Ledger weist Hack-Vorwürfe zurück, nachdem der Wettbewerber OneKey einen Transaktions-Tauschangriff auf die Ethereum-(ETH)-App 1.22.1 im Labor nachgestellt hat – eine Version, die bereits zwei Wochen zuvor gepatcht worden war.
Wichtigste Punkte:
- OneKeys Sicherheitsteam Anzen rekonstruierte im Labor einen Angriff zur Transaktionsersetzung gegen Ledgers Ethereum-App Version 1.22.1.
- Ledger erklärt, die zugrunde liegende Schwachstelle sei bereits am 13. August in Ethereum-App 1.22.2 behoben worden; Hinweise auf Angriffe gegen Nutzer gebe es nicht.
- Kunden sollen nun Ethereum-App 1.22.3 oder höher installieren und die Version direkt auf dem Gerät überprüfen.
Ledger weist OneKeys Hack-Darstellung zurück
OneKey-Gründer und -Chef Yishi Wang schrieb am Donnerstag auf X, das Anzen-Team habe den Angriff im Labor vollständig durchgespielt. Bei dem Bug handele es sich um eine Race-Condition zwischen der Logik zur Anzeige der Transaktion und dem darunterliegenden Transaktionspuffer auf dem Gerät. Die Ingenieure bauten die betroffene App-Version selbst nach, um den kompletten Angriffsablauf reproduzieren zu können.
Ledger beschrieb denselben Sachverhalt in einem am gleichen Tag veröffentlichten Bulletin ebenfalls als Race-Condition. Ein Gerät mit einer betroffenen App konnte demnach auf dem Bildschirm eine Transaktion anzeigen, während im Hintergrund eine Signatur für völlig andere Transaktionsdaten erzeugt wurde.
Lesen Sie auch: Ethereum testet massiven Widerstand bei 2.500 US‑Dollar – Korrekturrisiko steigt
Charles Guillemet widerspricht der Exploit-Erzählung
Ledgers Technikchef Charles Guillemet stufte die OneKey-Demonstration als Laborübung ein – nicht als tatsächlichen Hack.
Er argumentierte, das bloße Reproduzieren eines bereits vor Wochen behobenen Fehlers sei weder ein Hack des Unternehmens noch seiner Nutzer. Ein realer Angriff hätte vorausgesetzt, dass ein Angreifer die Verbindung zwischen Gerät und Host bereits kontrolliert – etwa über Malware, eine kompromittierte Wallet-App oder eine bösartige Webseite. Die Schwachstelle habe zu keinem Zeitpunkt Seed-Phrasen oder private Schlüssel im Secure-Chip offengelegt, sondern lediglich die Parameter verändert, die das Gerät signiert.
Ledger fand nach eigenen Angaben keine Hinweise darauf, dass die Lücke im Feld gegen echte Kunden ausgenutzt wurde; bekannt gewordene gestohlene Gelder gibt es bislang nicht. Das Donjon-Forschungsteam des Unternehmens betonte, der Vorfall unterstreiche, wie wichtig Update-Fähigkeit bei Hardware-Wallets sei – ein Gerät, das sich im Feld nicht patchen lässt, könne de facto überhaupt nicht repariert werden.
Zeitachse der Patches für Ledgers Ethereum-App
Ledger verfolgte die Regression bis August 2025 zurück und erklärte, sie habe sämtliche Secure-SDK-Releases bis Version 26.6.0 betroffen, die am 11. August veröffentlicht wurde. Zunächst wurden Schutzmechanismen auf App-Ebene ausgeliefert – mit der Ethereum-App 1.22.2 am 13. August, also rund zwei Wochen vor der Demonstration des konkurrierenden Wallet-Anbieters.
Anschließend brachte das Unternehmen am 21. August Secure SDK 26.6.1 heraus, kompilierte seine Apps neu dagegen und veröffentlichte am 27. August das Bulletin. Darin forderte Ledger Nutzer auf, mindestens Version 1.22.3 der Ethereum-App zu installieren.
Die Auseinandersetzung folgt nur wenige Wochen, nachdem Angreifer seit dem 30. Juli Bitcoin-(BTC)-Bestände aus Coldcard-Wallets abziehen, indem sie eine Firmware-Schwäche ausnutzen, die bis März 2021 zurückreicht und die Generierung der Seed-Phrasen dieser Geräte geschwächt hatte. Guillemet wertete diesen Vorfall damals als Warnsignal für die gesamte Branche: Das Sicherheitsmodell einer Hardware-Wallet stehe und falle mit der Qualität ihrer Zufallszahlengenerierung.
Nächster Artikel: Kann Solana die Marke von 105 US‑Dollar halten? Eine anstehende Validator-Abstimmung könnte entscheiden
