Der „Hack“ im Buchhaltungssystem: Niemand wurde dadurch geschädigt – und die Protokolle, die die wahre Geschichte erzählen.

Wir haben den Buchhaltungskatalog manipuliert.

Dieser Einleitungssatz – eine einfache Zeile von dem Gründer von OneKey auf X am 27. August – zeigte, dass das Sicherheitsteam von OneKey, Anzen, einen Angriff auf die Transaktionsabwicklung durchgeführt hatte.Ledger’s Ethereum-App, Version 1.22.1Im Labor. Die „Bugs“ sind wie beschrieben: Eine Ressourcenkonflikt zwischen der Logik des Wallets und dem Transaktionsbuffer des Geräts. Man sieht also eine legitime Transaktion auf dem Gerätenetzwerk, drückt dann auf „Bestätigen“, doch das Gerät gibt eine andere Anweisung aus – eine Anweisung, die während des Lesens hinzugefügt wurde. Für alle, die Krypto-Infrastruktur in einem Hardware-Wallet speichern – oder entscheiden müssen, ob man ihnen vertrauen soll – ist das ein Problem, das dazu dient, den Scrollvorgang zu stoppen. Lesen Sie es langsam. Je schneller es abläuft, desto weniger genau ist es.

Beginnen wir mit der Versionnummer: 1.22.1. Das ist wichtig, denn Ledger hatte das Programm bereits verbessert. Am 13. August wurde die Ethereum-App 1.22.2 veröffentlicht – dabei wurden Anwendungsebene-Prüfungen eingeführt, die genau diesen Weg schließen. Am 21. August wurde die entsprechende Korrektur im Secure SDK, Version 26.6.1, implementiert. Ledgers Antwort auf OneKey war klar: Die Wiederbeschaffung eines Fehlers in einer veralteten, bereits behobenen Version ist…Es handelt sich um eine Laborübung – keine Entdeckung.Die Sicherheitsabteilung betonte, dass kein Benutzer angegriffen wurde – es gab keine Anzeichen für eine Nutzung des Systems durch unbefugte Personen. Auf die Frage, ob Ledger angegriffen wurde, sprachen die Beweise für Ledger. Die Aufdeckung eines Fehlers in einer Version, die vor dem Patch veröffentlicht wurde, ist der Weg, um einen Fehler zu zeigen – nicht aber den Weg, um ein Unternehmen zu überfallen. OneKey selbst behauptete nichts Gegenteres; sie sagte nur, dass das Problem existierte und dass Ledger die Lösung stillschweigend löste.

Dann hat OneKeys eigene Methoden verwendet, um etwas aus den Unterlagen von Ledger herauszufinden – etwas, was die Ablehnungen nicht offenlegen wollten. Die aktualisierte Version, die Ledger als Lösung vorschlägt, ist die 1.22.2. Doch diese Version ist noch nicht vollständig; es gibt noch zwei weitere Fehler in dieser Version. Der erste Fehler betrift den Überlauf bei der Anzahl der Operationen: Eine Gruppe von 257 Operationen führt dazu, dass der Zähler nicht mehr funktioniert. Dadurch wird nur die letzte Operation angezeigt, während die gesamte Operationen ignoriert werden. Der zweite Fehler liegt im Prozess des Austauschs in der Ledger Exchange-App: Dabei wurde nur die Tokennummer, das Betrag und der Empfänger überprüft – nicht aber, ob die gewünschte Handlung tatsächlich eine Zahlungsaktion war. Somit konnte ein kompromittierter Austauschdienst den Token akzeptieren, ohne dass eine zusätzliche Anzeige angezeigt wurde. Laut den offiziellen Angaben…Die Lösungen für beide Probleme wurden im Mai in Ledgers Codebase integriert.Sie erreichten die Nutzer erst am 25. August in der Version 1.22.3. Am 27. August teilte Ledger die beiden Fehler mit – genau denselben Tag, an dem es auch öffentlich ankündigte, dass OneKey nicht geeignet sei. Keine der drei Fehler wurde ausgenutzt; kein Benutzer verlor Geld. Auch die beiden weiteren Fehler sind nicht leicht auszulösen: Der eine führt zu einer künstlichen Anzahl von 257 Operationen, die vom Angreifer kontrolliert werden können; der andere führt zu einem feindseligen Austauschprozess. Es handelt sich also nicht um ein Problem mit verlorenen Geldern – sondern um ein Problem mit dem Prozess selbst. In zwei Wochen brachte das Unternehmen, das sich als sicherster Ort für Schlüssel bezeichnet, eine Lösung – und dann noch eine weitere Lösung für die vorherige Lösung. Zwei bekannte Fehler im Code blieben jedoch weiterhin bestehen. Es ist nicht schwer, sich vorzustellen, warum das so ist: interne Tests, Entwicklungsprozesse, Überprüfungen durch den Kunden. Das ist das Problem. Für ein Produkt, das verspricht, dass nichts verkauft wird, bis es perfekt ist, sind die normalen Prozesse tatsächlich eine Bedrohung.

