Dieser Artikel wurde von BlockWeeks zusammengestellt und übersetzt.
Diese Woche heizten sich zwei Hauptthemen gleichzeitig auf: Krypto-Sicherheit und Regulierung. Auf der einen Seite wurde in die Lieferkette von Ledger-Hardware-Wallets bösartige Hardware eingeschleust, wodurch rund 91 Millionen US-Dollar an Vermögenswerten massenhaft gestohlen wurden; auf der anderen Seite veröffentlichte das US-amerikanische Office of the Comptroller of the Currency (OCC) einen Bericht, in dem bestätigt wird, dass das Bankensystem legitime Kunden unter dem Vorwand des „Reputationsrisikos“ debanked hat. Die langjährigen Vorwürfe der Krypto-Branche erhielten damit eine offizielle, vorläufige Bestätigung.
Ledger-Lieferkettenangriff: Kein Knacken des privaten Schlüssels, sondern Auslesen der Seed-Phrase
Ledger untersucht einen Diebstahl im Zusammenhang mit rund 91 Millionen US-Dollar. Die betroffenen Nutzer hatten ihre Hardware-Wallets über den südostasiatischen Händler CryptoBilis gekauft, und Ledger hat bestätigt, dass mindestens ein verkauftes Gerät mit einem Hardware-Modul ausgestattet wurde, das die Seed-Phrase vom Bildschirm ablesen kann. CryptoBilis war auf der offiziellen Ledger-Website als autorisierter Händler für Indonesien, Malaysia und die Philippinen gelistet.
Am 9. Oktober forderte Ledger den Händler auf, alle Verkäufe und Versendungen auszusetzen, und benachrichtigte Nutzer, die in den vergangenen 90 Tagen ein Gerät gekauft hatten, das Gerät nicht einzurichten; falls es bereits eingerichtet sei, sollten sie sofort ihr Guthaben auf ein neues Gerät übertragen und eine neu generierte Seed-Phrase verwenden. Am folgenden Tag bestätigte Ledger, dass „das Gerät eines betroffenen Nutzers eine nicht autorisierte Hardware-Implantierung enthielt“. Am Dienstag erläuterte Ledger die Funktionsweise weiter: Im Inneren des Gerätegehäuses befinde sich eine eigenständige Komponente, die während des Einrichtungsvorgangs den Bildschirm auslese, die 24-Wörter-Seed-Phrase erfasse und sie dann über eine vorinstallierte eSIM per LTE-Netz nach außen sende. Dieses Modul berühre weder das Secure Element noch das Ledger-Betriebssystem, weshalb manipulierte Geräte dennoch den Genuine Check von Ledger bestehen können.
Eine unabhängige Zerlegung ergab, dass dieses Implantat mindestens drei Generationen durchlaufen hat; die neueste Version ist eine professionell gefertigte flexible Schaltung, die unter dem Display verborgen ist. Ledger erklärte, dass die eigenen Systeme und direkten Vertriebskanäle nicht kompromittiert worden seien, die betroffene Anzahl „begrenzt“ sei und alle derzeit bestätigten Fälle Geräte beträfen, die über CryptoBilis verkauft wurden. Der Händler hat sämtliche Hardware-Verkäufe ausgesetzt.
On-Chain-Geldfluss: 474 Adressen, 88 % des Werts innerhalb einer Stunde leergeräumt
On-Chain betrachtet sieht dies nicht wie vereinzelte Diebstähle einzelner Opfer aus, sondern eher wie eine massenhafte Ernte. Statistiken zeigen, dass rund 91 Millionen US-Dollar von 474 betroffenen Adressen abflossen, über Bitcoin, Ethereum, Arbitrum, Polygon und TRON hinweg: Davon stammten etwa 64,5 Millionen US-Dollar in USDT und TRX von 146 TRON-Adressen; 213 BTC (etwa 17,6 Millionen US-Dollar) von 279 Bitcoin-Adressen; weitere 8,8 Millionen US-Dollar in ETH und Stablecoins von 49 Ethereum-typischen Adressen. Rechnet man die noch nicht in die Statistik eingeflossene BNB Chain hinzu, liegen die von Tracking-Institutionen genannten Zahlen etwas höher, bei 93 bis 95 Millionen US-Dollar; die genannten 91 Millionen US-Dollar sind die Untergrenze.
