Gefälschte Ledger-Firmware-Updates: SlowMist meldet Phishing-Seiten mit nachgebautem Genuine Check

Es gibt kein echtes Ledger-Firmware-Update, das deine 24 Wörter abfragt. Genau das versucht aber eine Phishing-Kampagne, die die Sicherheitsfirma SlowMist am 16. Oktober 2026 über ihren Threat-Intelligence-Kanal auf X gemeldet hat. Die gefälschten Seiten bauen den Ablauf eines offiziellen Updates nach, bis hin zu Ledgers echter Echtheitsprüfung, und am Ende steht die Aufforderung, die Wiederherstellungswörter einzutippen. Wer das tut, verliert den Zugriff auf alle Guthaben, die an dieser Wallet hängen.

Der Zeitpunkt ist kein Zufall. Seit dem 9. Oktober läuft die Aufarbeitung eines Vorfalls, bei dem manipulierte Ledger-Geräte über einen autorisierten Händler in Südostasien in den Handel kamen. Über diesen Fall haben viele Besitzer eines Hardware-Wallets erstmals seit Jahren wieder das Gefühl, ihr Gerät prüfen zu müssen. Diese Unsicherheit ist der Rohstoff, aus dem die Betreiber der gefälschten Seiten ihre Reichweite ziehen.

Die Masche: Ein gefälschtes Firmware-Update fragt die 24 Wörter ab

Die von SlowMist beschriebenen Seiten sind keine grob gebastelten Formulare. Laut der Meldung führen sie durch drei Stationen: eine nachgebaute Seite für den sogenannten Genuine Check, eine Auswahl des Gerätemodells und einen Knopf mit der Aufschrift „Update Now“. Erst danach kommt die entscheidende Abfrage, nämlich die Eingabe der Wiederherstellungswörter.

Dieser Aufbau ist bewusst gewählt. Er spiegelt die Reihenfolge, die ein Besitzer von einem echten Update erwartet, und er stellt die kritische Frage ganz am Ende, wenn das Vertrauen durch die vorangegangenen Schritte schon aufgebaut ist. SlowMist nennt in der Meldung keine Domainnamen der gefälschten Seiten und sagt auch nicht, auf welchem Weg Besitzer dort landen. Belegt ist der Ablauf, nicht der Verbreitungskanal.

Was die Recovery-Phrase technisch ist

Die Recovery-Phrase, oft auch Seed Phrase genannt, ist eine Folge von 24 Wörtern, die bei der Einrichtung eines Ledger-Geräts entsteht. Sie ist die mathematische Wurzel aller Schlüsselpaare, die dieses Gerät verwaltet. Wer diese Wörter kennt, kann die Wallets auf einem beliebigen anderen Gerät wiederherstellen und die Guthaben bewegen, ohne das ursprüngliche Gerät jemals in der Hand zu halten. Eine PIN schützt davor nicht, denn die PIN sperrt nur das Gerät, nicht die Wörter.

Daraus folgt die einzige Regel, die bei diesem Thema zählt: Die 24 Wörter werden bei der Einrichtung einmal angezeigt und danach nie wieder abgefragt, von keiner Seite, keiner App und keinem Support-Mitarbeiter. Jede Abfrage ist ein Angriff, unabhängig davon, wie gut die Seite aussieht.

Genuine Check: Die nachgebaute Echtheitsprüfung ist der Köder

Der Genuine Check ist kein erfundener Begriff der Angreifer, sondern ein echter Schritt bei Ledger. Das Gerät weist dabei gegenüber Ledgers Servern nach, dass in ihm ein unveränderter Secure Element steckt. Besitzer kennen den Schritt, weil er bei der Einrichtung und bei Updates im Hintergrund läuft.

Gerade diese Bekanntheit macht die Nachbildung wirksam. Eine Seite, die einen Begriff aus dem echten Ablauf aufgreift, wirkt auf den ersten Blick glaubwürdiger als eine erfundene Oberfläche. Wer gewohnt ist, dass eine Echtheitsprüfung am Anfang steht, wertet sie als Bestätigung und nicht als Teil der Täuschung. Ergänzend kommt hinzu, dass viele Besitzer nach den Meldungen der vergangenen Tage ohnehin nach einer Möglichkeit suchen, ihr Gerät auf Echtheit zu prüfen.

