Erst Ledger, jetzt Trezor: Der Skandal um manipulierte Hardware-Wallets weitet sich aus. Rund 102 Mio. $ in Bitcoin (BTC), Ethereum (ETH) und Tron (TRX) sind verschwunden, MediaMarkt nimmt Geräte des Marktführers Ledger aus dem Sortiment. Gleichzeitig meldet ein renommierter Hardware-Hacker auch beim Konkurrenten Trezor betrügerische Implantate. Top-Analyst PlanB hat bereits Maßnahmen ergriffen. Wie können Anleger sich schützen?
Inhaltsverzeichnis
Spionage-Chip liest Wiederherstellungsphrase mit
Der Fall beginnt am 9. Oktober in Südostasien: Kunden des autorisierten Ledger-Händlers CryptoBilis melden leergeräumte Konten. Einen Tag später bestätigt Ledger: Mindestens ein Gerät enthält ein „nicht autorisiertes Hardware-Implantat“. Die Blockchain-Analysefirma Bitquery zählt inzwischen 324 betroffene Wallets und einen Schaden von rund 102 Mio. $. Ledger müht sich online um Unterstützung und Schadensbegrenzung, wirkt dabei aber hilflos.
Die Technik ist perfide: Eine hauchdünne Zusatzplatine mit LTE-Modul und eSIM sitzt unter dem Display – sie bleibt untätig, bis der Käufer das Gerät einrichtet. Dann liest sie die 24 Wörter der Wiederherstellungsphrase vom Bildschirm ab und funkt sie über den nächsten Mobilfunkmast an die Angreifer. Der Clou: Weil das Gerät sonst normal funktioniert, schlägt Ledgers Echtheitsprüfung nicht an.
Zwischenzeitlich weitet sich der Skandal aus, es geht längst nicht mehr nur um Asien. Auch in Deutschland hat ein Kunde ein manipuliertes Gerät erworben – ausgerechnet bei MediaMarkt. Das Unternehmen hat den Verkauf daraufhin in Abstimmung mit Ledger gestoppt. Händler in sieben asiatischen Ländern müssen die Geräte ebenfalls aus den Regalen nehmen.
Jetzt auch Trezor: „Nicht ein einziger Beweis“?
Jetzt dann die nächste Eskalation – ein weiterer Hersteller ist betroffen: Der bekannte Hardware-Hacker Joe Grand – er hat die ersten Ledger-Implantate bereits im März gemeldet – berichtet auch von Implantaten in Geräten der Firma Trezor, einem Model T und einem Trezor One.
Hier tauschen die Angreifer gleich den Mikrocontroller aus: Die manipulierte Firmware erzeugt statt eines zufälligen Sicherheitsschlüssels einen von rund einem Dutzend vorgefertigter, die die Täter bereits kennen.
Laut Sicherheitsjournalistin Kim Zetter hat Grand den Fund schon am 10. August an Trezor gemeldet. Brisant: Die Firma erklärt am selben Tag, es gebe „nicht ein einziges Beweisstück“ für kompromittierte Geräte, reduziert aber gleichzeitig die Liste autorisierter Verkäufer – „vorsorglich“.
Krypto-ETF und ETPs: die sichere Alternative?
Die Branche reagiert alarmiert. „Das ist furchtbar – für die gesamte Krypto-Industrie in Sachen Sicherheit“, kommentiert etwa Experte Michaël van de Poppe auf X. Anleger würden nun „in Richtung der Instrumente gedrängt, die die Wall Street mag: ETFs, tokenisierte Produkte“. Genau diesen Weg ist Top-Analyst PlanB längst gegangen: „Ich habe meine Bitcoin 2025 in ETFs verschoben und dafür viel Gegenwind bekommen.“ Er bereue es nicht, genieße stattdessen den „Seelenfrieden“, so der Erfinder des Stock-to-Flow-Modells an seine mehr als 2,1 Mio. Follower.