Das Leerräumen der Bitcoin-Adressen begann am 7. Oktober, aber 88 % des Werts, etwa 80 Millionen US-Dollar, wurden innerhalb einer Stunde ab 05:00 UTC am 9. Oktober konzentriert abgezogen – genau am Morgen des Tages, an dem Ledger erstmals eine Erklärung abgab. Fast alle Bitcoin-Opferadressen hatten zuvor nie Ausgaben getätigt und gehörten zur Cold Storage, und der Großteil der Gelder war in den vergangenen 90 Tagen eingezahlt worden; einige Adressen lassen sich bis 2021 zurückverfolgen, was mit dem Szenario übereinstimmt, dass alte Seed-Phrasen auf manipulierten Geräten wiederhergestellt wurden.
Stand 15. Oktober befanden sich noch etwa 56,6 Millionen US-Dollar auf von den Angreifern kontrollierten Adressen: etwa 208 BTC lagen unverändert auf Bitcoin-Sammeladressen; etwa 12.800 ETH (von denen nicht wenige über Cross-Chain von TRON stammten) und 7,5 Millionen USDT lagen auf TRON-Zwischenkonten, die am Morgen des Diebstahls erstellt worden waren. Etwa 5.400 ETH (13,5 Millionen US-Dollar) wurden bereits über Tornado Cash geleitet, etwa 2 Millionen US-Dollar scheinen Exchange-Einzahlungsadressen erreicht zu haben, und Tether hat 10 Millionen US-Dollar USDT im Zusammenhang mit diesem Fall eingefroren. Mindestens ein Opfer richtete on-chain eine Botschaft an die Diebe und erklärte, bei Rückgabe der verbleibenden Vermögenswerte könne eine gewisse Beteiligung gewährt werden.
Das eigentliche Risiko liegt nicht in der elliptischen Kurve, sondern in der Lieferkette und der Angriffsökonomie im KI-Zeitalter
Eine Analyse von vor zwei Wochen wies bereits darauf hin, dass heute nur noch wenige die Mathematik privater Schlüssel selbst direkt angreifen; Angreifer wenden sich stattdessen dem Glied zu, das „der Mathematik sagt, was sie tun soll“. Der Diebstahl beim Ledger-Händler ist die physische Entsprechung dieser Logik. Das Secure Element erfüllte seine Aufgabe; die Seed-Phrase wurde lediglich von einem Chip, der dort nicht hätte existieren dürfen, vom Bildschirm abgelesen.
Im KI-Zeitalter verändert sich die Art und Weise, wie Cybersicherheitslücken offengelegt werden. Kürzlich wurde in der Forschung diskutiert, ob KI irgendwann ECDSA knacken wird, doch die unmittelbar drohende Gefahr liegt nicht in einem mathematischen Durchbruch. Keiner der Verluste dieses Quartals erforderte einen Durchbruch auf mathematischer Ebene: der Firmware-Build-Fehler bei Coldcard, die Validierungs-Cache-Schwachstelle bei Liquid, das kompromittierte Drittanbieter-Sicherheitsprodukt bei Bitget und nun die flexible Schaltung und eSIM. Keines dieser Ereignisse wurde KI-Tools zugeschrieben, und es sollte auch nicht so zugeschrieben werden. Aber KI verändert die Ökonomie aller Vorgänge rund um private Schlüssel.
Frontier-Modelle sind bereits in der Lage, echte Schwachstellen in weit verbreitetem Code zu finden, und das Zeitfenster von der Veröffentlichung einer Schwachstelle bis zu ihrer Ausnutzung schrumpft. Hacken führte 77 % der Verluste im dritten Quartal auf Lieferanten- und Entwicklerwerkzeuge, offengelegte, aber nicht ausgerollte Fixes sowie Infrastruktur außerhalb des Auditumfangs zurück. Dieselben Werkzeuge ermöglichen es auch, Angriffe kostengünstig zu skalieren: ein glaubwürdig wirkender Storefront, ein reaktionsschneller „Kundenservice“, ein Backend, das Hunderte Seed-Phrasen archiviert und auf den Eingang von Einzahlungen wartet. Für jeden, der in dieser Branche baut oder Vermögenswerte hält, bedeutet dies, dass man davon ausgehen muss, dass jede Abhängigkeit und jedes Glied der Lieferkette von unermüdlichen Gegnern kontinuierlich sondiert wird, und dass man dieselbe Automatisierung vor den Gegnern einsetzen muss, um den eigenen Code, die eigene Firmware und die eigenen Lieferanten zu prüfen.
