OneKey exposes vulnerability in old Ledger Ethereum app – and Ledger responds

Ich muss gestehen: Als ich von diesem Angriff auf die Ledger-Ethereum-App hörte, war ich zunächst erschrocken. Nicht, weil ich ein Ledger-Nutzer bin – sondern weil es mich wieder daran erinnerte, wie schnell scheinbar sichere Systeme Risse bekommen können. Und dass wir alle, ob Anfänger oder Profis, unsere Hausaufgaben machen müssen.
OneKey, selbst ein bekannter Hersteller von Hardware-Wallets, hat in einem kontrollierten Test eine Schwachstelle in älteren Versionen der Ledger Ethereum-App (vor Version 1.22.2) entdeckt. Die Methode? Ein Transaction Replacement Attack. Klingt kompliziert, ist aber im Grunde ein Trick, bei dem Angreifer versuchen, eine bereits signierte Transaktion durch eine manipulierte Version zu ersetzen – noch bevor sie in die Blockchain geschrieben wird. Und das Schlimmste: Der Nutzer bemerkt davon zunächst nichts.
OneKey hat den Angriff in ihrem Labor nachgestellt – zum Glück ohne echte Gelder im Spiel. Aber das ist wie beim Autofahren: Selbst wenn man nur im Parkhaus gegen eine Wand fährt, will man nicht wissen, was passiert wäre, wenn es auf der Autobahn gewesen wäre. Ledger hat übrigens sofort reagiert und eine aktualisierte Version (1.22.2) der Ethereum-App veröffentlicht, die den Angriff blockiert. Respekt für die schnelle Reaktion!
---
Warum das so gefährlich ist
Transaction Replacement Attacks sind tückisch, weil sie oft erst im Nachhinein auffallen. Die ursprüngliche Transaktion sieht zunächst völlig legitim aus – erst später merkt man, dass etwas nicht stimmt. Stell dir vor, du schickst 1 Ethereum an einen Freund, und plötzlich landet es auf einem fremden Wallet. Oder jemand ändert nachträglich die Gasgebühren, sodass deine Transaktion länger dauert oder teurer wird als geplant.
Diese Art von Angriff nutzt Schwachstellen in der Wallet-Software aus – insbesondere dann, wenn die Überprüfung von Transaktionsdaten nicht streng genug ist. Und hier kommen wir ins Spiel: Wir als Nutzer sind oft der schwächste Punkt. Wir ignorieren Updates, weil „das ja irgendwie funktioniert“, oder vertrauen blind auf Links und Apps, die uns eigentlich verdächtig vorkommen sollten.
---
Ledgers Reaktion: Schnell, aber nicht perfekt
Ledger hat bestätigt, dass die Schwachstelle in Versionen vor 1.22.2 bestand – betont aber, dass keine echten Gelder gefährdet waren, da der Angriff nur im Labor nachgestellt wurde. Fair enough. Trotzdem: Das Unternehmen hat die Meldung ernst genommen und innerhalb kürzester Zeit ein Update veröffentlicht, das den Mechanismus verbessert. Ein Sprecher sagte dazu: „Sicherheit hat für uns oberste Priorität.“
Und das stimmt. Aber es ist auch unsere Priorität – als Nutzer. Ledger empfiehlt dringend, alle Apps auf dem neuesten Stand zu hal



ten. Wer automatische Updates nicht aktiviert hat, sollte das jetzt wirklich tun. Denn selbst wenn Hersteller schnell handeln: Wir sind es, die entscheiden, ob eine Schwachstelle ausgenutzt wird oder nicht.
---
Was du tun kannst – meine persönlichen Tipps
Ich weiß, Updates sind nervig. Sie kommen oft zur Unzeit, und manchmal funktioniert danach plötzlich etwas nicht mehr, das vorher klappte. Aber ich verspreche dir: Es ist besser, einmal im Monat fünf Minuten zu investieren, als später mit leeren Händen dazustehen.
1. Aktualisiere alles – wirklich alles
Nicht nur die Firmware deines Hardware-Wallets, sondern auch die Apps (z. B. Ledger Live). Und ja, auch die Wallet-Software auf deinem PC oder Smartphone. Aktiviere automatische Updates, wo es möglich ist.
2. Doppelt prüfen, was du sendest
Nach dem Senden einer Transaktion: Geh auf Etherscan (oder den entsprechenden Blockchain-Explorer) und überprüfe, ob die Transaktion wirklich so aussieht, wie du sie gesendet hast. Lieber einmal zu oft nachschauen als einmal zu wenig.
3. Vorsicht vor Phishing – auch wenn es nervt
Klicke nicht auf verdächtige Links in E-Mails oder Nachrichten, selbst wenn sie offiziell aussehen. Geh immer direkt auf die offizielle Website des Herstellers, wenn du etwas herunterladen oder dich einloggen musst. Denk dran: Offizielle Kommunikation kommt selten per Direktnachricht oder obskure Links.
4. Kaufe dein Hardware-Wallet beim Hersteller
Ja, es ist verlockend, das neueste Modell bei einem Drittanbieter günstiger zu bekommen. Aber gefälschte Wallets können manipuliert sein. Lieber etwas mehr bezahlen und sicher sein.
5. Mehr Sicherheit für große Beträge
Falls du größere Summen besitzt, lohnt sich eine Multi-Signatur-Lösung (z. B. Ledger + Metamask mit Trezor). Dann braucht es mehrere Bestätigungen, um eine Transaktion durchzuführen – das macht Angriffe viel schwerer.
---
Ein Weckruf – und eine Erinnerung
Dieser Vorfall ist wie ein Weckruf in der Krypto-Welt. Er zeigt, dass selbst die größten Namen der Branche nicht immun gegen Sicherheitslücken sind. Aber er zeigt auch, dass Hersteller wie Ledger schnell handeln können – wenn sie davon erfahren.
Am Ende liegt es an uns, wachsam zu bleiben. Kryptowährungen sind nur so sicher wie das schwächste Glied in der Kette. Und das ist oft nicht die Blockchain selbst, sondern die Software, mit der wir darauf zugreifen. Wer hier nachlässig ist, riskiert nicht nur seine Coins, sondern auch das Vertrauen in die gesamte Branche.
Also: Update installieren. Blockchain-Explorer nutzen. Misstrauisch sein, wo nötig. Und vor allem: Nicht in Panik verfallen, aber auch nicht blauäugig sein. Sicherheit ist kein einmaliger Akt – sie ist eine Gewohnheit. Und die lohnt sich.