Ledger hat fast zwei Wochen lang stillschweigend eine schwerwiegende Schwachstelle in seiner Ethereum-App behoben, bevor irgendjemand außerhalb des Unternehmens von ihrer Existenz wusste – und die Art und Weise, wie dieser Zeitablauf bekannt wurde, hat sich zu einer eigenen kleinen Kontroverse entwickelt. Die Ledger-Ethereum-Sicherheitslücke betraf eine Race-Condition, durch die eine bösartige Anwendung eine legitime Transaktion gegen eine schädliche austauschen konnte, während der Nutzer sie noch auf dem Gerätescreen bestätigte. Ledger schloss die Lücke am 12. August 2026, sagte jedoch fast nichts öffentlich dazu, bis ein Sicherheitsforscher die Geschichte mehr als eine Woche später an die Öffentlichkeit brachte.
Summary
Wichtigste Erkenntnisse
- Ledger behob die Schwachstelle in seiner Ethereum-App am 12. August 2026 und lieferte den Fix in Version 1.22.2 aus, ohne ein öffentliches Sicherheitsbulletin zu veröffentlichen.
- Der Bug war eine Race-Condition im Zusammenhang mit APDU-Befehlen, durch die eine bösartige App während des Clear-Signings eine legitime Transaktion austauschen konnte.
- Ledgers internes Team Donjon fand die Schwachstelle mithilfe von KI-gestützten Tools, bevor ein externer Forscher sie meldete.
- Das Sicherheitsunternehmen TestMachine machte die Schwachstelle zwischen dem 21. und 23. August 2026 mit Hilfe eines KI-Agenten namens Azimuth öffentlich.
- Bis zum 24. August 2026 lagen keine bestätigten Berichte über gestohlene Gelder im Zusammenhang mit der Schwachstelle vor.
Ledgers heimliche Behebung der Schwachstelle in der Ethereum-App
Ledgers Fix erschien am 12. August 2026 ohne großes Aufsehen, versteckt in einem Routine-Softwareupdate, statt als Sicherheitspatch gekennzeichnet zu werden. Die Änderung war in der Ethereum-App-Version 1.22.2 enthalten, und etwa zehn Tage lang veröffentlichte das Unternehmen weder eine Warnung noch einen Blogbeitrag oder eine öffentliche Erklärung dazu, was tatsächlich behoben worden war.
Details zum Patch und zur Version
Nutzer, die die Ethereum-App verwendeten, mussten auf Version 1.22.2 oder höher aktualisieren, um den Fix zu erhalten. Ledger betonte, dass ein Update nur der zugehörigen Desktop- oder Mobilsoftware nicht ausgereicht hätte, da der verwundbare Code in der App lag, die direkt auf dem Hardwaregerät selbst lief.
Art des Race-Condition-Bugs
Die Schwachstelle drehte sich um APDU-Befehle, die technische Sprache, mit der Ledger-Geräte zwischen einem verbundenen Computer und dem sicheren Chip kommunizieren, der die Transaktionen tatsächlich signiert. Ledgers zentrales Sicherheitsversprechen beruht auf dem, was das Unternehmen Clear-Signing nennt, bei dem der Gerätescreen lesbare Transaktionsdetails anzeigt, damit Nutzer genau wissen, was sie bestätigen, bevor sie die Freigabe erteilen.
Die Race-Condition untergrub dieses Versprechen. Während Clear-Signing-Abläufen konnte ein konkurrierender bösartiger Befehl hineinschlüpfen und die ursprüngliche Transaktion durch eine andere ersetzen, bevor der Nutzer den Bestätigungsprozess abgeschlossen hatte. In der Praxis konnte jemand glauben, er bestätige eine kleine Token-Überweisung, während er tatsächlich unbegrenzten Tokenzugriff auf die Wallet-Adresse eines Angreifers autorisierte.
Entdeckung und Offenlegung – Zeitlicher Ablauf
Die Lücke zwischen Ledgers stillem Patch und der öffentlichen Offenlegung ist der Punkt, an dem die Geschichte umstritten wird, da beide Seiten eine unterschiedliche Abfolge der Ereignisse schildern.
