzer vor der Freigabe einer Übertragung die Zieladresse und die Transaktionsdetails auf dem vertrauenswürdigen Display des Geräts überprüfen.

Schadsoftware auf einem Computer oder Mobiltelefon kann eine kopierte Adresse durch die Adresse eines Angreifers ersetzen. Ein sicheres Signiergerät kann dieses Risiko verringern – allerdings nur, wenn der Nutzer die zur Bestätigung angezeigten Informationen tatsächlich kontrolliert, anstatt Transaktionen automatisch zu bestätigen.

Bei größeren Übertragungen können Nutzer unter anderem:

• zunächst eine kleine Testtransaktion senden
• die vollständige Zieladresse vergleichen
• sofern verfügbar, Adressbücher oder Whitelist-Funktionen verwenden
• langfristige Bestände von für den aktiven Handel vorgesehenen Mitteln trennen
• separate Wallets für unterschiedliche Risikoprofile nutzen
• Netzwerkgebühren und Vertragsberechtigungen vor dem Signieren überprüfen

Diese Maßnahmen können nicht jede Bedrohung ausschließen. Sie können jedoch die Auswirkungen von Phishing, Clipboard-Malware, bösartigen Smart Contracts und Bedienungsfehlern verringern.

Was das für Käufer von Hardware-Wallets bedeutet

Die Ermittlungen in Singapur deuten nicht darauf hin, dass alle Hardware-Wallets kompromittiert sind. Sie zeigen jedoch, warum die Herkunft eines Geräts und eine sichere Einrichtung unverzichtbare Bestandteile des Schutzes digitaler Vermögenswerte sind.

Vor dem Kauf sollten Nutzer unter anderem prüfen:

• ob der Verkäufer ein autorisierter oder eindeutig überprüfbarer Vertriebspartner ist
• ob Verpackung und Gerät Anzeichen einer Manipulation aufweisen
• ob die Wallet sicher lokal erzeugte Wiederherstellungsphrasen unterstützt
• ob sich die Echtheit der Firmware unabhängig überprüfen lässt
• ob Transaktionsdetails vor dem Signieren klar angezeigt werden
• ob der Hersteller Sicherheitsmitteilungen und Verfahren für den Umgang mit Vorfällen veröffentlicht

Während die Ermittlungen andauern, sollten Nutzer außerdem offizielle Sicherheitsupdates und Hinweise der örtlichen Strafverfolgungsbehörden beachten. Die offiziellen Medien- und Informationskanäle der Singapore Police Force sind die geeignete Anlaufstelle für verifizierte Updates zu den gemeldeten Fällen.

Praktische Sicherheits-Checkliste

Die folgende Checkliste kann alltäglichen Krypto-Nutzern helfen, die Risiken im Zusammenhang mit Hardware-Wallets und privaten Schlüsseln zu verringern:

• Nur über vertrauenswürdige und überprüfbare Kanäle kaufen.
• Verpackung und Gerät vor der Verwendung sorgfältig prüfen.
• Die Wallet selbst in einer privaten Umgebung einrichten.
• Niemals eine von einer anderen Person bereitgestellte Wiederherstellungsphrase akzeptieren.
• Eine Wiederherstellungsphrase oder einen privaten Schlüssel niemals weitergeben.
• Sicherungswörter offline aufbewahren und vor Feuer, Wasser und unbefugtem Zugriff schützen.
• Adressen und Transaktionsdetails auf dem eigenen Display der Wallet bestätigen.
• Für experimentelle Anwendungen und risikoreichere Aktivitäten im Bereich der dezentralen Finanzwirtschaft eine separate Wallet verwenden.
• Vermögenswerte sofort übertragen, wenn eine Seed-Phrase möglicherweise offengelegt wurde.
• Im Falle eines Vorfalls Transaktionsaufzeichnungen und Gerätedaten aufbewahren.

Wer eine Hardware-Wallet mit Fokus auf sicherer Schlüsselisolierung, transparenter Transaktionsbestätigung und nutzerkontrollierter Wiederherstellung sucht, kann OneKey als Bestandteil einer umfassenderen Strategie zur Selbstverwahrung in Betracht ziehen. Kein Gerät kann jedoch eine sorgfältige Betriebssicherheit ersetzen: Selbst die sicherste Wallet ist gefährdet, wenn ihre Wiederherstellungsphrase offengelegt, auf einem nicht vertrauenswürdigen Gerät eingegeben oder nachlässig aufbewahrt wird.

Die mutmaßlichen Verluste in Singapur erinnern daran, dass Krypto-Sicherheit beginnt, bevor eine Wallet überhaupt angeschlossen wird. Die Herkunft des Geräts zu überprüfen, die Wiederherstellungsphrase zu schützen und unerwartetes Hardware-Verhalten als ernstes Warnsignal zu behandeln, kann den entscheidenden Unterschied zwischen sicherer Selbstverwahrung und einem irreversiblen Verlust ausmachen.