Beide Unternehmen sind im gleichen Geschäft tätig – sie produzieren jedoch keine Hardware. Hardware-Wallets sind Produkte mit niedrigem Marktmarge auf dem Markt.Die Analysen ergaben heute eine jährliche Summe von etwa 700 Millionen Dollar.Die Wachstumsrate beträgt etwa ein Viertel pro Jahr – das ist nur eine Rundung des eigentlichen Wertes, den sie schützen. Die Wirtschaftlichkeit hängt von der installierten Anzahl der Geräte sowie von den Beziehungen nach dem Verkauf ab: Zusätzliche Softwareprodukte, Tauschgeschäfte, Investitionen, Wiederherstellung von Daten – das sind alles Aspekte des institutionellen Geschäfts. Sicherheit ist das Produkt selbst; die damit verbundenen Marketingmaßnahmen bilden den „Marketing-Budget“. OneKey, das Unternehmen, das im Jahr 2019 gegründet wurde, hat bereits…Die Serie B im letzten Jahr hatte eine Bewertung von 150 Millionen Dollar – unter der Leitung von YZi Labs.Das ehemalige Binance Labs – und es wird Anzen absichtlich betrieben.Ein Labor, das dazu da ist, Hardware-Wallets zu testen und zu überprüfen – zur Forschungszwecke.Man kann einen Anführer nicht übertreffen, der behauptet, sieben Millionen Geräte zu besitzen und ein Fünftel der weltweiten Kryptowährungen zu kontrollieren. Man kann ihn auch nicht in der Pressekonferenz übertrumpfen – indem man seine Fehler wiederholt, sie als Hacks darstellt und anschließend Berichte darüber veröffentlicht. Wochen zuvor hat Anzen dieselbe Strategie gegen Coldcard angewandt – doch das war eine ganz andere Geschichte.Die Diebstahl von mehr als 100 Millionen Bitcoin durch einen Fehler bezüglich der Vorhersehbarkeit und ZufälligkeitExploitation in der Wildnis – nicht im Labor. Die Forschung, die sich mit dem Marketing beschäftigt, ist ein Vertriebskanal – und sie funktioniert gut.

Ledgers Rechtfertigungen sind genauso wie das Spiel, das bergab gespielt wird. Sein CTO hatte bereits…Die frühere öffentliche Bekanntgabe dieses gleichen Fehlers wurde als „Angstmacherei“ bezeichnet.Und die Entlassung von OneKey wurde so gestaltet, damit der Premium-Preis erhalten bleibt. Der Premium-Preis ist schließlich das Wesentliche. Im Februar berichteten die Pressemedien, dass Ledger Goldman Sachs, Jefferies und Barclays hinzugezogen habe, um weitere Möglichkeiten zu untersuchen.Eine US-Listung, die es ihm einen Wert von über 4 Milliarden Dollar einbringen könnte.vonMöge sie den Plan aufgeben.Da die Zeitfenster für denrypto-IPO-Verkauf geschlossen sind, verringert das alles nicht das Geschäft selbst – keine Mittel gehen verloren, keine Nutzer werden geschädigt. Doch für ein Unternehmen, dessen Vermögen auf dem Vertrauen beruht, ist die Reputation eine Art „Gewinn- und Verlustrechnung“. Die einzigen Informationen, die für die Bewertung relevant sind, sind die Patches: Ein Fix wurde bereits Monate vor der Veröffentlichung geschrieben, zwei weitere Patches wurden erst spät veröffentlicht, und es gab auch eine Notfallaktualisierung, die jedoch unvollständig war. Das ist ein Prozessfehler – und Prozessfehler führen letztendlich dazu, dass ein Produkt aufgrund des Vertrauensverlusts seinen Wert verliert.

Der Teil, der für die Person, die Kryptowährungen speichert, wirklich nützlich ist, ist das, was bei allen diesen Situationen hilfreich ist. Jede Bedingung – wie das Problem mit OneKey oder die Verzögerungen bei der Lieferung der Produkte – erforderte, dass der Angreifer bereits die Verbindung zwischen dem Gerät und dem Netzwerk kontrollierte: Malware auf dem Computer, eine geklonte Wallet-App, feindselige Browserseiten. Eine Hardware-Wallet schützt nur das, was sie zeigt – sie kann dich aber nicht vor dem schützen, was der Server versteckt. In allen diesen Fällen war die Kontrolle, die wichtig war, eher trivial: Die Aktualisierung der Anwendung auf dem Gerät. Ledgers eigene Mitteilung ist klar dazu:Eine Firmware-Update-Anpassung allein ersetzt keine veraltete App.Die Benutzer müssen die aktuelle Ethereum-App über Ledger Live installieren. Der Unterschied zwischen der verletzlichen Version und der geheilten Version war nie eine Entscheidung des Herstellers – es handelte sich dabei um eine Routineaktion zur Aktualisierung.

Lesen Sie also den nächsten Text: „Wir haben geknackt.“[„Vendor“ als Werbeinhalt – und die Verneinungen der Anbieter als Verteidigung ihrer Marktposition. Beides ist wahr, aber beides ist nicht das Wesentliche. Die Versionnummer auf Ihrem Gerät ist der entscheidende Faktor, der Ihre Situation klärt. Als Investitionssignal ist die nützliche Information, wo der Wert im System liegt. Die Hardware wird immer kommerzialer. Forschung ist das „Waffen“. Die „dauerhafte Marktposition“ besteht aus einer schnellen und ehrlichen Wartung, die auf einer tatsächlich aktualisierten Infrastruktur basiert. Diese Woche gab klare Hinweise darauf, wie wichtig diese Marktposition ist – und ebenso klare Hinweise darauf, dass der führende Anbieter diese Marktposition noch nicht gesichert hat.