Im Juli dieses Jahres musste wohl so mancher Ledger-Kunde schlucken, als bekannt wurde, dass es einem Hacker gelungen war, dem Hersteller von Hardware Wallets im großen Stil Kundendaten zu entwenden. Nun stehen die Daten in einem Forum zum Download bereit.
Ledger Leak: Kundendaten zum Nulltarif
Am 20. Dezember hat ein Twitter User Alarm geschlagen:
Uhh shiit! Ein Hacker hat den kompletten Ledger-Datenbank-Dump kostenlos auf raidforums gestellt! Emails, Telefonnummern und Adressen! Macht euch bereit für eine riesige Spam- und Phishing-Welle!
Die Daten sind auf dem bekannten Hackerforum Raidforums erschienen.
Für eine Handvoll BTC
Bei dem Post-Ersteller handelte es sich nach eigenen Angaben nicht um den Angreifer selbst. Der User mit dem Namen Burgulema111 gibt an, dass für die Datenbank an anderer Stelle bereits 5 BTC gezahlt worden seien. Er verbindet seinen Post mit einer harschen Kritik an dem Bitcoin-Wallet-Fabrikanten:
Der erste bestätigte Preis, den ich für diese Datenbank gesehen habe, war 5 BTC. Jemand kaufte es von einem anderen Typen in einem der Foren. Heute kann man sie umsonst bekommen. Um das klarzustellen: Ich bin nicht der Besitzer dieser DB [Datenbank] und auch nicht der Typ, der sie zuerst kostenlos in einem anderen Forum geleakt hat, also hört auf, mich wegen irgendwelcher anderer DBs und so weiter anzuschreiben. Ledger, ihr solltet euch für die Art und Weise schämen, wie ihr Geschäfte macht und mit der Privatsphäre der Benutzer umgeht.
Ledger hat mittlerweile bestätigt, dass die veröffentlichten Nutzerdaten augenscheinlich aus dem Hack seiner E-Commerce-Datenbank im Sommer stammen.
Heute wurden wir auf den Dump des Inhalts einer Ledger-Kundendatenbank im Raidforum aufmerksam gemacht. Wir sind noch dabei, dies zu bestätigen, aber erste Anzeichen sagen uns, dass dies tatsächlich der Inhalt unserer E-Commerce-Datenbank vom Juni 2020 sein könnte.
Das Unternehmen ruft die Kunden dazu auf, niemals den Seed Phrase an Dritte weiterzugeben und sich besonders vor Phishing-Versuchen in Acht zu nehmen.
Phishing nimmt zu
Seit dem Hack beobachtet Ledger eine Zunahme bei Phishing-Kampagnen. Dabei werden Kunden von teilweise sehr authentisch wirkenden E-Mails, SMS, Websites oder Apps dazu verleitet, ihren Seed Phrase und damit de facto die Kontrolle über ihr Krypto-Vermögen heraus zu rücken.
Seit Ende Oktober hat Ledger 171 Phishing-Websites ausfindig gemacht und sperren lassen. Den aktuellen Stand kann man unter diesem Link einsehen.
Wer sich an die Faustregel hält, seine Private Keys beziehungsweise seinen Seed Phrase mit niemandem zu teilen, muss sich um seine Krypto-Einlagen nicht fürchten. Dennoch hinterlässt der Umstand, dass ausgerechnet der Hersteller von Hardware Wallets, die zu den sichersten Aufbewahrungsmethoden für Bitcoin und Co. zählen, seine Kundendaten offenbar nicht ausreichend gesichert hat, einen faden Beigeschmack.
Wer wissen will, ob seine Daten bei Ledger (oder anderswo) kompromittiert wurden, kann dies beispielsweise auf der Website haveibeenpwned.com tun. Wer indes eine deutsche Bedienoberfläche bevorzugt, der kann etwa bei www.experte.de vorbeischauen.
