Ledger untersucht Berichte über Verluste bei Kunden, die Hardware-Wallets über den südostasiatischen Reseller CryptoBilis gekauft haben. On-Chain-Berichte dokumentieren eingefrorene USDT und Transfers anderer Vermögenswerte. Sie belegen jedoch weder eine endgültige Schadenssumme noch, dass Ledger-Geräte manipuliert wurden.
7
11
Was Berichte über die Geldbewegungen zeigen
Bitquery zufolge fror Tether rund 10 Millionen US-Dollar in USDT ein, die mit dem Vorfall in Verbindung gebracht wurden.
10 Dabei handelt es sich um eine Schätzung aus der Blockchain-Analyse – nicht um eine vollständige Abrechnung von Tether über alle betroffenen Gelder oder deren Wiederbeschaffbarkeit. Wie viel davon letztlich zurückgewonnen werden konnte, geht aus den vorliegenden Berichten nicht hervor.
Onchain Lens soll verfolgt haben, wie vier Wallets insgesamt 430,2 ETH im damaligen Wert von rund 1,07 Millionen US-Dollar an Tornado Cash überwiesen.
16 In einem separaten Bericht heißt es, etwa 270.300 US-Dollar an mutmaßlich mit dem Vorfall verbundenen Geldern seien bei Binance eingegangen, darunter rund 256.570 USDT und 41.120 TRX.
44 Dass Gelder eine Binance-Hot-Wallet erreicht haben sollen, belegt nicht, dass Binance ein Konto identifiziert oder eingefroren hat.
Berichten zufolge wurden außerdem USDT über SUN.io und den Peg Stability Module (PSM) von USDD in USDD getauscht, nachdem Tether verbundene Gelder eingefroren hatte.
16
21 Aus dieser zeitlichen Abfolge lässt sich weder sicher ableiten, warum die Tauschvorgänge stattfanden, noch ob damit gezielt Kontrollen des Token-Herausgebers umgangen werden sollten.
Verfolgte Bestände sind nicht gleich Gesamtschaden
Ein Bericht, der sich auf Arkham-Tracking beruft, bezifferte die Bestände eines mutmaßlich zusammenhängenden Wallet-Clusters auf rund 70,6 Millionen US-Dollar: 11.406 ETH, 213,371 BTC, 13,646 Millionen USDD und 10,909 Millionen USDT.
21 Ein separater Bericht von Odaily, der sich auf das Monitoring des Forschungsleiters von Galaxy stützte, nannte rund 72,9 Millionen US-Dollar in weiterhin von mutmaßlichen Angreifern kontrollierten Adressen und etwa 3,1 Millionen US-Dollar, die bei Tornado Cash gelandet seien. Weitere Gelder seien über verschiedene Chains transferiert, getauscht oder über Relayer bewegt worden.
19
Das sind Momentaufnahmen der nachverfolgten Gelder – nicht zwangsläufig Schätzungen der gesamten Verluste aller Betroffenen. Die veröffentlichten Schadensschätzungen reichen von mehr als 72 Millionen bis über 86 Millionen US-Dollar. Bitquery meldete später 92,9 Millionen US-Dollar über 311 Wallets auf fünf Netzwerken.
9
10
15 Die Beträge sollten nicht addiert werden: Die Berichte können unterschiedliche Adressen, Vermögenswerte und Zeitpunkte abbilden. Ledger hat keine endgültige Gesamtsumme bestätigt.
7
11
Ledgers Reaktion und Hinweise für Käufer
Am 9. Oktober teilte Ledger mit, die Berichte zu untersuchen, und bat CryptoBilis, Verkäufe und Lieferungen vorerst auszusetzen.
7
11 Berichten zufolge stellte CryptoBilis den Verkauf und Versand über seine stationären und Online-Kanäle in Malaysia, Indonesien und auf den Philippinen ein.
18
Ledgers veröffentlichte Empfehlung richtete sich an Personen, die in den vorangegangenen 90 Tagen bei diesem Reseller gekauft hatten: Ein noch nicht eingerichtetes Gerät sollte nicht initialisiert werden. Wer das Gerät bereits eingerichtet hatte, sollte erwägen, Vermögenswerte auf einen neuen Signer mit einem neuen Wiederherstellungs-Seed zu übertragen.
7
40 Einen neuen Seed zu verwenden ist etwas anderes, als denselben Seed auf einem anderen Gerät wiederherzustellen.
40
Die Ursache ist noch nicht geklärt
Ein Angriff auf die Lieferkette wurde als mögliche Erklärung diskutiert. Die verfügbaren Berichte belegen jedoch weder, dass ein bösartiges Bauteil gefunden wurde, noch dass Ledgers Hardware-Sicherheit kompromittiert worden ist.
4
6
11 Ledgers Ankündigung einer Untersuchung und Berichte über verdächtige Transaktionen sind für sich genommen kein Beweis für einen Angriff auf Geräteebene. Auch die Zahl der betroffenen Geräte und die Methode hinter den gemeldeten Verlusten sind nicht bestätigt.
4
6