35C3: Wallet.fail hackt Ledger und Trezor

Quelle: Shutterstock

35C3: Wallet.fail hackt Ledger und Trezor

Auf dem 35. Kongress des Chaos Computer Clubs in Leipzig stellten Hacker die Sicherheitslücken der populären Hardware Wallets Ledger und Trezor vor. Resultat: Die Geräte sind nicht so sicher wie man denkt. 

Seine eigene Bank sein – welch ein Traum für manchen. Doch mit großer Macht kommt große Verantwortung. Schließlich bedeutet BYOB auch, dass man für die eigene Sicherheit zuständig ist. Bisher reichte hier vermeintlich der Griff zu erschwinglichen Hardware Wallets wie dem Ledger Nano S oder dem Trezor One. Hier müssten die gehodleten Kryptos doch sicher liegen?

Nicht ganz. Denn wenn die Hardware Wallet in die Hände eines talentierten Angreifers fällt, kann dieser an die Bestände gelangen. Das demonstrierte wallet.fail jüngst auf dem Hacker-Kongress in Leipzig.

Den vollen Vortrag kann man sich hier anschauen:

Snake auf dem Ledger Nano S

Der Ledger Nano S lag zuerst auf dem Versuchstisch der Hacker von wallet.fail. Eine Analyse der Hardware zeigte, dass der Microcontroller STM32 unsicher war und durch eine Manipulation dessen auch der sichere Hardware-Teil – der ST31 – getäuscht werden könnte.

Auf der Bühne des 35C3 erklärt der deutsche IT-Sicherheitsexperte Thomas Roth, wie sie es geschafft haben, ihre eigene Firmware auf den STM32 des Ledgers zu übertragen. Letztlich konnten sie so den Handy-Klassiker Snake auf dem Ledger Nano S spielen.

Auch der größere Bruder des Nano S, der Ledger Blue, war nicht vor den Angreifern sicher. Mit Hilfe einer Antenne gelang es wallet.fail, die Tastendrücke des Ledger Blue abzufangen. Mit 90-prozentiger Genauigkeit waren sie so in der Lage, den Pin abzuhören.

In der Zwischenzeit hat Ledger Stellung zu dem Vortrag bezogen. Auf der einen Seite wäre es dem Angreifer nicht möglich, an die Seed Phrase oder die Pin zu gelangen, da Snake nur auf dem MCU, nicht aber auf dem Secure Element lief. Auf der anderen Seite sind die Angriffsvektoren unrealistisch und nicht zu reproduzieren, da der Angreifer in der Nähe seines Opfers sein müsste und ein anderer Angriffsvektor – wie das Installieren einer Kamera – einfacher wäre.

Glitch Me If You Can

Das populäre Open-Source-Pendant zu Ledger ist Trezor. Auch wenn der Angriff sich hier etwas kniffliger gestaltete als bei Ledger, behielten die Hacker nach dreimonatiger Arbeit die Überhand.

Die Herausforderung bestand hier, das richtige Zeitintervall beim Upgraden der Firmware abzupassen und dann einen Glitch zu erzeugen. So lässt sich Zugriff auf das RAM erhalten, wo die Seed Phrase in Klartext gespeichert liegt. Mit einer einfachen String-Funktion konnte wallet.fail so die Seed Phrase und auch die Pin auslesen.

Wenn die eigene Hardware Wallet also Bekanntschaft mit einem Trezor Glitcher machen muss, sind die gespeicherten Kryptowährungen nicht sicher.

Das Team betont auf der Bühne dennoch die relative Schwierigkeit, den Trezor zu knacken. Die Schwachstelle liege hier tatsächlich auf der Hardware-Ebene, bei den ARM-Chips und nicht in der Software.

Katz-und-Maus-Spiel

Der Vortrag von wallet.fail auf dem 35C3 zeigt eindrucksvoll das Katz-und-Maus-Spiel zwischen Angreifer und Verteidiger in der Sicherheit. Prinzipiell ist kein System sicher, die Frage ist nur, wie aufwändig ein Angriff ist. Es ist trotz erster Schrecksekunde positiv zu werten, dass solche Arbeit mit Hardware Wallets vorgenommen wird. Schließlich ist es besser, die Sicherheitslücke zu veröffentlichen und zu schließen als unbekannt und damit angreifbar zu belassen.

Für den Otto Normalverbraucher heißt dies auch nicht, dass der Ledger oder Trezor aus dem Fenster geworfen werden muss. Im Gegenteil sollte man sich lieber über eine sichere Aufbewahrung sorgen. Schließlich muss der Angreifer erst in den Besitz der Hardware Wallet gelangen, um die Angriffsvektoren durchzuführen.

Wer seine eigene Bank sein möchte, muss sich auch ständig über die neuen Entwicklungen in der Sicherheit auf dem Laufenden halten und entsprechend anpassen.