CryptoBilis: Das Hardware-Implantat, das die Kampagne als Köder nutzt

Der Vorfall, auf den die Phishing-Welle aufsetzt, begann mit Berichten über Geldverluste bei Kunden eines Händlers. Ledger nennt in seiner Stellungnahme CryptoBilis, einen autorisierten Händler für Indonesien, Malaysia und die Philippinen, als den Kanal, über den manipulierte Geräte in den Verkauf kamen. Ledger hat den Händler gebeten, Verkauf und Versand auszusetzen, und hat die Untersuchung aufgenommen. Ob der Händler von den Manipulationen wusste, sagt Ledger nicht; eine solche Feststellung liegt bislang von keiner Stelle vor.

Nach Ledgers Darstellung kaufte eine kriminelle Gruppe über Monate echte Geräte, öffnete sie und setzte eigens gebaute, versteckte Bauteile ein. Diese Bauteile waren darauf ausgelegt, die Recovery-Phrase während der Einrichtung zu erfassen. Anschließend gingen die Geräte zurück in den Verkauf. Ledgers Sicherheitslabor Donjon hat ein solches Implantat zerlegt und seine Funktionsweise bestimmt.

Ledgers Stellungnahme vom 15. Oktober: „localized distribution attack“

Ledger hat den Vorfall am 15. Oktober 2026 in einem eigenen Beitrag eingeordnet. Der zentrale Satz lautet: „This was not a systemic supply chain attack, it was a localized distribution attack.“ Auf Deutsch: Das Unternehmen sieht keinen Angriff auf die gesamte Lieferkette, sondern einen Eingriff im Vertriebsweg, nachdem die Geräte seinen Einflussbereich verlassen hatten. Ledger schreibt weiter: „There was no flaw in Ledger's chip, operating system or servers“, und: „Ledger's systems were not compromised.“

Für deutsche Besitzer steht in derselben Stellungnahme eine Angabe, die sie direkt betrifft. Ledger hat eigene Teams in lokale Märkte geschickt, ausdrücklich auch nach Deutschland, dort Geräte im Laden gekauft und geöffnet sowie Stichproben aus Lagerbeständen untersucht. Das Ergebnis fasst das Unternehmen mit dem Satz „Every unit examined was clean“ zusammen, also: Jede untersuchte Einheit war unauffällig. Zusätzlich hat Ledger autorisierte Händler und Distributoren gebeten, den Verkauf in Südostasien und Hongkong auszusetzen.

Diese Angaben stammen vom Hersteller selbst und sind keine Prüfung durch eine unabhängige Stelle. Sie sind trotzdem die derzeit genaueste öffentliche Beschreibung des Vorfalls, und sie grenzen den betroffenen Bereich geografisch ein.

86 bis 93,2 Millionen Dollar: die Spanne der Schätzungen

Zur Schadenshöhe liegen zwei Zahlen vor, die sich unterscheiden. Die Analysefirma Bitquery kam in einer Auswertung vom 11. Oktober 2026 auf rund 93,2 Millionen Dollar, abgeflossen aus 315 Wallets über sechs verschiedene Blockchains. Daneben steht eine niedrigere Zählung von rund 86 Millionen Dollar, die On-Chain-Analysten über die Sammeladressen der Angreifer ermittelt haben und über die wir am 10. Oktober berichtet haben.

Beide Werte sind Schätzungen aus der Blockchain-Analyse, keine bestätigten Bilanzen. Ledger selbst hat die Zahl von Bitquery nicht bestätigt. Die Spanne bleibt deshalb stehen, und sie kann sich nach oben verschieben, wenn weitere Adressen zugeordnet werden.

Warum Schadenszahlen bei solchen Vorfällen wachsen

Bei einem Implantat, das Wörter während der Einrichtung erfasst, liegt zwischen dem Diebstahl der Daten und dem Abfluss des Guthabens oft viel Zeit. Angreifer können warten, bis sich auf einer Adresse ein Betrag lohnt. Eine Auswertung zu einem Stichtag erfasst daher nur die bis dahin geleerten Wallets, nicht alle kompromittierten Geräte.