Doch sind die sogenannten Exchange-Traded Funds wirklich die bessere Alternative? Sicherheitsexperte Jameson Lopp, Mitgründer des Verwahrdienstes Casa, hält die These für „absolut falsch. Es gibt objektiv keine Art von Verlust, die sich dadurch lösen lässt, dass man seine Bitcoin einem Dritten gibt“. Fremdverwahrung sei „jedem Risiko der Selbstverwahrung“ ausgesetzt – und es kämen noch weitere dazu, so Lopp. Auch das Argument der Versicherung lässt er nicht gelten: Verwahrer könnten es sich schlicht nicht leisten, mehr als einen winzigen Teil des verwalteten Vermögens zu versichern.
Bitcoin-ETP in Deutschland: Was Anleger wirklich besitzen
Für deutsche Anleger lohnt ein genauer Blick: Die hierzulande handelbaren Bitcoin-Produkte von Bitwise, 21Shares, CoinShares, VanEck oder WisdomTree sind Schuldverschreibungen (ETPs), die mit Bitcoin besichert sind. Damit kommt zum Risiko beim Verwahrer noch das Risiko beim Emittenten hinzu.
| Hardware-Wallet | Bitcoin-ETP (Deutschland) | |
| Verwahrung | Beim Anleger | Cold Storage bei Custodians wie Coinbase Custody, BitGo, Komainu oder Zodia |
| Insolvenzschutz | Entfällt | Über Treuhänder verpfändet, soll bei Pleite schützen – Durchsetzung im Ernstfall offen |
| Einlagensicherung | Keine | Keine – die 100.000-Euro-Grenze der Banken gilt nicht |
| Versicherung | Keine | Nur ein Bruchteil des verwalteten Volumens, schützt primär den Verwahrer |
| Hauptrisiko | Manipuliertes Gerät, Verlust der Phrase | Totalverlust bei Emittenten-Insolvenz oder erfolgreichem Angriff auf den Verwahrer |
Was sollten Besitzer von Ledger und Trezor tun?
Zunächst: keine Panik. Verluste außerhalb Südostasiens sind bislang nicht verifiziert. Wer erst kürzlich ein Gerät gekauft hat, sollte sich an den Hersteller wenden und eine Überprüfung anfragen. Wer es bereits nutzt, sollte die Bestände schnellstmöglich auf ein neues Gerät mit neuer Wiederherstellungsphrase übertragen. Die alte Phrase auf einem neuen Gerät wiederherzustellen, hilft natürlich nicht, wenn sie den Angreifern bekannt ist. Für alle anderen gilt:
- Geräte nur direkt beim Hersteller kaufen – keine Marktplätze, keine Gebrauchtgeräte, vorerst auch kein Einzelhandel
- Bei Verdacht Fotos der Platine an den Hersteller-Support schicken
- Hersteller rufen Anleger nicht an und fragen nie nach der Phrase – Betrüger nutzen die Vorfälle aktuell gezielt aus
Fazit: Bequemer ja, sicherer nur bedingt
Für die meisten Privatanleger sind seriöse, physische ETPs praktischer und risikoärmer als Coins auf unregulierten Börsen oder halbherzig gesicherten Wallets, da das Management der Zugangsschlüssel entfällt. Einen vollständigen Schutz vor Hacks oder Verlust bieten sie dennoch nicht.
Wer maximale Kontrolle und minimale Gegenparteirisiken will, bleibt – seit Jahren unverändert – bei der Selbstverwahrung, idealerweise verteilt auf Geräte an verschiedenen Orten, von denen mehrere zusammen eine Überweisung freigeben müssen (Mehrfachsignatur).
Der aktuelle Krypto-Skandal ändert daran nichts – er zeigt nur, dass blindes Vertrauen in ein einzelnes Gerät nie die ganze Strategie sein darf.
Ein Beitrag von:
