Autor: Shao Jiadan
Kürzlich wurde Ledger in einen Vorfall mit Vermögensverlusten verwickelt. Einige südostasiatische Nutzer berichteten, dass nach dem Kauf von Hardware-Wallets beim Wiederverkäufer CryptoBilis die Vermögenswerte in ihren Wallets transferiert wurden. Am 9. Oktober gab Ledger bekannt, dass es eine Untersuchung eingeleitet, diesen Wiederverkäufer aufgefordert habe, Verkauf und Versand auszusetzen, und kürzliche Käufer daran erinnert habe, mit der Einrichtung ihrer Geräte zu warten, während Nutzer, die sie bereits eingerichtet hatten, eine Migration ihrer Vermögenswerte in Erwägung ziehen sollten.
Am 10. Oktober erklärte Ledger weiter, dass im Gerät eines betroffenen Nutzers ein unbefugtes Hardware-Implantat gefunden worden sei. Das Unternehmen gab damals an, es habe bestätigt, dass die Fälle mit Geräten zusammenhingen, die von diesem Wiederverkäufer verkauft worden seien, und dass keine Anzeichen für ein Eindringen in seine Sicherheitsinfrastruktur, Systeme oder Dienste gefunden worden seien.
Laut Statistiken von Bitquery betrafen die damit verbundenen Vermögensabflüsse 315 Wallets und etwa 93,2 Millionen US-Dollar. Dies ist eine Statistik eines Drittanbieters, und Ledger hat das endgültige Ausmaß der Verluste noch nicht bestätigt. Stand 12. Oktober wird noch untersucht, in welcher Phase die Geräte manipuliert wurden und ob das Implantat mit allen Verlusten zusammenhängt.
Viele Menschen entscheiden sich gerade deshalb für Hardware-Wallets, weil sie hoffen, ihre Vermögenswerte sicherer aufzubewahren. Dass nun gleichzeitig von Nutzern gemeldete Verluste und Anomalien an den Geräten aufgetreten sind, ist zwangsläufig besorgniserregend. Die Ursache des Angriffs zu bestimmen, erfordert professionelle Tests, und ob diese Entdeckung alle Verluste erklären kann, dazu gibt es noch keine vollständige Schlussfolgerung. Für andere Wallet-Teams hat dieser Vorfall bereits eine diskussionswürdige Frage aufgeworfen: Wenn Nutzer einem Wallet vertrauen, welchen Gliedern in der Kette vertrauen sie dann eigentlich?
Bildquelle: The Block, Bericht vom 9. Oktober 2026. Der Betrag im Screenshot ist eine frühe Schätzung, und das Ausmaß der Verluste wird noch überprüft.
Was diesen Vorfall so beunruhigend macht, ist, dass CryptoBilis zuvor auf Ledgers offizieller Liste autorisierter Wiederverkäufer stand. Nutzer, die auf die offizielle Website gingen, um die Liste zu prüfen, und über autorisierte Kanäle kauften, hatten bereits sorgfältig Risiken vermieden. Nun ist auch dieser Kaufweg in den Umfang der Untersuchung geraten. Für andere Hardware-Wallets und nicht-verwahrende Wallet-Apps ist es diskussionswürdig: Wenn Nutzer ihr Vertrauen in eine Marke setzen, sind die vom Hersteller gemachten Zusagen und übernommenen Verantwortlichkeiten klar genug dargelegt?
01 | Das durch „offizielle Autorisierung“ geschaffene Vertrauen ist etwas, das Marken ernst nehmen müssen
Für gewöhnliche Nutzer ist es sehr schwierig zu wissen, was ein Gerät nach Verlassen des Werks durchgemacht hat. Wenn sie einen autorisierten Wiederverkäufer wählen, glauben sie normalerweise, dass die Marke den Kanal bereits geprüft hat. Wenn daher ein Wiederverkäufer ein Problem hat, werden Nutzer natürlich auch von der Marke Erklärungen und Hilfe suchen.
Zum Beispiel prüfte ein Nutzer, der besorgt war, ein gefälschtes Produkt zu kaufen, eigens die Wiederverkäuferliste auf der offiziellen Website der Marke und bestellte dann bei einem Shop auf dieser Liste. Der Grund, warum dieser Shop sein Vertrauen gewann, umfasste sowohl Faktoren, die den Shop selbst betrafen, als auch die Rolle der Empfehlung durch die Marke. Wenn das Gerät später ein Problem gehabt hätte, wäre es für ihn schwer zu akzeptieren gewesen, wenn ihm die Marke und der Verkäufer sagten, er solle „sich an die andere Partei wenden“. Dies ist eine nachvollziehbare Reaktion von Nutzern, während die rechtliche Haftung noch weiter geklärt werden muss.
Marken und Wiederverkäufer sind oft zwei verschiedene Geschäftseinheiten, und Nutzer können normalerweise die Verträge zwischen ihnen oder die Aufteilung der After-Sales-Verantwortlichkeiten nicht sehen. Wenn nach außen unklar dargelegt wird, was eine Autorisierung umfasst, an welchen Phasen die Marke beteiligt war und welche Hilfe nach dem Auftreten einer Anomalie geleistet wird, entsteht leicht eine Lücke zwischen den Erwartungen der Nutzer und den tatsächlichen Vereinbarungen beider Parteien.
Nutzer mag es nicht unbedingt interessieren, wie Marke und Wiederverkäufer sich gegenseitig verwalten und zusammenarbeiten, aber diese Vereinbarungen wirken sich darauf aus, wie die Dinge nach einem Vorfall behandelt werden. Wie viel Verwaltungsbefugnis die Marke über den Kanal hat, wer Anomalien meldet, wer Nutzer kontaktiert und wer für den After-Sales-Service verantwortlich ist, sollte vorzugsweise zum Zeitpunkt der Zusammenarbeit klar vereinbart werden.
Aus vertraglicher Sicht liegt der Wert solcher Vereinbarungen darin, Streitigkeiten nach einem Vorfall zu reduzieren. Ob der Wiederverkäufer Kaufbelege vorlegen kann, ob die Marke direkt mit den betreffenden Nutzern Kontakt aufnehmen kann und wie beide Parteien bei der Untersuchung zusammenarbeiten, all das beeinflusst, wie die Angelegenheit weiterverläuft. Welche konkrete Methode des Kanalmanagements anzuwenden ist, muss im Lichte der Einschätzung der Geschäfts- und Sicherheitsteams entschieden werden; zumindest sollten beide Parteien wissen, was sie zugesagt haben und woran sie im Problemfall mitwirken müssen.
Ob die Marke Verantwortung trägt und wie viel sie trägt, hängt davon ab, welches Problem bei dem Gerät aufgetreten ist, welche Zusagen jede Partei gemacht hat und in welchem Zusammenhang das betreffende Verhalten mit den Verlusten steht. Da aber die „offizielle Autorisierung“ an den Kaufentscheidungen der Nutzer mitgewirkt hat, muss die Marke das daraus entstehende Vertrauen ernst nehmen.
Für andere Hersteller von Hardware-Wallets lohnt es sich, autorisierte Beziehungen erneut zu prüfen. Wenn die offizielle Website einen bestimmten Kanal empfiehlt, wie werden Nutzer diese Empfehlung verstehen? Wenn es während der Kooperationszeit zu Änderungen kommt, können die ursprünglichen Vereinbarungen dann noch funktionieren? Diese Fragen betreffen die Art und Weise, wie die Marke die Worte „offizielle Autorisierung“ verwendet, und auch, gegenüber wem Nutzer nach Verlusten ihre Rechte geltend machen.
02 | So groß die Sicherheitsfähigkeit auch sein mag, die Zusagen sollten nur so weit gehen
Ledgers Sicherheitsforschungsteam Donjon erklärte in öffentlichen Materialien, dass Genuine Check hauptsächlich die Echtheit des Secure Chips überprüft. Solange der originale Secure Chip intakt bleibt, können einige zusätzliche Hardware-Modifikationen möglicherweise nicht erkannt werden. Diese Prüfung kann auch nicht die vollständige Verkaufs- und Lieferhistorie des Geräts verifizieren.
Für Nutzer ist „Prüfung bestanden“ leicht als „das Gerät ist sicher und kann beruhigt verwendet werden“ zu verstehen. Wenn der tatsächlich geprüfte Umfang des Produkts enger ist, ist es notwendig, diesen Unterschied klar zu erklären. Ob Sicherheitshinweise für gewöhnliche Nutzer verständlich sind, ist ebenfalls Teil der Produktzusage.
