In der Welt der Kryptowährungen gab es kürzlich einen beunruhigenden Vorfall, der Ledger, einen führenden Anbieter von Hardware-Wallets, betrifft.
Hier ist wichtig zu wissen, dass Ledger nicht nur Hardware-Wallets für Kryptowährungen herstellt, sondern auch über eine Open-Source-JavaScript-Bibliothek verfügt, welche die Kommunikation zwischen dApp-Webseiten und Krypto-Wallets erleichtert. Wir hatten bereits gestern unsere Leser auf Telegram und Twitter gewarnt, dass diese von Ledger gepflegte Code-Bibliothek kompromittiert wurde. Dadurch waren Nutzerfonds über einen Zeitraum von mehr als fünf Stunden gefährdet.
Laut Lookonchain soll der Angreifer es in dieser Zeit geschafft haben, 484.000 US-Dollar an Vermögenswerten zu stehlen. Die Adresse des Angreifers wurde vom USDT-Emittenten Tether bereits auf die schwarze Liste gesetzt.
Wer alles durch den Exploit bei Ledger betroffen war
Der CTO von Sushi, Matthew Lilley, und Banteg, ein Hauptmitwirkender von Yearn, machten auf den Exploit aufmerksam und wiesen gestern darauf hin, dass Ledgers Bibliothek kompromittiert und durch eine “Drainer”-Software ersetzt worden war.
Der Angreifer infizierte Ledgers Connect Kit, eine beliebte Bibliothek, die Interaktionen zwischen Benutzer-Wallets und dApps ermöglicht, mit schädlicher Software in einem sogenannten “Supply-Chain-Angriff”. Dieses Sicherheitsproblem betraf alle Benutzer, die Transaktionen mit Krypto-Wallets bestätigten, und zwar unabhängig davon, ob sie Ledger-Wallets verwendeten oder nicht. Viele Web3-dApps nutzen nämlich Ledgers Bibliothek für ihre Schnittstellen. Prominente Krypto-Entwickler rieten daher den Nutzern, jegliche Interaktionen mit Web3-dApps zu vermeiden.
Was jeder Nutzer von dApps nun machen sollte
Ledger reagierte schnell auf den Vorfall und ersetzte die bösartige Version der Datei durch eine authentische Version innerhalb von 40 Minuten nach Entdeckung des Problems. Das Unternehmen betonte, dass weder die Ledger-Wallets noch Ledger Live kompromittiert wurden und versprach, einen umfassenden Bericht vorzulegen, sobald dieser fertiggestellt ist.
Als Reaktion auf den Vorfall haben mehrere Protokolle, darunter SushiSwap und Revoke.Cash, ihre Bibliotheken mit der korrigierten Version aktualisiert, während Zapper bekannt gab, dass sie das kompromittierte Frontend deaktiviert haben.
Wir raten unseren Lesern trotzdem, ihren Browser zu aktualisieren, in dem sie ihren Cache leeren. Andernfalls könnten diese aus Effizienzgründen noch alte Versionen möglicher dApps laden, mit denen sie interagieren. Eine Anleitung zur Löschung des Caches findest du hier.
Abschließend lässt sich nur noch sagen, dass dieser Vorfall deutlich die Bedeutung von Sicherheit in der Branche der Kryptowährungen aufzeigt und die Notwendigkeit für Anbieter wie Ledger unterstreicht, kontinuierlich ihre Sicherheitsmaßnahmen zu überprüfen und zu verbessern. Nur so können sie das Vertrauen der Nutzer wahren und die Sicherheit ihrer Vermögenswerte gewährleisten.