Das einzigartige Risiko digitaler Bearer-Assets: Weder einziehbar noch zurückholbar
So sieht es aus, wenn die Verwahrung digitaler Bearer-Assets versagt. Die Eigenschaft, die Bitcoin vor Einziehung schützt, macht es auch unmöglich, es zurückzuholen. Es gibt keinen Emittenten, der zur Verantwortung gezogen werden kann, keinen Rückerstattungsmechanismus und keine Gerichtsanordnung, die eine On-Chain-Überweisung direkt rückgängig machen könnte. Die Finalität von Vermögenswerten ist ein Vorteil, wenn sie sicher sind, und wird bei Diebstahl zu einem irreversiblen Verlust.
OCC-Bericht: Banken debankten wegen „Reputationsrisiko“, Krypto-Branche erhält vorläufige Rehabilitation
Die Prüfung des OCC bestätigt, dass Banken sich auf „Reputationsrisiko“-Richtlinien stützten, denen klare, messbare Maßstäbe fehlen, und damit Kunden wegen ihrer politischen, religiösen und gesellschaftlichen Ansichten die Dienste abschnitten. Zu den Fällen gehört ein von JPMorgan gehaltener Zahlungsabwickler, dessen Konto geschlossen wurde, weil Händler MAGA-Artikel verkauften, sowie eine Geschäftssparte von Capital One, die politischen Gruppen beider Parteien ablehnte. Informelle branchenweite Beschränkungen für Schusswaffen, Kohle, Arktisbohrungen, private Gefängnisse, Tabak und digitale Vermögenswerte treffen kleine und mittlere Unternehmen am härtesten, während hochprofitable Großkunden oft Ausnahmen erhalten.
Das OCC warnte zudem, dass einige Banken das Reputationsrisiko in „Franchise-Risiko“ oder „Markenrisiko“ umbenennen, und dass keine Bank frühere Debanking-Entscheidungen öffentlich einräumt. Für die Krypto-Branche ist dies eine vorläufige Rehabilitation: Dass digitale Vermögenswerte in die Liste branchenweiter Beschränkungen beim Debanking durch Banken aufgenommen wurden, zeigt, dass die frühere Ausgrenzung nicht rein kommerzielle Gründe hatte.
Seit der Finanzkrise 2008 wurden Banken tiefer in das US-Regulierungssystem der Regierung eingebunden. Der Dodd-Frank Act und höhere Kapitalanforderungen für global systemrelevante Banken (GSIBs) wurden zu einem wirksamen Mittel der Regierung, das breitere Finanzsystem zu beaufsichtigen. Auch das Verhältnis zwischen Banken und Aufsichtsbehörden wandelte sich: In der Erzählung des Elizabeth-Warren-Lagers waren Banken einst der Feind der „Main Street“, heute gelten sie als Schlüsselknoten, um die Durchsetzung von Regulierung und die Umsetzung des Regierungswillens sicherzustellen.
Diese Politisierung ist in internen Entscheidungen von Banken nicht abstrakt. Ein Handelstisch erlebte nach dem Sturm auf das Kapitol am 6. Januar angespannte Wochen, in denen Geschäftsverantwortliche diskutierten, ob sie Donald Trump weiterhin Bankdienstleistungen anbieten sollten; die Kernfrage war genau das Reputationsrisiko. Der OCC-Bericht kommt einer Anerkennung gleich, dass solche vagen Maßstäbe zur Filterung nach politischen, religiösen und gesellschaftlichen Ansichten genutzt werden können.
Der Bericht selbst bietet jedoch nicht automatisch Schutz für die Zukunft. Das OCC hat bereits gewarnt, dass einige Banken ihre Bezeichnungen ändern, und keine Bank hat frühere Entscheidungen öffentlich eingeräumt. Ob die Aufsichtsbehörden die Durchsetzung fortsetzen, ob der Kongress Gesetze erlässt und ob Banken ihre Anreize ändern – erst das entscheidet darüber, ob Debanking in neuer Form zurückkehrt.
Für Marktteilnehmer weisen der Ledger-Vorfall und der OCC-Bericht gemeinsam auf dasselbe hin: Sicherheit und Zugang sind keine abstrakten Schlagworte. Ersteres verlangt, Lieferkette, Firmware, Drittanbieterwerkzeuge und On-Chain-Tracking in das tägliche Risikomanagement einzubeziehen; Letzteres erinnert die Branche daran, dass die regulatorische Rehabilitation nur ein Anfang ist und institutioneller Schutz weiterhin erkämpft werden muss.