Der echte Update-Weg führt über die Ledger-App, nicht über einen Link

Ein Firmware-Update für ein Ledger-Gerät läuft über die Begleit-App des Herstellers auf dem Rechner oder dem Smartphone, die lange Ledger Live hieß. Die App erkennt das angeschlossene Gerät, lädt das Update und fordert bei jedem Schritt eine Bestätigung auf dem Gerätedisplay selbst. Dieses Display ist der Punkt, an dem du prüfst, was tatsächlich passiert, denn es wird vom Gerät erzeugt und nicht von einer Webseite.

SlowMist formuliert in der Meldung zwei Empfehlungen, die genau hier ansetzen: Ledger-Geräte nie über Links auf Webseiten aktualisieren, und die Recovery-Phrase nirgends eingeben. Beide Sätze klingen banal und treffen dennoch den Kern, weil die gefälschten Seiten ihre ganze Wirkung aus der Verwechslung von Browser und Gerät ziehen.

Fünf Merkmale der gefälschten Update-Seiten

• Die Seite fordert die Eingabe der 24 Wörter in ein Formularfeld. Dieser Punkt allein entscheidet schon alles.
• Der Ablauf startet im Browser statt in der installierten App des Herstellers.
• Ein Zeitdruck wird aufgebaut, etwa über die Behauptung, das Gerät sei ohne das Update unsicher.
• Der Einstieg kam über einen Link in einer Nachricht, einer Anzeige oder einem Suchergebnis.
• Die Seite verlangt keine Bestätigung auf dem Gerätedisplay, obwohl sie ein Update durchzuführen behauptet.

Die gefälschte Seite, über die wir am 11. Oktober berichtet haben, kam über die Google-Suche nach oben und zeigt, dass der Einstiegsweg wechselt. Die Abfrage der Wörter bleibt dagegen konstant, und daran lässt sich jede Variante erkennen. Mehr zu den Mustern steht in unserer Analyse zur gefälschten Ledger-Seite in der Google-Suche.

Self-Custody oder regulierte Verwahrung: die Abwägung für deutsche Anleger

Der Vorfall verschiebt eine Frage, die viele für entschieden hielten. Ein Hardware-Wallet nimmt dir das Gegenparteirisiko einer Börse ab und legt dir dafür zwei andere Risiken auf: die Sicherheit deines Bezugswegs und die Sicherheit deiner 24 Wörter. Der Implantat-Fall zeigt, dass der Bezugsweg kein theoretisches Risiko ist, und die aktuelle Phishing-Welle zeigt dasselbe für die Wörter.

Daraus folgt kein Argument gegen Self-Custody, sondern eines für eine bewusste Aufteilung. Wer größere Bestände selbst verwahrt, kauft Geräte direkt beim Hersteller oder bei autorisierten Händlern und richtet sie so ein, dass die Wörter das Gerät nie digital verlassen. Wer die Verwahrung abgeben will, landet bei Anbietern, die in der EU eine Zulassung für das Verwahrgeschäft brauchen, und tauscht damit ein Risiko gegen ein anderes. Welche Geräte sich wie unterscheiden, zeigt unser Vergleich der Hardware-Wallets.

Händler in Deutschland haben den Verkauf teilweise gestoppt

Der Vorfall hat auch den deutschen Einzelhandel erreicht. MediaMarkt und Saturn haben den Verkauf von Ledger-Geräten ausgesetzt, worüber wir am 14. Oktober berichtet haben. Ledger wiederum hat am 15. Oktober ein neues Gerät namens Atom vorgestellt, das nach Angaben des Herstellers Implantate dieser Art durch einen anderen Einrichtungsweg verhindern würde.

Für die Entscheidung, die jetzt ansteht, ist das eine Randnotiz. Entscheidend bleibt, woher ein Gerät kommt und ob die Wörter jemals in ein Eingabefeld gelangt sind. Den Stand der Untersuchung haben wir in unserem Bericht zur Bestätigung des Implantats durch Ledger festgehalten.

