Ledger (Live) - Angebote / Diskussion / Hilfe

[Koal-84]

Darum: Ggf. besser umziehen? Und neues Wallet direkt bei Trezor/Ledger kaufen?

Bin ich froh, dass ich noch einen alten Ledger Nano habe. Was hier passiert ist, ist schon eine echte Ansage. Gibt es dazu bereits eine offizielle Stellungnahme von Ledger? Wenn sogar MediaMarkt kompromittierte Ledger-Geräte erhält, stellt sich wirklich die Frage, was hier schiefläuft.

MediaMarkt zieht Ledger-Geräte aus dem Verkauf zurück

Lieferkette von Ledger auch in Europa kompromittiert ist. Ledger sollte zum Schutz der Nutzer unverzüglich einen Produktrückruf einleiten.

Wenn Ledger nicht einmal die eigene Lieferkette unter Kontrolle hat, wirft das für mich ein äußerst schlechtes Licht auf das Unternehmen. Wo bleiben die internen Kontrollen von Ledger? Verlässt man sich hier einfach blind auf die Lieferanten? Für mich entsteht leider erneut der Eindruck, dass die Sicherheit und der Schutz der Kunden keine Priorität hat.

[Soonandwaite]

[...]

Oh mann 

Weißt du, durch welchen Kanal deine Daten geleaked wurden? War das vom erst vor kurzem bekanntgewordenen Leak, wo abermals einer ihrer Lieferkettenpartner angegriffen wurde?


Nur zur Sicherheit: Echt ist keiner der beiden Briefe sollte jemand diese Briefe ebenfalls erhalten haben und bei der Recherche hier auf diesen Thread stoßen (Google, ChatGPT und co.). Also: Finger weg, Codes ja nicht scannen und schon gar keine Software installieren.

Das kann ich nicht sagen. Den letzten X habe ich 2020 gekauft damals im Superdeal bei Ledger direkt. Davor Nano S .  Danach nix mehr.
Sollte dann der alte Datensatz von 2020 sein. Aber es kaufen ja auch Leute den Ledger als Geschenk. Ist ja nicht immer so das es was zu holen gibt.
Ich weiß jetzt auch nicht wie weit Kleinfee mit der KLage ist. Müsste ich auch mal nachhaken. Evtl. genau so gut wie der Verein der Bitpanda an den Kragen will 
Denke auf 4 oder 5 Börsen aufgeteilt ist Crypto fast sicherer.
Jetzt müsste Crypto wie auch die Euros bei den Banken noch bis 100k pro Bank/ Exchange abgesichert sein. Das trifft bei Crypto nicht zu. Warum denn nicht 
Alle Regierungen wollen regulieren. Dann sollten die das Einlagengesetz auch mit Crypto verankern.

[Cricktor]

...
Finde das eine super Idee und würde mir Wünschen, dass die Firmen da innovativer und kreativer werden.

Naja, so toll ist "Potting" (mit Harz vergießen) nun auch nicht. Einige dieser Harze kann man mit speziellen Lösungsmitteln wegbekommen, ohne die Elektronik zu schrotten (ich habe keine Belege dafür, hab's nur bei denen gelesen, die Hardware-Reverse Engineering betreiben, Chips freilegen, abschleifen, inneren Chipaufbau und -Logik ermitteln und ähnlichen Spaß).

Bekommt der Gauner das Harz weg, kann er seinen Trojaner-Implantat reinfrickeln und wieder schön mit Harz vergießen und vor neugierigen Augen verbergen. Da hast du dann nicht mal die Chance zu sehen, daß das Innenleben manipuliert wurde. Da verliert man eher, als daß etwas gewonnen wurde. Ja, ist mehr Aufwand für die Gauner, aber die Manipulation ist dann auch besser versteckt.

Und alternde Displays oder Akkus tauschen kannste dann knicken, wenn alles bis zur kompletten Unreparierbarkeit und Unkenntlichkeit vergossen sein sollte.

[Lakai01]

[...]