Die Schwierigkeit dabei ist, dass technische Teams und gewöhnliche Nutzer denselben Satz möglicherweise unterschiedlich verstehen. Technisches Personal weiß, welche Komponente eine Prüfung verifiziert, während Nutzer möglicherweise nur ein grünes Häkchen sehen. Die Prüfung selbst hat ihre zugewiesene Aufgabe erfüllt, aber Nutzer können den von ihr gebotenen Schutz dennoch überschätzen. Produktbeschreibungen müssen diesen Unterschied im Verständnis berücksichtigen.
Wenn die Kaufseite wiederholt Sicherheit betont, während wichtige Einschränkungen nur an Stellen platziert werden, die für Nutzer sehr schwer zu finden sind, können in einem Streit zwei Positionen entstehen: Der Hersteller glaubt, bereits erklärt zu haben, während Nutzer glauben, beim Kauf und bei der Verwendung des Produkts nie darauf hingewiesen worden zu sein. Ob dies eine Irreführung darstellt und ob die Hinweise ausreichend sind, erfordert einen Blick auf die konkreten Seiten und das anwendbare Recht. Aber die Einschränkungen klarer zu erklären, kann tatsächlich helfen, solche Meinungsverschiedenheiten zu verringern.
Bei Non-Custodial-Wallet-Apps gibt es ähnliche Probleme. „Open-Source-Code“, „geprüft“ und „private Schlüssel werden von Nutzern verwahrt“ erklären jeweils eine bestimmte Eigenschaft des Produkts. Nutzer können darauf aufbauend breitere Sicherheitserwartungen bilden. Wenn Hersteller ihre Produkte bewerben, hilft eine genaue Erklärung des Umfangs dieser Fähigkeiten, Missverständnisse zu verringern, und kann auch künftige Streitigkeiten über die Haftung reduzieren.
Beispielsweise beschreibt sich eine bestimmte App als sicherheitsgeprüft. Nutzer können diesen Satz so verstehen, dass die künftige Nutzung insgesamt sicher sein wird, während eine Prüfung üblicherweise einen entsprechenden Gegenstand, eine Version und einen Umfang hat. Diese Informationen genau zu erklären, schwächt die Fähigkeiten, die das Produkt bereits hat, nicht. Es gibt Nutzern die Möglichkeit zu verstehen, welche Aussagen ein bestimmter Prüfbericht konkret stützt.
Natürlich ist es für Wallet-Hersteller sehr schwierig zu garantieren, dass alle Risiken verschwinden. Was uns mehr interessiert, ist, ob externe Zusagen mit den tatsächlichen Fähigkeiten übereinstimmen und ob wichtige Einschränkungen den Nutzern bekannt gemacht werden. Je größer die Kluft zwischen Werbung, Sicherheitsbeschreibungen und Nutzervereinbarungen ist, desto leichter können nach einem Vorfall Streitigkeiten darüber entstehen, „was damals genau zugesagt wurde“.
Bildquelle: offizielle Website von Ledger Donjon, Screenshot vom 12. Oktober 2026. Die Seite erläutert die Grenzen von Genuine Check bei der Erkennung zusätzlicher Hardware-Modifikationen.
03 | Private Schlüssel werden von den Nutzern verwahrt, aber Produkte und Dienstleistungen haben dennoch ihre jeweiligen Verantwortlichkeiten
Bei nicht-verwahrenden Wallets halten die Nutzer in der Regel die privaten Schlüssel oder die Signaturbefugnis. Nutzer müssen Wiederherstellungsinformationen sichern und Transaktionen sorgfältig überprüfen. Aber Nutzer sind weiterhin darauf angewiesen, dass Hersteller Geräte, Software und Seiteninformationen bereitstellen. Wenn in diesen Gliedern Probleme auftreten, beantwortet „wir verwahren keine privaten Schlüssel“ weder die Ursache des Vorfalls noch die Zurechnung der Verantwortung.
Wenn Nutzer eine nicht-verwahrende Wallet verwenden, sind sie möglicherweise selbst für die Signatur verantwortlich, aber der Transaktionsinhalt, den sie sehen, die Swap-Einstiegspunkte, die sie nutzen, und die Software-Updates, die sie erhalten, stammen weiterhin von der Wallet und ihren Partnern. Hier gibt es unterschiedliche Beteiligte und auch unterschiedliche Aufgaben. Die Tatsache, dass Vermögenswerte von Nutzern kontrolliert werden, lässt diese Dienstleistungsbeziehungen nicht verschwinden.
