35C3: Wallet.fail hackt Ledger und Trezor

Quelle: Shutterstock

35C3: Wallet.fail hackt Ledger und Trezor

Auf dem 35. Kongress des Chaos Computer Clubs in Leipzig stellten Hacker die Sicherheitslücken der populären Hardware Wallets Ledger und Trezor vor. Resultat: Die Geräte sind nicht so sicher wie man denkt. 

Seine eigene Bank sein – welch ein Traum für manchen. Doch mit großer Macht kommt große Verantwortung. Schließlich bedeutet BYOB auch, dass man für die eigene Sicherheit zuständig ist. Bisher reichte hier vermeintlich der Griff zu erschwinglichen Hardware Wallets wie dem Ledger Nano S oder dem Trezor One. Hier müssten die gehodleten Kryptos doch sicher liegen?

Nicht ganz. Denn wenn die Hardware Wallet in die Hände eines talentierten Angreifers fällt, kann dieser an die Bestände gelangen. Das demonstrierte wallet.fail jüngst auf dem Hacker-Kongress in Leipzig.

Den vollen Vortrag kann man sich hier anschauen:

Snake auf dem Ledger Nano S

Der Ledger Nano S lag zuerst auf dem Versuchstisch der Hacker von wallet.fail. Eine Analyse der Hardware zeigte, dass der Microcontroller STM32 unsicher war und durch eine Manipulation dessen auch der sichere Hardware-Teil – der ST31 – getäuscht werden könnte.

Auf der Bühne des 35C3 erklärt der deutsche IT-Sicherheitsexperte Thomas Roth, wie sie es geschafft haben, ihre eigene Firmware auf den STM32 des Ledgers zu übertragen. Letztlich konnten sie so den Handy-Klassiker Snake auf dem Ledger Nano S spielen.

Auch der größere Bruder des Nano S, der Ledger Blue, war nicht vor den Angreifern sicher. Mit Hilfe einer Antenne gelang es wallet.fail, die Tastendrücke des Ledger Blue abzufangen. Mit 90-prozentiger Genauigkeit waren sie so in der Lage, den Pin abzuhören.

In der Zwischenzeit hat Ledger Stellung zu dem Vortrag bezogen. Auf der einen Seite wäre es dem Angreifer nicht möglich, an die Seed Phrase oder die Pin zu gelangen, da Snake nur auf dem MCU, nicht aber auf dem Secure Element lief. Auf der anderen Seite sind die Angriffsvektoren unrealistisch und nicht zu reproduzieren, da der Angreifer in der Nähe seines Opfers sein müsste und ein anderer Angriffsvektor – wie das Installieren einer Kamera – einfacher wäre.

Glitch Me If You Can

Das populäre Open-Source-Pendant zu Ledger ist Trezor. Auch wenn der Angriff sich hier etwas kniffliger gestaltete als bei Ledger, behielten die Hacker nach dreimonatiger Arbeit die Überhand.

Die Herausforderung bestand hier, das richtige Zeitintervall beim Upgraden der Firmware abzupassen und dann einen Glitch zu erzeugen. So lässt sich Zugriff auf das RAM erhalten, wo die Seed Phrase in Klartext gespeichert liegt. Mit einer einfachen String-Funktion konnte wallet.fail so die Seed Phrase und auch die Pin auslesen.

Wenn die eigene Hardware Wallet also Bekanntschaft mit einem Trezor Glitcher machen muss, sind die gespeicherten Kryptowährungen nicht sicher.

Das Team betont auf der Bühne dennoch die relative Schwierigkeit, den Trezor zu knacken. Die Schwachstelle liege hier tatsächlich auf der Hardware-Ebene, bei den ARM-Chips und nicht in der Software.

Katz-und-Maus-Spiel

Der Vortrag von wallet.fail auf dem 35C3 zeigt eindrucksvoll das Katz-und-Maus-Spiel zwischen Angreifer und Verteidiger in der Sicherheit. Prinzipiell ist kein System sicher, die Frage ist nur, wie aufwändig ein Angriff ist. Es ist trotz erster Schrecksekunde positiv zu werten, dass solche Arbeit mit Hardware Wallets vorgenommen wird. Schließlich ist es besser, die Sicherheitslücke zu veröffentlichen und zu schließen als unbekannt und damit angreifbar zu belassen.

