Ledger verpflichtet sich zur vollständigen Entschädigung für Opfer des ConnectKit-Angriffs im Wert von 600.000 US-Dollar

Der Hardware-Wallet-Hersteller Ledger hat auf eine kürzliche Sicherheitsverletzung reagiert, die zum Diebstahl von Benutzervermögen im Wert von 600.000 US-Dollar führte.

Das Unternehmen hat sich verpflichtet, seine Sicherheitsprotokolle bis Juni 2024 zu verbessern, indem Blind Signing, ein Prozess, bei dem Transaktionen im Code statt in einfacher Sprache angezeigt werden, abgeschafft wird.

Ledger übernimmt die Verantwortung für den ConnectKit-Angriff

In einer Erklärung betonte Ledger seinen Fokus auf die Bewältigung des jüngsten Sicherheitsvorfalls und die Verhinderung ähnlicher Ereignisse in der Zukunft.

Das Unternehmen räumte ein, dass Vermögenswerte in Höhe von etwa 600.000 US-Dollar von dem ConnectKit-Angriff betroffen waren, insbesondere von Benutzern, die blind auf dezentralen Anwendungen (dApps) der Ethereum Virtual Machine (EVM) signierten.

Darüber hinaus verpflichtete sich Ledger, dafür zu sorgen, dass die betroffenen Opfer, einschließlich Nicht-Ledger-Kunden, vollständig entschädigt werden, wobei CEO und Chairman Pascal Gauthier den Rückerstattungsprozess persönlich überwacht.

Der Erklärung zufolge hat Ledger bereits Kontakt mit betroffenen Benutzern aufgenommen und arbeitet aktiv mit ihnen zusammen, um ihre spezifischen Fälle zu lösen.

Darüber hinaus wird Blind Signing bis Juni 2024 auf Ledger-Geräten nicht mehr unterstützt, was zu einem „neuen Standard des Benutzerschutzes“ beiträgt und sich für „Clear Signing“ ausspricht, das sich auf einen Prozess bezieht, der es Benutzern ermöglicht, Transaktionen zu überprüfen auf ihren Ledger-Geräten, bevor sie sie über dApps hinweg signieren.

Zu diesem Thema erklärte Pascal Gauthier, CEO von Ledger: 

Mein persönliches Engagement: Ledger wird so viele interne und externe Ressourcen wie möglich bereitstellen, um den betroffenen Personen bei der Wiedererlangung ihrer Vermögenswerte zu helfen.

Erhöhte dApp-Sicherheitsmaßnahmen

Laut einem vom Hardware-Wallet-Hersteller veröffentlichten Vorfallbericht nutzte der Angriff das Ledger Connect Kit aus und schleuste bösartigen Code in dApps ein, die das Kit nutzen.

Dieser Schadcode leitete Vermögenswerte in die Wallets des Angreifers um und verleitete EVM-dApp-Benutzer dazu, „unwissentlich Transaktionen zu signieren“, die ihre Wallets belasteten.

Ledger reagierte auf den Angriff, indem es innerhalb von 40 Minuten nach der Erkennung einen echten Fix für das Connect Kit bereitstellte. Der kompromittierte Code blieb aufgrund der Natur von Content Delivery Networks (CDNs) und Caching-Mechanismen für eine begrenzte Zeit zugänglich.

Ledger erkannte die Risiken an, denen die gesamte Branche beim Schutz der Benutzer ausgesetzt ist, und betonte die Notwendigkeit, die Messlatte für die Sicherheit von dApps kontinuierlich höher zu legen.

Das Unternehmen plant, seine Zugangskontrollen zu verstärken, Prüfungen interner und externer Tools durchzuführen, die Code-Signierung zu verstärken und die Infrastrukturüberwachungs- und Warnsysteme zu verbessern.

Darüber hinaus informiert Ledger Benutzer über die Bedeutung von Clear Signing und die potenziellen Risiken, die mit blinden Signierungstransaktionen ohne sichere Anzeige verbunden sind.

Mit Clear Signing erhalten Benutzer insbesondere eine klare und lesbare Darstellung der Transaktionsdetails, sodass sie die Transaktion überprüfen und validieren können, bevor sie ihre Unterschrift leisten.

Diese zusätzliche Ebene der Transparenz und Überprüfung hilft Benutzern, die Risiken zu mindern, die mit Front-End-Angriffen oder in dezentralen Anwendungen eingeschleusten Schadcodes verbunden sind

Ausgewähltes Bild von Shutterstock, Diagramm von TradingView.com