Beispielsweise nutzt ein Nutzer einen Drittanbieter-Swap-Dienst in einer Wallet und stellt später fest, dass bei der Transaktion ein Problem aufgetreten ist. Der Nutzer muss wissen, wer die Dienstleistung erbringt, bis zu welchem Schritt die Wallet beteiligt ist und an welchem Glied das Problem aufgetreten ist. Die Wallet zeigt möglicherweise lediglich den Einstiegspunkt an oder sie war an der Erzeugung und Anzeige des Transaktionsinhalts beteiligt; unterschiedliche Situationen haben unterschiedliche Auswirkungen auf die Bestimmung der Verantwortung. Die Markenzeichen auf der Seite und die „Drittanbieterdienste“ im Vertrag müssen beide im Kontext des tatsächlichen Ablaufs betrachtet werden.
Aus der Perspektive eines Rechtsanwalts sind Produktzusagen, Risikohinweise, Kooperationsverträge und Nutzervereinbarungen wichtige Materialien, um diese Fragen zu erörtern. Sie können helfen, zu rekonstruieren, worauf sich die Parteien geeinigt haben, müssen aber dennoch mit den tatsächlich gelieferten Produkten und Dienstleistungen verglichen werden. Ein allgemeines Etikett „nicht-verwahrend“ kann kaum alle Beziehungen erklären.
Bei der Bestimmung der Verantwortung wird es Unterschiede geben zwischen einem Nutzer, der seine Mnemonic-Phrase preisgibt, und Verlusten, die durch Gerätedefekte, Softwareschwachstellen oder irreführende Werbung verursacht werden. Nutzervereinbarungen können die Verantwortlichkeiten der einzelnen Parteien festlegen, aber die Wirksamkeit von Freistellungsklauseln hängt weiterhin vom anwendbaren Recht und den konkreten Umständen ab. Bezüglich dieses Ledger-Vorfalls ist es weiterhin erforderlich, die Untersuchung abzuwarten, um die Fakten zu vervollständigen, bevor über Entschädigung gesprochen wird.
Die Kommunikation nach einem Vorfall beeinflusst auch, ob Nutzer dem Produkt weiterhin vertrauen können. Während eine Untersuchung noch läuft, können Hersteller die derzeit bekannten Fakten, die behandelten Probleme und die Stellen, an denen Nutzer Hilfe erhalten können, erläutern. Bei Angelegenheiten, die noch nicht geklärt sind, ist es umsichtiger, den notwendigen Spielraum zu lassen, als voreilig zu versichern, dass es „kein Problem“ gebe.
Einen bestimmten Kanal auszusetzen, bei einer Untersuchung zu helfen oder Ersatzgeräte bereitzustellen sind alles konkrete Maßnahmen in der Vorfallbearbeitung. Die Haftung für Entschädigung muss weiterhin anhand der Untersuchungsergebnisse und der Vereinbarungen der beteiligten Parteien beurteilt werden. Ob Vermögenswerte erfolgreich wiedererlangt werden können, hängt auch davon ab, wohin die Gelder geflossen sind und welche Befugnisse die zuständigen Institutionen haben. Nutzer müssen wissen, welche Unterstützung derzeit verfügbar ist und wie sie anschließend ihre eigenen Ansprüche geltend machen können.
Zusammenfassung von Rechtsanwalt Mankun
Die technische Ursache des Ledger-Vorfalls muss noch von einem professionellen Team ermittelt werden. Als Rechtsanwälte beschäftigen wir uns eher mit der Beziehung zwischen dem Vertrauen der Nutzer und den Zusagen der beteiligten Parteien: ob die Autorisierung auf der offiziellen Website, die Sicherheitserklärungen auf den Seiten und die Haftungsregelungen in den Vereinbarungen den Produkten und Dienstleistungen entsprechen können, die Nutzer tatsächlich erhalten.
Andere Wallet-Teams können ihr eigenes Geschäft aus dieser Perspektive überprüfen. Nutzer, die ihre eigenen Vermögenswerte halten, müssen die entsprechende Verwahrungsverantwortung tragen; was Hersteller bereitstellen und versprechen, ist es ebenfalls wert, klar erläutert zu werden. Ein relativ konsistentes Verständnis aller Parteien in diesen Angelegenheiten hilft, Missverständnisse im Alltag zu verringern und erleichtert es, bei Problemen darüber zu sprechen, wie als Nächstes vorzugehen ist.