Für den Otto Normalverbraucher heißt dies auch nicht, dass der Ledger oder Trezor aus dem Fenster geworfen werden muss. Im Gegenteil sollte man sich lieber über eine sichere Aufbewahrung sorgen. Schließlich muss der Angreifer erst in den Besitz der Hardware Wallet gelangen, um die Angriffsvektoren durchzuführen.

Wer seine eigene Bank sein möchte, muss sich auch ständig über die neuen Entwicklungen in der Sicherheit auf dem Laufenden halten und entsprechend anpassen.

BTC-ECHO

Bitcoin & Altcoins kaufen: Kryptowährungen kaufen, verkaufen oder traden – wir haben die besten Broker, Börsen und Zertifikate zusammengestellt: Bitcoin kaufen | Ether kaufen | Ripple kaufen | IOTA kaufen | Broker-Vergleich

Mehr zum Thema:

Ähnliche Artikel

Bitcoin-Mixer im Visier: Europol beschlagnahmt Bestmixer.io
Bitcoin-Mixer im Visier: Europol beschlagnahmt Bestmixer.io
Szene

BestMixer.io, einer der weltweit größten Bitcoin-Tumbler, ist abgeschaltet worden. Der niederländische Steuer-Informations- und Ermittlungsdienst FIOD hat die Online-Plattform am 22.

Craig Wright: US-Behörde äußert sich zu vermeintlichem Bitcoin-Erfinder
Craig Wright: US-Behörde äußert sich zu vermeintlichem Bitcoin-Erfinder
Bitcoin

Die Nachricht, dass Craig Steven Wright einen Urheberrechtsanspruch auf Bitcoin angemeldet hat, schlug hohe Wellen.

Newsletter

Die besten News kostenlos per E-Mail

Finde einen Job mit Zukunft

    Aktuell

    Tone Vays im Interview: „Ich schließe einen Bitcoin-Kurs unter 3.000 US-Dollar nicht aus“
    Tone Vays im Interview: „Ich schließe einen Bitcoin-Kurs unter 3.000 US-Dollar nicht aus“
    Interview

    BTC-ECHO hat mit Tone Vays über Trading, Bitcoin und das Krypto-Ökosystem sprechen.

    5 dezentrale Exchanges, die Hodler kennen sollten
    5 dezentrale Exchanges, die Hodler kennen sollten
    Kolumne

    Dezentrale Exchanges gelten als die Zukunft des Krypto-Handels. Und das nicht ohne Grund: Schließlich denken DEX den Grundgedanken von Kryptowährungen, nämlich dessen Peer-to-Peer-Charakter zu Ende. 

    Tone Vays im Interview: „Banken haben nur die Macht, die die Gesellschaft ihnen zugesteht“
    Tone Vays im Interview: „Banken haben nur die Macht, die die Gesellschaft ihnen zugesteht“
    Interview

    Im Juni wird Tone Vays auf der Unchain Convention einen Vortrag halten.

    Alibaba: Chinas führende Handelsplattform setzt verstärkt auf Blockchain
    Alibaba: Chinas führende Handelsplattform setzt verstärkt auf Blockchain
    Blockchain

    Der chinesische E-Commerce-Riese Alibaba hat ein neues Blockchain-System zum Schutz von geistigen Eigentumsrechten angekündigt.

    Angesagt

    Russische Zentralbank denkt über goldgedeckte Kryptowährung nach
    Politik

    Die Chefin der russischen Zentralbank äußerte sich zum Thema Kryptowährungen.

    US-Behörde gibt Grayscale Ethereum Trust für Privatanleger frei
    Ethereum

    Die Financial Industry Regulatory Authority (FINRA) gibt den Grayscale Ethereum Trust für Kleinanleger frei.

    BBC: Facebook-Kryptowährung „GlobalCoin“ soll 2020 kommen
    Altcoins

    Berichten der Rundfunkanstalt BBC zufolge plant Facebook den Start seiner eigenen Kryptowährung bereits für das kommende Jahr.

    AT&T-Kunden können Rechnungen ab sofort mit Bitcoin bezahlen
    Bitcoin

    Kunden des Telekommunikationsanbieters AT&T können ihre Rechnungen ab sofort mit Bitcoin bezahlen.

    ×

    Warte mal kurz...

    Wir versorgen dich kostenlos mit den spannendsten News der Krypto- und Blockchainszene:
    Ich stimme zu, dass meine E-Mail-Adresse für den Versand des Newsletters gespeichert und verarbeitet wird.

    Warte mal kurz ... !

    Kennst du schon unseren Newsletter? Wir versorgen dich kostenlos mit den spannendsten News der Krypto- und Blockchainszene: