Malware konnte die auf dem Computerbildschirm angezeigten Ledger-Empfangsadressen austauschen

Anfang Februar 2018 zeigte ein Proof of Concept, dass Malware auf einem Computer die Empfangsadresse verändern konnte, die Ledgers Chrome-Anwendungen anzeigten. Laut The Next Web wurde die Empfangsadresse von JavaScript erzeugt, das auf dem Host-Computer lief, und Malware ohne Administratorrechte konnte diesen Code ersetzen, sodass alle künftigen Einzahlungen an den Angreifer gingen. Cointelegraph berichtete, dass mehr als eine Million Ledger-Nutzer diesem Angriffsvektor ausgesetzt sein könnten.

The Next Web führt die Erkenntnisse auf einen auf DocDroid veröffentlichten Schwachstellenbericht zurück, dessen Autoren Ledger etwa einen Monat zuvor kontaktiert hatten. Ledgers eigener Beitrag spricht davon, dass Forscher die Demonstration veröffentlicht hätten, während Cointelegraph die Offenlegung als einen von Ledger am 3. Februar 2018 veröffentlichten Bericht beschrieb. An diesem Tag empfahl Ledger auf Twitter, die Empfangsadresse stets auf dem Gerätebildschirm zu überprüfen, und zwar über die Schaltfläche „Monitor“ im Empfangsdialog.

In einem Blogbeitrag vom 5. Februar 2018 erklärt Ledger, dass es sich nicht um eine Sicherheitslücke von Ledger handle, dass Nutzer nicht gefährdet seien, solange sie die neue Empfangsadresse auf dem Gerät überprüfen, und dass ihm kein Nutzer bekannt sei, der auf diese Weise Coins verloren habe. Laut Ledger wurde ein Update der Chrome-Anwendung Ledger Wallet Bitcoin veröffentlicht, das Nutzer auffordert, die Adresse auf dem Gerät zu überprüfen; die ETH- und XRP-Apps sollten folgen. Laut The Next Web erklärte Ledger, das Problem lasse sich nicht absolut lösen, weil Malware stets verändern könne, was ein Computerbildschirm anzeigt, und bezeichnete es als ein Problem aller Hardware-Wallets.

Was Ledger empfiehlt:

• Überprüfen Sie jede Empfangsadresse auf dem Gerätebildschirm, bevor Sie sie weitergeben.
• Betrachten Sie den Bildschirm der Hardware-Wallet als einzige vertrauenswürdige Anzeige.
• Aktualisieren Sie die Apps auf dem Gerät auf die neueste Version.