Interne Entdeckung durch Donjon mit KI-Tools
Ledgers interne Sicherheitseinheit, bekannt als Donjon, sagt, sie habe die Schwachstelle selbst entdeckt, bevor ein externer Forscher darauf hinwies. Das Team nutzte KI-gestützte Forschungstools, um die Schwachstelle zu identifizieren und zu beheben – ein Ansatz, der einen breiteren Wandel hin zu maschinengestützter Schwachstellensuche in Sicherheitsteams für Hardware-Wallets widerspiegelt.
Öffentliche Offenlegung durch den Sicherheitsforscher TestMachine
Diese stille Phase endete, als TestMachine, ein KI-Sicherheitsunternehmen, seine eigenen Erkenntnisse zwischen dem 21. und 23. August 2026 veröffentlichte. TestMachine sagt, es habe den Bug mithilfe eines autonomen KI-Agenten namens Azimuth entdeckt, den das Unternehmen speziell zum Aufspüren von Exploits in Smart Contracts entwickelt hat. Auf der unternehmenseigenen EVMBench-Benchmark erkennt Azimuth dem Vernehmen nach 86,3 % der bekannten Bugs bei rund 2,7 % Fehlalarmen.
In seiner Offenlegung schrieb TestMachine, die Schwachstelle sei „von Azimuth während eines autonomen Scans der Ledger-Ethereum-App gefunden worden“ und fügte hinzu, sie sei „auf Flex validiert“, „mit dem Team geteilt und verifiziert“ worden, während das Unternehmen „jede Prämie ablehne“. TestMachine verwies außerdem auf gemeinsam genutzten APDU- und UI-Code bei Nano X, Nano S Plus, Stax und Apex, was darauf hindeutet, dass das zugrunde liegende Problem über das getestete Flex-Gerät hinausreichen könnte.
Ledgers Reaktion und Streit
Ledger-CTO Charles Guillemet widersprach der Darstellung der Offenlegung vehement. Er sagte, TestMachine habe Ledgers Bug-Bounty-Programm erst kontaktiert, nachdem der Fix bereits ausgeliefert worden war, und dass der Fix bereits seit etwa zwei Wochen live gewesen sei, als die Forscher an die Öffentlichkeit gingen. Guillemet warf TestMachine vor, aus Aufmerksamkeitssucht Angst zu schüren, statt verantwortungsvolle Sicherheitsforschung zu betreiben, und argumentierte, die öffentliche Darstellung habe impliziert, der Bug sei noch aktiv gewesen, obwohl er bereits behoben war.
TestMachines Darstellung unterscheidet sich in der Abfolge. Das Unternehmen beharrt darauf, die Schwachstelle unabhängig entdeckt und validiert, seine Erkenntnisse mit Ledger geteilt, die Prämienofferte abgelehnt und sich dann zur Veröffentlichung entschlossen zu haben. Ledgers öffentliches Ethereum-App-Repository zeigt mehrere sicherheitsrelevante Änderungen im August, die Signaturzustände und Nachrichtenfinalisierung betreffen, auch wenn die verfügbaren Aufzeichnungen keine einzelne Änderung klar isolieren, die direkt mit dieser spezifischen Schwachstelle verknüpft ist.
Sicherheitsauswirkungen und Hinweise für Nutzer
Für alltägliche Ledger-Nutzer ist die wichtigste Zahl in dieser Geschichte einfach: Bis zum 24. August 2026 waren keine bestätigten Berichte über gestohlene Gelder im Zusammenhang mit der Schwachstelle aufgetaucht. Das bedeutet nicht, dass das Risiko nur theoretisch war. Ein funktionierender Exploit hätte es einem Angreifer ermöglichen können, die Bedingungen einer Transaktion umzuschreiben, von der der Nutzer glaubte, sie zu genehmigen, und so eine routinemäßige Token-Überweisung in einen unbegrenzten Zugriff für eine bösartige Adresse zu verwandeln.
