Ein Trader soll 80 Bitcoin im Wert von rund 6,6 Millionen US-Dollar verloren haben. Die Coins lagen zuvor zehn Tage in einem neuen Ledger-Hardware-Wallet und wurden am 9. Oktober in einer einzigen Transaktion abgezogen. Öffentliche Bitcoin-Daten stützen diesen zeitlichen Ablauf – sie erklären jedoch nicht, wie der Zugriff auf das Wallet erlangt wurde. Ledger untersucht daneben weitere Verlustmeldungen von Kunden, die Geräte über den südostasiatischen Händler CryptoBilis gekauft haben.
14
15
21
Was über den Transfer bekannt ist
Laut Blockchain-Berichten hatte der Trader die 80 BTC etwa vier Monate zuvor für rund 5,2 Millionen US-Dollar gekauft – zu einem Preis von ungefähr 65.000 US-Dollar pro Bitcoin. Zwischenzeitlich betrug der nicht realisierte Gewinn demnach etwa 1,38 Millionen US-Dollar.
37
38
Die Bitcoin sollen am 29. September in das neue Ledger-Wallet eingezahlt worden sein. Am 9. Oktober um 05:54 UTC gingen alle 80 BTC in einer einzigen Überweisung wieder ab. Zum Zeitpunkt des Abzugs waren sie rund 6,6 Millionen US-Dollar wert. Diese Angaben beschreiben den gemeldeten Transaktionsverlauf und den damaligen Wert der Coins; sie belegen nicht, wodurch der Verlust verursacht wurde.
14
Ledgers Reaktion und Hinweise für Käufer
Ledger erklärte, Verlustmeldungen von Kunden in Südostasien zu untersuchen, die Geräte über CryptoBilis bezogen hatten. Das Unternehmen bat den Händler, den Verkauf und Versand von Ledger-Geräten vorerst auszusetzen.
2
3
13
Wer in den vergangenen 90 Tagen ein Gerät bei diesem Händler gekauft, aber noch nicht eingerichtet hat, sollte laut Ledger mit der Einrichtung warten. Wer es bereits eingerichtet hat, sollte erwägen, seine Vermögenswerte auf ein neues Signiergerät mit einer neu erzeugten Wiederherstellungsphrase zu übertragen.
2
3
13
Berichten zufolge ist CryptoBilis ein autorisierter Ledger-Händler, der Indonesien, Malaysia und die Philippinen beliefert. In manchen Berichten wird der Name als „CryptoBillis“ geschrieben.
1
13
17
Größere Verlustzahlen sind nicht von Ledger bestätigt
Schätzungen von Blockchain-Ermittlern zu mutmaßlich gestohlenen Vermögenswerten sollen zunächst von mehr als 72 Millionen auf über 86 Millionen US-Dollar gestiegen sein. Spätere Berichte bezifferten die mutmaßliche Gesamtsumme auf fast 90 Millionen US-Dollar und meldeten, Tether habe mit den Verdachtsfällen verbundene USDT eingefroren. Dabei handelt es sich um Schätzungen und Berichte zu möglicherweise zusammenhängenden Geldern – nicht um eine von Ledger bestätigte Gesamtsumme.
2
9
20
Einige Berichte erwähnen außerdem einen separaten Verlust von rund 7 Millionen USDT bei einem Käufer, der mit dem Händler in Verbindung gebracht wird. Ledger hat diesen Fall nicht bestätigt; er sollte daher als Behauptung und nicht als gesicherter Bestandteil einer bestätigten Gesamtsumme behandelt werden.
47
Die Ursache ist weiterhin offen
Changpeng Zhao warnte, gefälschte Geräte oder ein Eingriff in die Lieferkette könnten mögliche Erklärungen sein. Das ist kein Beleg dafür, dass eine dieser Ursachen tatsächlich vorlag. Die bislang vorliegenden Berichte klären nicht, ob ein Gerät, eine Wiederherstellungsphrase, Software oder ein anderer Faktor kompromittiert wurde. Ledger hatte in den hier zitierten Berichten weder eine Ursache noch die Gesamthöhe der Verluste bestätigt.
23
3
21
Auch eine separate Behauptung über einen Coldcard-Firmwarevorfall im August, bei dem angeblich Bitcoin im Wert von rund 70 Millionen US-Dollar gestohlen worden seien, wird durch die hier herangezogenen Berichte nicht belegt. Sie ist daher weder als bestätigter Präzedenzfall noch als Beleg für die Untersuchung zu CryptoBilis zu werten.