Nachdem sich vergangene Woche eine kompromittierte Version des Ledger Connect Kits verbreitet hatte – Blocktrainer.de berichtete – gab der Hersteller von Hardware-Wallets nun in einem Statement bekannt, die gestohlenen Werte im Wert von etwa 600.000 US-Dollar an betroffene Nutzer zu erstatten, inklusive der Opfer, die gar keinen Ledger besitzen.
Über einen gehackten NPMJS-Account eines ehemaligen Mitarbeiters konnte sich eine manipulierte Version des Connect Kits über Stunden hinweg verbreiten. Ledger Hardware-Wallets waren zwar an sich nicht betroffen, das grundlegende Problem, dass Nutzer bei komplexeren Anwendungen nicht zuverlässig verifizieren können, was ihre Hardware-Wallet eigentlich unterschreibt, sorgte dennoch für schwerwiegende Verluste. Unter anderem auch bei Nutzern, die gar keinen Ledger verwendeten und somit keinen zusätzlichen Schutz vor solchen manipulierten Transaktionen hatten.
[...]
Uns sind Vermögenswerte von etwa 600.000 US-Dollar bekannt, die von Benutzern gestohlen wurden, die blind mit EVM DApps signiert haben.
Ledger wird sicherstellen, dass betroffene Opfer vollständig entschädigt werden, und sich verpflichten, bis Juni 2024 mit dem DApp-Ökosystem zusammenzuarbeiten, um Clear Signing zu ermöglichen und Blind Signing mit Ledger-Geräten nicht mehr zuzulassen.
@Ledger auf 𝕏
Blind vs. Clear Signing
Von der Nutzung einer Hardware-Wallet können Nutzer streng genommen nur dann profitieren, wenn sämtliche sicherheitsrelevante Interaktionen auch direkt mit der Hardware-Wallet stattfinden können, also über integrierte Bedienelemente und allen voran natürlich über das Display. Da sämtliche Software auf dem Smartphone oder Rechner potenziell kompromittiert sein kann – wie im Fall des Ledger Connect Kits – hängt es am Nutzer, zu verifizieren, dass Transaktionsdetails, die auf dem Display der Hardware-Wallet angezeigt werden, auch tatsächlich korrekt sind.
Im Kontext von Ethereum DApps ist dies allerdings nicht immer möglich, was im schlimmsten Fall bedeutet, dass man eine Anfrage des Endgeräts "blind" signieren muss, ohne konkret zu verstehen, was sich dahinter verbirgt. So konnte die manipulierte Wallet Connect Software effektiv Geld aus Wallets stehlen, ohne die eigentliche Hardware angreifen zu müssen – die betroffenen Nutzer haben dem Diebstahl schließlich selbst mehr oder weniger "zugestimmt".
Ledger kündigte nun an, bis Juni 2024 eine Lösung zu entwickeln und künftig sicherzustellen, dass stets eindeutig verifiziert werden kann, welche Aktion bzw. Transaktion autorisiert werden soll – auch "Clear Signing" genannt. Besser wäre es natürlich, wenn Schadsoftware erst gar nicht über offizielle Schnittstellen verbreitet werden kann, weshalb Ledger auch hier Maßnahmen zur Verbesserung ankündigte.
Für reine Bitcoin-Nutzer mag Clear Signing aktuell eine Selbstverständlichkeit sein. Doch auch hier sollte zum einen die Community und ihre Entwickler zukünftig sicherstellen, dass komplexere Anwendungsfälle wie beispielsweise Mini Script oder dergleichen auch weiterhin für den Nutzer sowohl lesbar als auch nachvollziehbar bleiben. Zum anderen gilt natürlich die grundsätzliche Empfehlung, sich auch wirklich die Zeit zu nehmen, und Transaktionen sowie Empfangsadressen in Ruhe zu verifizieren. Nur dann kann die eigene Hardware-Wallet ihr volles Potenzial entfalten und der Nutzer wortwörtlich einen Diebstahlversuch "ablehnen".
Lese-Tipp: Warum Hardware-Wallets ohne Display nutzlos sind
