15-Jähriger knackt beliebtes Krypto-Wallet

Ein junger Brite hat eine Möglichkeit gefunden, Hardware-Wallets des Herstellers Ledger für kriminelle Zwecke zu überlisten.

Die kleinen Kryptowährungs-Wallets des französischen Unternehmens Ledger versprechen, sicher gegen unerlaubte Manipulationen zu sein. Weltweit wurden die Geräte in Größe von USB-Sticks laut dem Hersteller millionenfach verkauft. Der 15-jährige Brite Saleem Rashid hat nun allerdings den Beweis erbracht, dass es sehr wohl einen Weg gibt, um die Kryptowährungs-Geldbörsen zu manipulieren und Bitcoins, Ether oder andere Kryptowährungs-Einheiten davon abzuziehen.

Minimalistische Malware
Wie Ars Technica berichtet, hat es Rashid geschafft, die Ledger-Produkte Ledger Nano S (Kaufpreis rund 100 US-Dollar) und Ledger Blue (rund 200 Dollar) mit nur 300 Bytes an Code zu überlisten. Rashid nutzt dabei die Bauweise der Hardware-Wallets aus. Die Schwachstelle sitzt dabei in der Kommunikation zwischen einem sicheren Microcontroller und einem zweiten Microcontroller, der benötigt wird, um die Kommunikation der Ledger-Produkte über USB und die Bedienung per OLED und Druckknöpfen zu ermöglichen.

Böse Putzfrauen
Der Hack besteht aus dem Einschleusen einer neuen, manipulierten Firmware, die vom Angreifer vorgegebene Zugangscodes erstellt. Dadurch wäre es einem Angreifer beispielsweise möglich, Kryptowährungs-Transfers auf das Wallet des Angreifers umzuleiten oder gar transferierte Summen zu verändern. Um das manipulierte Firmware-Update auf das Gerät zu bringen, benötigt man freilich physischen Zugang dazu. Wie Rashid auf seinem Blog beschreibt, wäre etwa eine so genannte " Evil MaidAttack" vorstellbar. Jemand, der nur kurz Zugang zu dem Ledger-Produkt hat - etwa eine bösartige Putzfrau - könnte das Firmware-Update durchführen.
Hersteller beschwichtigt
Rashid hat Ledger bereits im November über die Sicherheitslücke informiert. Das Unternehmen hat seitdem ein Firmware-Update ausgeliefert, das die von Rashid entwickelte Zugangsmöglichkeit verschließt. Das grundlegende Problem liege laut Rashid aber an der Hardware-Architektur der Geräte (samt seinen zwei Microcontrollern). Ähnliche Angriffe lassen sich seiner Meinung nach relativ einfach reproduzieren. Ledger betont währenddessen, die von Rashid gefundene Lücke sei nicht kritisch.

"Hacker-Genie"
Sicherheitsforscher Matthew Green von der Johns Hopkins University (der auch bereits in einem anderen Kontext auf der futurezone erwähnt wurde) hat Saleem Rashids Arbeit analysiert und mit dem Briten gesprochen. Zur Leistung Rashids meint er: "Er ist einer der talentiertesten 15-Jährigen, mit denen ich jemals zu tun hatte. Ein echtes Hacker-Genie. Was er getan hat, ist clever, kreativ und vernichtend. Sollte sich herausstellen, dass er in Wirklichkeit ein 35-Jähriger ist, wäre er immer noch richtig talentiert, aber mein Vertrauen in die Menschheit wäre gestört."