Tangem-Android-SDK ignorierte beim ersten Scan die Offline-Echtheitsprüfung der Karte
Wer betroffen ist
Bei Android-Nutzern der Tangem-App vor 5.18.3 konnte der erste Scan einer Karte akzeptiert werden, auch wenn die Offline-Echtheitsprüfung fehlschlug. Tangem erklärt, dass dies in realen Szenarien nicht ausgenutzt werden konnte.
Was passiert ist
In den Versionshinweisen zur Android-App von Tangem in Version 5.18.3 vom 28. November 2024 erklärt Tangem, dass ein Fehler in der Logik der Offline-Wallet-Attestierung (der Echtheitsprüfung) im Tangem Android SDK erkannt und behoben wurde. Laut Tangem führte der Fehler dazu, dass Prüfergebnisse beim ersten Scan einer Karte ignoriert wurden.
Das Problem wurde am 7. März 2025 als CVE-2025-27839 veröffentlicht. Der Eintrag beschreibt einen Logikfehler in operations/attestation/AttestationTask.kt im Tangem SDK für Android vor 5.18.3, der dazu führt, dass Prüfergebnisse beim ersten Scan einer Karte außer Acht gelassen werden. Er stuft die Schwachstelle als CWE-1025 (Vergleich anhand falscher Faktoren) ein und vergibt einen CVSS-3.1-Basiswert von 3,2 (niedrig). Der CVE-Eintrag selbst merkt an, dass eine Ausnutzung möglicherweise nicht möglich war.
In Tangems Versionshinweisen heißt es, eine Ausnutzung sei in realen Szenarien nicht umsetzbar gewesen und die Korrektur stärke die Sicherheit. Der GitHub-Commit und der Release-Tag, auf die der CVE-Eintrag verweist, sind im öffentlichen Repository tangem-sdk-android nicht mehr abrufbar.
Firmware-Attestierung ist der Prozess der Überprüfung der Authentizität der Firmware eines Geräts, um sicherzustellen, dass sie nicht manipuliert wurde, und wird häufig in Hardware-Wallets zur Sicherstellung der Sicherheit verwendet.
Read full definitionQuellen
Unabhängige Berichte und Forschung, an denen dieser Eintrag geprüft wurde.
Mehr erfahren
Ratgeber zum Schutz vor dieser Art von Vorfall (Software-Schwachstelle) und die Glossarbegriffe, mit denen er beschrieben wird.
Wie schützen Sie Ihre Krypto vor Hackern
Praktische Schritte zum Schutz Ihrer Kryptowährung vor Hackern, Malware, Phishing und Social-Engineering-Angriffen.
Leitfaden lesenWie man Krypto sicher sendet
Das Senden von Krypto kann beängstigend sein – eine falsche Adresse und die Gelder sind für immer weg. Folgen Sie dieser Anleitung, um sicher zu senden.
Leitfaden lesenMalware
Malware ist Schadsoftware, die Krypto stiehlt oder umleitet, etwa durch Mitschneiden von Eingaben, Austauschen kopierter Adressen oder Auslesen von Wallet-Dateien.
Blind Signing
Blind Signing ist der Prozess, eine Transaktion zu signieren, ohne deren Inhalt einzusehen, und wird typischerweise in Hardware-Wallets zur Verbesserung der Sicherheit verwendet.
Diesen Eintrag zitieren
WalletInsights. „Tangem-Android-SDK ignorierte beim ersten Scan die Offline-Echtheitsprüfung der Karte“. Tracker für Sicherheitsvorfälle bei Hardware-Wallets. Zuletzt geprüft am 4. November 2026. https://walletinsights.io/de/security-incidents/tangem-android-sdk-attestation-first-scan-2024/
Korrekturen und Recht auf Gegendarstellung
Hersteller, Forschende und Leser können Korrekturen oder Stellungnahmen an security@walletinsights.io senden. Wir prüfen sie anhand der Quellen, aktualisieren den Eintrag und vermerken die Änderung im Protokoll.