Danke für die Zusammenfassung, das wollte ich ebenfalls gerade schreiben.

Im diesem Zusammenhang wurden ja auch Trezor-Geräte untersucht. Diese lassen sich - anscheinend, habe es selber nicht probiert - nicht öffnen, ohne das Gehäuse zumindest etwas (aber damit sichtbar) zu beschädigen.
Der Angreifer in der Lieferkette müsste so nicht nur Zugriff auf die verpackten Geräte haben sondern auch über Austausch-Gehäuse verfügen. Natürlich immer noch möglich aber vermutlich schon deutlich schwieriger zu realisieren.

Für einen selfmade-Displaytausch wäre mir sowas sogar egal wenn das Gehäuse Schrammen oder kleine Bruchstellen aufweist. Wenn man das nicht möchte kann man ja immer noch das Gerät komplett abtauschen.

[jahead]

[...]

Also wenn die Gauner sich so viel Zeit, Mühe und Muße für nur eine HW geben und dazu auch noch das handwerkliches Geschick besitzen - OK, Chapeau - dann haben sie sich meine Coins wirklich verdient....   

Ich höre Dich und Du hast mit Deinen angeführten Punkten natürlich Recht, aber vielleicht kann man erstmal probieren und findet auf dem Weg ggf noch bessere Schutzmechanismen, idk tbh.

[...]. Wobei uns allen sicher bewusst ist, dass wo ein krimineller Wille ist, da ist auch ein Weg...   [...]

[MinoRaiola]

Denke bei den einen oder anderen werden heute oder die Tage  auch diese Briefe eintrudeln.

Name und vollständige Adresse - das würde mich auch nerven. Fürs Erste sollte eine gut Sichtbare Alarmanlage/Kamerasystem an der Adresse für Abschreckung sorgen. Also eine helle Außenbeleuchtung mit ggf. Bewegungsmelder und innen einen ordentlicher Schutz bei Fenster und Türen. Etwas dramatisch, aber ich habe schon Pferde kotzen sehen.

Evtl. könntest du Kontakt du ZAC (Zentrale Ansprechstelle Cybercrime für die Wirtschaft) in Wiesbaden aufnehmen. Für Hinweise sind sie bestimmt dankbar. Oder hier eine Übersicht der Bundesländer:

Zentrale Ansprechstellen Cybercrime der Polizeien für Wirtschaftsunternehmen und Behörden
https://www.polizei.de/Polizei/DE/Einrichtungen/ZAC/zac_node.html#f162660d162694

[Lakai01]

Jetzt müsste Crypto wie auch die Euros bei den Banken noch bis 100k pro Bank/ Exchange abgesichert sein. Das trifft bei Crypto nicht zu. Warum denn nicht 
Alle Regierungen wollen regulieren. Dann sollten die das Einlagengesetz auch mit Crypto verankern.

Könnte man grundsätzlich annehmen, ja ... sieht im Detail leider aber etwas anders aus:

Wenn du bspw. 100k € auf ein (Spar-)konto einzahlst, passiert rechtlich Folgendes:

• Die Bank wird zur Schuldnerin und schuldet dir 50.000 €.
• Die Bank darf das Geld im Rahmen ihrer Geschäftstätigkeit jedoch verwenden, muss aber ihre Verpflichtungen erfüllen und dir das Geld bspw. auszahlen, wenn du das wieder haben möchtest.
• Wird diese insolvent, so schützt dich die gesetzliche Einlagensicherung bis zu 100.000 € (übrigens pro Person und pro Bank).

Die Einlagensicherung wird ua. dadurch finanziert, dass alle operierenden Banken in so genannte Einlagensicherungsfonds einzahlen müssen. Diese werden in so einem Fall dann verwendet um die Kunden zu schützen.

Bei Bitcoin sieht die Sache jedoch anders aus, dort verwahrt eine Börse deine Coins beziehungsweise verwaltet "nur" deinen Zugang dazu. Wie die Ansprüche im Insolvenzfall aussehen, hängt von der rechtlichen Verwahrungsstruktur ab. Die österreichische Finanzmarktaufsicht (FMA) stellt bspw. ausdrücklich klar, dass Crypto-Assets nicht durch die Einlagensicherung gedeckt sind. MiCar hat hier jedoch einen Schritt nach vorne gemacht und verlangt ja bspw. von den Börsen, dass diese die Coins ihrer Kunden vom eigenen Bestand getrennt aufbewahren, somit ist auch die Chance deutlich höher, im Insolvenzfall die Coins wiederzubekommen. Bei einem Hack sieht die Sache aber trotzdem anders aus, da hilft auch die MiCar-Verordnung nichts.

Man müsste also auch für Cryptos so einen Fond aufsetzen in welchen dann bspw. alle Börsen einzahlen müssen um überhaupt in der EU operieren zu dürfen.

[jahead]

In einer Stunde beginnt das Ledger Op3n-Event in Paris. In den Keynotes und Live-Demos zeigt dasTeam von Ledger scheinbar neue Produkte, Features und O-Ton "Sicherheitslösungen für das digitale Zeitalter"...  das Interessante und wieso ich es hier poste, es soll direkt zu Anfang ein Statement zum aktuellen Stand des "Implantat"-Skandals geben...

Die Keynotes beginnen um 14 Uhr CET/8 Uhr ET.

Link zum Livestream

[5tift]

Danke jahead für die Information und den Link.
Konnte erst jetzt mal rein schauen und unter den Kommentaren ist jetzt nichts positives zu finden.
Hat er nun was zu dem Vorfall gesagt, oder nicht, weiß da jemand mehr?

[Soonandwaite]

Wer von Ledger noch nicht die Schnau** voll hat und dem Unternehmen immer noch vertraut kann sich jetzt das Nonplusultra anschaffen.
Ihr könnt euch das absolut geniale Ledger Atom Smartphone bestellen. Mit grandiosen 6.8" AMOLED Display und Schimpansen Glas....ah ne...Gorilla Glas .
Dazu ein 4000mAh Akku der den Spy Chip gut verdecken kann damit man ihn schlechter findet. 
Ein Muss für jeden Risiko behafteten Crypto Jünger.
Und es gibt 100€  Schmerzengeld wenn man jetzt bestellt. Ein wahrer Schnapper.

PS: Gab es nicht schon mal eine Firma die ein "Crypto Smartphone " rausgebracht hat ?

Hier könnt ihr schon mal bestellen wenn ihr heiß drauf seid und euch fragen wo das Implantat sitzen könnte 


Quelle: Ledger Smartphone   

[Buchi-88]

Und es gibt 100€  Schmerzengeld wenn man jetzt bestellt. Ein wahrer Schnapper.

Dieser Dreck ist einfach viel zu teuer und wenn ich mich da nicht versehen habe, es ist ja nicht einmal ein Smartphone sondern nur eine Android basiertes Handy mit reinem Datenzugang?

PS: Gab es nicht schon mal eine Firma die ein "Crypto Smartphone " rausgebracht hat ?

Da gab es einige, dass wohl bekannteste war das von Sirin Labs (der Token war ein Reinfall), sonst kenne ich nur folgende:

- Sirin Labs FINNEY
- Solana Saga
- Solana Seeker

Hier könnt ihr schon mal bestellen wenn ihr heiß drauf seid und euch fragen wo das Implantat sitzen könnte  

Wäre besser sie konzentrieren sich wieder einmal auf das Kerngeschäft und vor allem die Sicherheit... Aber wer benötigt schon eine sichere Hardwarewallet?

[Begru]

Danke jahead für die Information und den Link.
Konnte erst jetzt mal rein schauen und unter den Kommentaren ist jetzt nichts positives zu finden.
Hat er nun was zu dem Vorfall gesagt, oder nicht, weiß da jemand mehr?

https://www.btc-echo.de/news/manipulierte-wallets-ledger-praesentiert-ausgerechnet-jetzt-ein-neues-geraet-239275/

[jahead]

[...]
Hat er nun was zu dem Vorfall gesagt, oder nicht, weiß da jemand mehr?