BTC-ECHO

Mehr zum Thema:

Ähnliche Artikel

Bitcoin erreicht die Premier League: Bitcoin-Logo ab sofort auf Trikots des FC Watford
Bitcoin erreicht die Premier League: Bitcoin-Logo ab sofort auf Trikots des FC Watford
Bitcoin

Ein großer englischer Fußballverein entschließt sich dazu, das Bitcoin-Logo auf seine Trikots zu drucken. Diese Kampagne dient offenbar dazu, die Beliebtheit der Kryptowährung zu steigern. Gesponsert wird das Ganze von Sportsbet.io, während die Finanzierung über Crowdfunding läuft. Es ist nicht das erste Mal, dass Fußballclubs sich mit Bitcoin & Co. beschäftigen.

Bitcoin sicher aufbewahren: AXA versichert Hoyos „sicherste Hot Wallet der Welt“
Bitcoin sicher aufbewahren: AXA versichert Hoyos „sicherste Hot Wallet der Welt“
Sicherheit

AXA XL hat eine Versicherungslösung für mobile Krypto-Wallets des Anbieters Hoyos entwickelt. Hoyos verpflichtet sich nun im Falle eines Hacks, bis zu eine Million US-Dollar an betroffene Nutzer zu zahlen.

Newsletter

Die aktuellsten News kostenlos per E-Mail

Aktuell

„Ich kann mir keinen Bitcoin leisten“ – Billig-Coins als Alternativ-Investment?
„Ich kann mir keinen Bitcoin leisten“ – Billig-Coins als Alternativ-Investment?
Invest

Manche Einsteiger in den Krypto-Markt sind entmutigt, weil sie sich keinen ganzen Bitcoin leisten können. Sollten Investoren sich davon abhalten lassen oder gar „billige“ Coins kaufen?

Bitcoin und traditionelle Märkte – Bitcoin-Kurs seitwärts, aber entkoppelt
Bitcoin und traditionelle Märkte – Bitcoin-Kurs seitwärts, aber entkoppelt
Kursanalyse

Die Korrelation Bitcoins mit den übrigen Märkten ist wieder auf ein Minimum gesunken. Dasselbe lässt sich über die Volatilität und aktuell leider auch über die Performance sagen.

Die Top Bitcoin und Blockchain News der Woche: Dünne Luft für Ripple
Die Top Bitcoin und Blockchain News der Woche: Dünne Luft für Ripple
Bitcoin

Gefälschte QR-Codes bei Bitcoin, gewagte Kursprognosen, ein naherückender ETF und dünne Luft für Ripple: Der BTC-ECHO-Newsflash.

Bitcoin erreicht die Premier League: Bitcoin-Logo ab sofort auf Trikots des FC Watford
Bitcoin erreicht die Premier League: Bitcoin-Logo ab sofort auf Trikots des FC Watford
Bitcoin

Ein großer englischer Fußballverein entschließt sich dazu, das Bitcoin-Logo auf seine Trikots zu drucken. Diese Kampagne dient offenbar dazu, die Beliebtheit der Kryptowährung zu steigern. Gesponsert wird das Ganze von Sportsbet.io, während die Finanzierung über Crowdfunding läuft. Es ist nicht das erste Mal, dass Fußballclubs sich mit Bitcoin & Co. beschäftigen.

Angesagt

ConsenSys: Ethereum-Entwickler treten Hyperledger bei
Unternehmen

Auch jenseits von Bitcoin & Co. liefert die Blockchain-Technologie eine Fülle an Anwendungsmöglichkeiten. Die Adaption der Blockchain erfordert allerdings eine branchenweite Kooperation. Hyperledger hat sich eben dieser Aufgabe verschrieben. Mit ConsenSys erhält es nun ein weiteres prominentes Mitglied.

Bitcoin-Kurs: 5 Szenarien, die den Krypto-Markt beeinflussen
Bitcoin

Der Bitcoin-Kurs bewegt sich seit geraumer Zeit seitwärts. Die 10.000-US-Dollar-Marke scheint bislang zu halten. Doch Anleger träumen von hoher Rendite, während sich die Szene im Sommerschlaf befindet. Von diesen 5 Ereignissen erwarten sich Anleger Signale für den Bitcoin-Kurs.

Bitcoin sicher aufbewahren: AXA versichert Hoyos „sicherste Hot Wallet der Welt“
Sicherheit

AXA XL hat eine Versicherungslösung für mobile Krypto-Wallets des Anbieters Hoyos entwickelt. Hoyos verpflichtet sich nun im Falle eines Hacks, bis zu eine Million US-Dollar an betroffene Nutzer zu zahlen.

Bitcoin Futures „Unlimited“: CME will Obergrenze verdoppeln
Insights

Großinvestoren, die zwar wenig von Bitcoin verstehen, aber umso lieber auf den Bitcoin-Kurs wetten, dürfen wohl bald mit 100 Millionen US-Dollar am Tisch sitzen. Bisher lag das Limit bei 50 Millionen US-Dollar. Dafür hat die Chicago Mercantile Exchange (CME) einen Antrag gestellt.

Warte mal kurz ... !

Kennst du schon unseren Newsletter? Wir versorgen dich kostenlos mit den spannendsten News der Krypto- und Blockchainszene: