In Deutschland werden derzeit offenbar betrügerische Briefe im Namen von Ledger verschickt. In den Benachrichtigungen wird behauptet, dass neue regulatorische Anforderungen eine Registrierung bei einem Dienst namens ZenLedger für alle deutschen Ledger-Kunden verpflichtend machten. Als Frist dafür wird in dem Schreiben, das BTC-ECHO vorliegt, der 31. Oktober genannt.
Bei den täuschend echt aussehenden Briefen handelt es sich um Fälschungen. Die Masche setzt auf Autorität. Das Papier trägt das Ledger-Logo, eine Deutschlandflagge und den Vermerk “Kundenmitteilung”. Im Text tauchen die Finanzaufsicht BaFin und das Bundeszentralamt für Steuern auf, angeblich legten beide zunehmend Wert auf korrekte Aufzeichnungen digitaler Vermögenswerte. Wer nicht reagiere, dem drohen angeblich Rückfragen von Behörden, zusätzliche Überprüfungen und Verzögerungen bei Börsen wie Coinbase. Sogar eine Rabattkarte über 15 Prozent liegt dem Schreiben bei, das den Vorgang wie ein gewöhnliches Kundenangebot wirken lassen soll.
Diese Meldepflicht existiert nicht
Der Kern des Schreibens ist jedoch frei erfunden. Eine Pflicht für Besitzer selbstverwahrter Wallets, sich irgendwo zu registrieren, gibt es weder in Deutschland noch einem anderen Land. Die gesetzlichen Meldepflichten nach dem Kryptowerte-Steuertransparenzgesetz richten sich an Krypto-Dienstleister, also an Börsen und Verwahrer. Wer seine Coins selbst hält, fällt nicht darunter. Entsprechend existiert auch keine Frist bis zum 31. Oktober.
Zu beachten ist außerdem: ZenLedger ist zwar ein real existierendes US-Unternehmen für Krypto-Steuersoftware. Die Betrüger nutzen den Namen jedoch lediglich als Fassade, ein Zusammenhang mit der Firma besteht nach allem, was bekannt ist, ebenfalls nicht. Eine Anfrage von BTC-ECHO an Ledger blieb bis Redaktionsschluss unbeantwortet.
Die eigentliche Gefahr steckt vermutlich im QR-Code auf dem Schreiben. Wohin er führt, ist nicht abschließend geklärt, naheliegend ist eine nachgebaute Registrierungsseite. Dort dürften persönliche Daten abgefragt werden, im schlimmsten Fall die 24 Wörter der Wiederherstellungsphrase. Wer sie eingibt, verliert den Zugriff auf sein Guthaben.
Woher die Adressen stammen
Besonders unangenehm ist, dass die Briefe mit vollständigem Namen und korrekter Postanschrift ankommen. Erste Berichte über nahezu identische Schreiben gab es Mitte Oktober, unter anderem von einem deutschen Nutzer auf X.
Als Quelle der Daten gilt ein Datenleck beim Dienstleister Global-e, der den Versand für Ledger abwickelte und damit Zugriff auf Lieferadressen hatte. Seit dem Vorfall im Januar tauchen in mehreren Ländern Briefe in der jeweiligen Landessprache auf. Bestätigt ist dieser Zusammenhang nicht.
Bereits im Juni warnte Ledger selbst vor Briefen, die ein angebliches Sicherheitsupdate gegen Quantencomputer forderten. Ende Juli griff das Schweizer Bundesamt für Cybersicherheit das Thema auf.
Was den aktuellen Fall gefährlicher macht, ist der Zeitpunkt. Nach dem Vorfall um manipulierte Geräte aus Südostasien und einem Schaden von rund 86 Millionen US-Dollar sind viele Ledger-Nutzer ohnehin verunsichert. Parallel kursieren gefälschte Firmware-Updates und nachgebaute Ledger-Webseiten.