Hab mir das Statement im ReLive eben angeschaut, und es wurde direkt nach dem Willkommen über "den Elefanten im Raum" gesprochen, im Grunde wurde kurz der Umstand erläutert, dass eine organisierte Gruppe in einer dezidierten Aktion Ledger im großen Stil gekauft hat und diese NACH Auslieferung manipuliert hat, damit wird nochmal deutlich gemacht, dass Ledger jegliche Schuld von sich weist und auch, das wird mehrfach betont, die Ledgerhardware und -chips nicht direkt manipuliert oder gehackt oder verändert wurden, sondern etwas den fertigen Produkten hinzugefügt wurde, Ledger selber sei natürlich save und ohne Fehler...   Weiter heißt es, wurde eine riesen Investigation angestossen, mit höchster Priorität, in der alle Abteilungen involviert sind. Bericht folgt. User werden bis dahin geupdatet. Das wars. Danke für nichts Ledger.  

Das neue Produkt ist scheisse. Die hätten diese Veranstaltung absagen sollen, dann deutlichere und mehr Worte zu dem Skandal finden, per Videonachricht verbreiten und den Release des neuen Geräts, das wirklich keine Sau braucht, verschieben sollen.  

Hier in dem Presseartikel: https://www.btc-echo.de/news/manipulierte-wallets-ledger-praesentiert-ausgerechnet-jetzt-ein-neues-geraet-239275/ wird gesagt:

Als Reaktion hat das Unternehmen eine umfangreiche Untersuchung eingeleitet und unter anderem Geräte aus deutschen Geschäften sowie Lagerbeständen überprüft. Bei den untersuchten Exemplaren seien keine Manipulationen festgestellt worden.

Haha, auf der Timeline bei X kann man nachvollziehen, dass angeblich innerhalb von 24h in diversen MediaMarkt-Filialen in Deutschland diverse Geräte geprüft wurden - in 24 Stunden...   ist klar. Weiter ist eines der manipulierten Geräten an Ledger geschickt worden und erst HEUTE per Post angekommen.

Und weil es auch auf X schon die Runde macht und jetzt publik ist, eines der manipulierten Geräte wurde im MediaMarkt in Bremerhaven an Kasse 12 gekauft, der User hat den Bon/die Quittung in die Kamera gehalten. Claude konnte den Screenshot recht einfach identifizieren und die Codes daraus entschlüsseln.

[Leon Zimmer]

Hab mir das Statement im ReLive eben angeschaut, und es wurde direkt nach dem Willkommen über "den Elefanten im Raum" gesprochen, im Grunde wurde kurz der Umstand erläutert, dass eine organisierte Gruppe in einer dezidierten Aktion Ledger im großen Stil gekauft hat und diese NACH Auslieferung manipuliert hat, damit wird nochmal deutlich gemacht, dass Ledger jegliche Schuld von sich weist und auch, das wird mehrfach betont, die Ledgerhardware und -chips nicht direkt manipuliert oder gehackt oder verändert wurden, sondern etwas den fertigen Produkten hinzugefügt wurde

Auf den ersten Blick scheint es die übliche Aussage zu sein.

„Wir wurden extern angegriffen, unsere Chips sind sauber“, das hört man in solchen Fällen fast immer. Interessant bleibt jedoch, wie weit die Lieferkette wirklich kontrolliert wird, wenn kompromittierte Geräte überhaupt erst den MediaMarkt erreichen. Dass die Manipulation erst nach dem Versand stattgefunden hat, macht es für den Verbraucher nicht besser. Am Ende des Tages landet das Gerät beim Kunden und auch der Echtheitstest erkennt es nicht.

[Soonandwaite]

Dieser Dreck ist einfach viel zu teuer und wenn ich mich da nicht versehen habe, es ist ja nicht einmal ein Smartphone sondern nur eine Android basiertes Handy mit reinem Datenzugang?

Jupp. Ist nicht möglich. Man soll sich wenn man es braucht wieder eine App / Software laden damit man damit telefonieren kann. Das soll dann möglich sein.
Und dann eine spezielle App mit Spy Version. Dann braucht man nicht mal den Chip wie im Ledger ...

Und ja. Meinte das von Sirin Labs . Wusste doch da war mal etwas vor Jahren. War ja sogar vor dem Solanas meine ich.

PS: Heute wurde bekannt das auch Notebooksbilliger gehackt wurde. Haben die auch mal Ledger oder andere HW-Wallets verkauft 

[5tift]

Vielen Dank @jahead für Deine Zusammenfassung.
Das ist doch echt erbärmlich wie man als Unternehmen auf so einen Vorfall reagieren kann.
@Soonandwaite wenn ich mir vorstelle meine Adresse mit Cryptobezug ist irgendwo im Netz unterwegs, da könnt ich auch nicht ruhig schlafen.
Hoffen wir das Beste

[mole0815]

Wie Ledger reagiert zeigt mal wieder auf was sie von uns Kunden halten
Ich habe soeben die letzten drei Seiten des Threads gelesen und wusste bis zu diesem Zeitpunkt noch nichts von dem ganzen Drama... und Drama beschreibt es echt gut was den Betroffenen wiederfahren ist.

Und der Thread wurde von Beitrag zu Beitrag schlimmer. Die Sache ist unfassbar und dass es nun sogar zwei verschiedene Arten der Abzocke gab (1x mittels Chip und verkauftem offiziellen Ledger Händler und 1x über MediaMarkt) ist echt irre.

[Unknown01]

Ich rechne damit, dass Ledger nun Umsatzeinbrüche haben wird und vermutlich irgendwann auch zusperren wird. Beim besten Willen kann ich mir nicht vorstellen, dass da noch irgendjemand, der über die Vorfälle informiert war, einen Ledger kaufen würde. Ich selbst bin immer noch am überlegen, ob ein Transfer auf den Trezor eine bessere Option ist, oder eben nicht. Mein Ledger ist ja doch wesentlich älter.. aufschrauben mag ich aber auch nicht.

[Lemonmate]

Wie Ledger reagiert zeigt mal wieder auf was sie von uns Kunden halten
Ich habe soeben die letzten drei Seiten des Threads gelesen und wusste bis zu diesem Zeitpunkt noch nichts von dem ganzen Drama... und Drama beschreibt es echt gut was den Betroffenen wiederfahren ist.

Und der Thread wurde von Beitrag zu Beitrag schlimmer. Die Sache ist unfassbar und dass es nun sogar zwei verschiedene Arten der Abzocke gab (1x mittels Chip und verkauftem offiziellen Ledger Händler und 1x über MediaMarkt) ist echt irre.

Genau deshalb ist das Ganze so gruselig. Bisher konnte man zumindest davon ausgehen, dass man beim Kauf bei einem autorisierten Händler in sicheren Händen ist. Aber wenn eine solche Manipulation selbst dort passieren kann, wie sollen die Kunden dann noch Vertrauen haben?

Ich frage mich, welche Auswirkungen das für Ledger haben wird und wie sie garantieren wollen, dass solche Manipulationen in Zukunft erkannt werden.

[Lakai01]

Ich frage mich, welche Auswirkungen das für Ledger haben wird und wie sie garantieren wollen, dass solche Manipulationen in Zukunft erkannt werden.

Darauf bin ich auch sehr gespannt, ja.

Ledger ist gestern bei der Keynote auch explizit auf die Fälle eingegangen und hat in weiterer Folge auch folgenden Blogpost veröffentlicht: https://www.ledger.com/blog-response-hardware-implant-attack

Zusammengefasst: Wir sind nicht schuld, es war ein hochkomplexes Netzwerk dahinter welches Ledger gezielt angegriffen hat. Sie haben lt. eigenen Angaben dahingehend auch noch mehr vor:

We have also been working on additional measures to thwart this kind of attack at the product level. Stay tuned.