Betrüger nutzen gefälschte E-Mails über angebliche Datenpannen bei Ledger, um Kryptowährungen zu stehlen

Eine neue Phishing-Kampagne zielt Berichten zufolge auf Nutzer der Ledger-Hardware-Wallet ab, indem sie gefälschte E-Mails mit Benachrichtigungen über Datenlecks versendet.

Sicherheitsforscher von BleepingComputer berichten, dass Betrüger E-Mails versenden, die scheinbar von der offiziellen Support-Adresse von Ledger stammen. Laut ihren Angaben behaupten die Nachrichten, dass die Nutzer aufgrund einer Sicherheitslücke ihre Wiederherstellungsphrasen bestätigen müssen.

Der Betrug begann Berichten zufolge am 15. Dezember 2024 und nutzt die Infrastruktur von Amazon AWS, um legitim zu wirken. Ziel dieser Phishing-Angriffe ist es, die 24-Wort-Wiederherstellungsphrasen der Nutzer zu stehlen, wodurch Angreifer vollen Zugriff auf die Kryptowährungsbestände der Opfer erhalten würden.

Die Kampagne scheint besonders effektiv zu sein, weil sie reale Bedenken ausnutzt, die auf den vorherigen Datendiebstahl bei Ledger im Jahr 2020 zurückzuführen sind, bei dem tatsächlich Kundendaten offengelegt wurden.

Krypto-Phishing-Kampagne scheint offiziell 

Die betrügerischen E-Mails folgen einem sorgfältig aufgebauten Muster, das offizielle Erscheinungsbild erwecken soll. Sie tragen den Betreff „Sicherheitswarnung: Datenleck könnte Ihre Wiederherstellungsphrase offenlegen“ und scheinen von „Ledger [email protected]“ zu stammen. Ermittler stellten jedoch fest, dass Betrüger tatsächlich die E-Mail-Marketing-Plattform SendGrid nutzen, um diese Nachrichten zu versenden.

Wenn Nutzer in diesen E-Mails auf die Schaltfläche „Meine Wiederherstellungsphrase bestätigen“ klicken, werden sie über mehrere Schritte weitergeleitet. Die erste Weiterleitung führt zu einer Amazon-AWS-Website unter einer verdächtigen URL: product-ledg.s3.us-west-1.amazonaws.com. Von dort werden die Nutzer auf eine Phishing-Seite weitergeleitet.

Die Phishing-Website weist deutliche technische Fähigkeiten auf. Sie verfügt über ein Verifizierungssystem, das jedes eingegebene Wort mit den 2.048 gültigen Wörtern für Wiederherstellungsphrasen von Kryptowährungen abgleicht. Diese Echtzeit-Validierung lässt die Website für Opfer seriöser erscheinen.

Die Angreifer fügten außerdem ein weiteres Täuschungselement hinzu: Die Website behauptet stets, die eingegebene Phrase sei ungültig, um mehrere Versuche zu provozieren und vermutlich auch, um sicherzustellen, dass die Angreifer die richtigen Wiederherstellungswörter erhalten haben.

Es wurden weitere Varianten dieser Betrugsmaschedent. Einige E-Mails geben sich als Benachrichtigungen über Firmware-Updates aus, verfolgen aber alle dasselbe Ziel: die Wiederherstellungsphrasen der Nutzer zu stehlen, um Zugriff auf deren Kryptowährungs-Wallets zu erlangen. Jedes eingegebene Wort wird sofort an die Server der Angreifer übermittelt.

Ledger hat mehrere Sicherheitswarnungen herausgegeben 

Ledger hat als Reaktion auf diese Phishing-Kampagne mehrere Sicherheitshinweise veröffentlicht. Das Unternehmen betont, dass es niemals per E-Mail, über Websites oder auf anderem Wege nach Wiederherstellungsphrasen fragen wird.

Einige seither veröffentlichte Sicherheitsempfehlungen erinnern die Nutzer daran, dass die Wiederherstellungsphrase nur bei der Ersteinrichtung einer neuen Hardware-Wallet oder bei der Wiederherstellung des Zugriffs auf eine bestehende Wallet legitim verwendet werden sollte – und dass diese Aktionen nur auf dem physischen Ledger-Gerät selbst durchgeführt werden sollten.

Sicherheitshinweise zum Schutz der Nutzer erinnern diese auch daran, die Webadresse von Ledger (ledger.com) immer direkt in den Browser einzugeben, anstatt auf Links in E-Mails zu klicken.

Zweitens wurden Nutzer angewiesen, E-Mails, die angeblich von Ledger stammen, mit äußerster Vorsicht zu behandeln, insbesondere solche, die Datenlecks erwähnen oder sofortiges Handeln erfordern. Drittens wurden Nutzer daran erinnert, Wiederherstellungsphrasen offline zu speichern, vorzugsweise an einem sicheren physischen Ort fernab von digitalen Geräten.

Für alle, die bereits mit verdächtigen E-Mails oder Websites in Kontakt gekommen sind, wird zu sofortigem Handeln geraten. Nutzer, die ihre Wiederherstellungsphrase auf einer Website eingegeben haben, sollten ihre Guthaben umgehend auf eine neue Wallet mit einer neuen Wiederherstellungsphrase übertragen. Die ursprüngliche Wallet gilt als kompromittiert und sollte nicht mehr zur Aufbewahrung von Kryptowährungen verwendet werden.