Trezor, SafePal und BitBox: Dieselbe Logik trifft auch andere Hersteller

Die Abfrage der Wiederherstellungswörter ist kein Ledger-Problem, sondern das gemeinsame Ziel aller Angriffe auf Hardware-Wallets. In den vergangenen Wochen gab es vergleichbare Anlässe bei anderen Anbietern, darunter ein Datenleck bei einem Logistikdienstleister von Trezor und ein Datenleck bei SafePal, über die wir am 13. September und am 11. Oktober berichtet haben. In beiden Fällen war nicht das Gerät das Einfallstor, sondern die Liste der Kundenadressen, die anschließend für gezielte Ansprache taugte.

Der Mechanismus wiederholt sich: Ein öffentlicher Vorfall erzeugt Unsicherheit, und innerhalb von Tagen entstehen Seiten und Nachrichten, die diese Unsicherheit in eine Handlung übersetzen. Wer das Muster einmal kennt, braucht die Einzelheiten der jeweiligen Kampagne nicht mehr, weil die letzte Frage immer dieselbe ist.

Was bei einer bereits eingegebenen Phrase noch möglich ist

Sind die 24 Wörter auf einer fremden Seite eingetippt worden, gilt die Wallet als offen. Dann zählt Geschwindigkeit: ein neues Gerät mit einer neu erzeugten Phrase einrichten und die Guthaben auf die neuen Adressen bewegen, bevor die Angreifer es tun. Die alte Phrase wird nie wieder verwendet, auch nicht für einen einzelnen Vermögenswert, denn sie deckt alle Adressen ab, die aus ihr hervorgegangen sind. Eine Wiederherstellung auf demselben Gerät löst das Problem nicht, weil das Problem die Phrase ist und nicht die Hardware.

Das Wichtigste aus der SlowMist-Meldung

SlowMist hat am 16. Oktober 2026 eine Phishing-Kampagne gemeldet, die ein Ledger-Firmware-Update nachbaut und dabei Ledgers echten Genuine Check imitiert, um am Ende die 24 Wiederherstellungswörter abzufragen. Die Kampagne nutzt den Implantat-Vorfall beim Händler CryptoBilis als Köder. Ledger hat den Vorfall am 15. Oktober als „localized distribution attack“ eingeordnet, einen Fehler in Chip, Betriebssystem und Servern verneint und mitgeteilt, dass auch in Deutschland gekaufte und geöffnete Geräte unauffällig waren. Die Schätzungen zum Schaden liegen zwischen rund 86 und 93,2 Millionen Dollar. Die Gegenmaßnahme ist in beiden Fällen dieselbe: Updates nur aus der App des Herstellers, und die Wörter gehören in kein Eingabefeld.

Ledger-Phishing: Kein echtes Update fragt nach deinen 24 Wörtern

1. Aktualisiere nur aus der installierten App des Herstellers. Schließe das Gerät an, starte die Begleit-App und bestätige jeden Schritt auf dem Gerätedisplay. Kommt ein Update-Hinweis per Mail, Anzeige oder Suchergebnis, ignoriere den Link und öffne die App selbst. Welche Geräte welchen Einrichtungsweg nutzen, steht im Hardware-Wallet-Vergleich.
2. Prüfe den Bezugsweg deines Geräts. Geräte vom Hersteller oder von autorisierten Händlern sind der Normalfall, Angebote aus Zweitmärkten und von unbekannten Händlern nicht. Wer ein gebrauchtes Gerät nutzt, richtet es mit einer neu erzeugten Phrase ein. Für die Software-Seite der Verwahrung hilft der Software-Wallet-Vergleich.
3. Entscheide, welcher Teil deines Bestands wo liegt. Lege fest, welche Summe du selbst verwahrst und welche bei einem zugelassenen Anbieter liegt, und schreibe die Entscheidung auf. Eine Übersicht der in der EU zugelassenen Handelsplätze findest du unter regulierte Kryptobörsen.

Quellen: Ledgers Stellungnahme vom 15. Oktober 2026 und der Bericht über die SlowMist-Meldung vom 16. Oktober 2026.

(Stand: 16. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)