Zum Zeitpunkt der Berichterstattung war kein vollständiger Proof-of-Concept öffentlich verfügbar, der tatsächlichen Diebstahl von Geldern über alle genannten Geräte hinweg demonstrierte, und Ledger hat weder eine formale Sicherheitswarnung veröffentlicht noch einen Entschädigungsprozess im Zusammenhang mit dem Vorfall angekündigt. Dieses Schweigen ist selbst Teil der Geschichte. Ein Patch, der still und ohne öffentliches Bulletin ausgeliefert wird, zwingt Nutzer dazu, das Risiko aus Offenlegungen Dritter statt direkt vom Hersteller abzuleiten.
Ledger hat Nutzern geraten, sowohl die Firmware ihres Geräts als auch die Ethereum-App auf Version 1.22.2 oder höher zu aktualisieren und darauf hingewiesen, dass ein Update nur der Desktop- oder Mobil-Companion-Software eine veraltete App auf dem Hardware-Wallet selbst nicht ersetzt. Angesichts der Tatsache, dass TestMachine auf gemeinsam genutzten Code über die Produktlinien Flex, Nano X, Nano S Plus, Stax und Apex hinweg hingewiesen hat, bleibt es für Nutzer derzeit die direkteste Schutzmaßnahme, jedes verbundene Gerät auf dem neuesten Stand zu halten.
Diese Episode unterstreicht auch, warum die Entdeckungsmethode ebenso wichtig ist wie der Fix selbst. Donjons Einsatz von KI-gestützten Tools, um die Schwachstelle zu finden, bevor es ein Außenstehender tat, zeigt, wie automatisiertes Scannen zu einer Komponente der internen Verteidigungsschicht bei Hardware-Wallet-Herstellern wird. Gleichzeitig wirft der Einsatz von TestMachines eigenem KI-Agenten, um innerhalb weniger Wochen dieselbe Art von Bug unabhängig zu finden und offenzulegen, eine zugespitzte Frage für die Branche auf: Wenn KI-Tools solche Schwachstellen nun fast gleichzeitig von innen und außen in einem Unternehmen aufdecken können, müssen Offenlegungszeitpunkte und Transparenzpraktiken möglicherweise genauso schnell nachziehen wie die Werkzeuge selbst.
FAQ
Was war die Sicherheitslücke in Ledgers Ethereum-App?
Es handelte sich um eine Race-Condition im Zusammenhang mit APDU-Befehlen, durch die eine bösartige App während des Signierens legitime Transaktionen durch schädliche ersetzen konnte.
Wie und wann wurde die Schwachstelle von Ledger entdeckt?
Ledgers internes Sicherheitsteam Donjon fand die Schwachstelle mithilfe von KI-gestützten Tools, bevor ein externer Forscher sie meldete.
Wann wurde die Schwachstelle öffentlich offengelegt?
Der Sicherheitsforscher TestMachine machte den Bug zwischen dem 21. und 23. August 2026 öffentlich.
Gibt es Hinweise darauf, dass aufgrund dieser Schwachstelle Gelder gestohlen wurden?
Bis zum 24. August 2026 lagen keine bestätigten Berichte über gestohlene Gelder im Zusammenhang mit dieser Schwachstelle vor.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was war die Sicherheitslu00fccke in Ledgers Ethereum-App?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Es handelte sich um eine Race-Condition im Zusammenhang mit APDU-Befehlen, durch die eine bu00f6sartige App wu00e4hrend des Signierens legitime Transaktionen durch schu00e4dliche ersetzen konnte.“}},{„@type“:“Question“,“name“:“Wie und wann wurde die Schwachstelle von Ledger entdeckt?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Ledgers internes Sicherheitsteam Donjon fand die Schwachstelle mithilfe von KI-gestu00fctzten Tools, bevor ein externer Forscher sie meldete.“}},{„@type“:“Question“,“name“:“Wann wurde die Schwachstelle u00f6ffentlich offengelegt?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Der Sicherheitsforscher TestMachine machte den Bug zwischen dem 21. und 23. August 2026 u00f6ffentlich.“}},{„@type“:“Question“,“name“:“Gibt es Hinweise darauf, dass aufgrund dieser Schwachstelle Gelder gestohlen wurden?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Bis zum 24. August 2026 lagen keine bestu00e4tigten Berichte u00fcber gestohlene Gelder im Zusammenhang mit dieser Schwachstelle vor.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
