EXKLUSIV. Ledger: Hacker der Kundendatenbank verhaftet

Dies ist der Abschluss einer Untersuchung, die etwas mehr als zwei Jahre gedauert hat. Nach unseren Informationen wurden die Verantwortlichen für den Diebstahl der Kundenakten von Ledger im April und Juni 2020 festgenommen.

Der erste ist ein gewisser Tassilo H., ein 22-jähriger Österreicher, der in Kalifornien lebt. Er befindet sich derzeit in den Vereinigten Staaten in Gewahrsam.

‍

Der zweite, Davide M., ein 28-jähriger portugiesischer Staatsbürger, wurde in Portugal festgenommen und im November 2022 an die französischen Behörden übergeben. Er wurde angeklagt und in Untersuchungshaft genommen.

Über mehrere Monate hinweg verkauften die beiden Hacker unter der Hand die Daten von 290.000 Ledger-Kunden, die über die Shopify E-Commerce-Plattform erlangt wurden.

Dieses massive Datenleck führte zu einer Welle von "Phishing" - einer Technik, die darauf abzielt, das Unternehmen zu imitieren - unter den Besitzern digitaler Geldbörsen, die vom Weltmarktführer in der Verwahrung digitaler Vermögenswerte gehalten werden. Ledger bestreitet jeglichen Zusammenhang zwischen dem Datenleck und der Phishing-Welle.

Das Leck betraf die Namen, Telefonnummern, E-Mail-Adressen und auch die physischen Adressen der Kunden. Diese Datenbank wurde verwendet, um Ledger-Produkte an Haushalte zu liefern.

Ledger wurde im Juni 2020 von einem zweiten Hack getroffen. Dieser Hack, der diesmal eine Million Menschen betraf, soll auf eine Schwachstelle in einem API-Schlüssel zurückzuführen sein. Der Hacker wurde nicht festgenommen.

Das französische Einhorn wurde für beide Hacks verklagt. Auf Nachfrage lehnte Ledger, das Ende 2022 die Marke von 6 Millionen verkauften Nano (S und X) überschritt, einen Kommentar ab.

Wie wurden die beiden Verantwortlichen für den ersten Hack, Tassilo H. und Davide M., gefunden?

Alles begann im Januar 2021. Zu dieser Zeit hatten Ledger und die französischen Behörden nur wenig Informationen über die Verantwortlichen des Hacks, der im April 2020 stattfand, bis ein Internetnutzer das französische Unternehmen auf Twitter kontaktierte.

Der Internetnutzer, der sich als Administrator einer Kryptowährungs-Investitionsseite vorstellte, behauptete, die Identität des Verantwortlichen für den Hack zu kennen. Um seine Glaubwürdigkeit zu beweisen, lieferte er mehrere Screenshots von Telegram-Gruppenchats, in denen der Weiterverkauf von Unternehmensdatenbanken erwähnt wird. Ledger ist eines der erwähnten Unternehmen.

In diesen Kanälen prahlt Tassilo H. (unter den Pseudonymen "TASS" oder "BigBoy") damit, die Kundendatenbank von Ledger gehackt zu haben, und liefert gekürzte Fotos, die Auszüge aus der Kundenakte zeigen.

Schnell vom FBI identifiziert, wird der Österreicher im Zuge dessen festgenommen. Es ist immer noch Januar 2021. Auf Nachfrage gab er die Straftaten zu, sagte jedoch, er habe "nicht allein gehandelt". Zu dieser Zeit nannte er einen gewissen Davide M. als Hauptschuldigen.

Laut gefundenen Austauschen kannten sich die beiden Männer seit mindestens 2019.

Hier nimmt die Untersuchung eine internationale Dimension an. Davide M. wurde im Jahr 2022 identifiziert und im Sommer von den portugiesischen Behörden vorgeladen. Als er nicht erschien, wurde ein europäischer Haftbefehl gegen ihn erlassen. Er wurde daraufhin festgenommen.

Die Analyse der ihm gehörenden Geräte zeigte, dass auch er auf Telegram damit prahlte, hinter der Datenextraktion mehrerer Unternehmen, darunter Ledger, zu stehen. Und es scheint nicht sein erster Streich zu sein...

Die Analyse der Daten von seinem Smartphone und seinen Festplatten bewies auch, dass er im Frühjahr 2022 eine Seite erstellte, die die Kryptowährungs-Handelsplattform Gate imitierte. Das Ziel? Kunden-IDs zu erlangen und den Inhalt ihrer Wallets zu stehlen.

Ein Leck bei Shopify

Um an die Kundenakte von Ledger zu gelangen, verwendeten Tassilo H. und Davide M. keine Malware. Sie kontaktierten drei philippinische Subunternehmer des kanadischen Giganten Shopify, der E-Commerce-Lösungen anbietet. Über Shopify verkaufte Ledger seine Produkte online.

Der Kontakt fand im Support-Chat von Shopify mit einem gewissen Carlo P. statt.

Letzterer soll dann angeblich einen Teil der Shopify-Datenbank extrahiert haben, einschließlich der Kundenakte von Ledger. "Es ist unverständlich, dass die Subunternehmer von Shopify unkontrollierten Zugang zu einer solch sensiblen Datenbank hatten", betont eine dem Fall nahestehende Quelle.

Infolge des Hacks und des Verkaufs der Datei wurden viele Ledger-Kunden von Phishing-Angriffen betroffen, bei denen sich Personen als Ledger ausgaben.

Der Prozess ist oft derselbe: Die Diebe laden die Kunden ein, eine gefälschte Seite zu besuchen, unter dem Vorwand, dass sie ihre Software aktualisieren müssen. Einmal eingeloggt, werden sie aufgefordert, den Wiederherstellungsschlüssel für ihr Krypto-Konto anzugeben, der aus 24 Wörtern besteht und es dem Dieb ermöglicht, die Wallet auf seiner Seite zu rekonstruieren und die Gelder wiederzuerlangen.

Laut den Gerichten sind mindestens 150 Personen Opfer dieser Praktiken geworden. Nach unseren Informationen haben einige Opfer mehr als eine Million Euro verloren.

In zwei Jahren sollen Tassilo H. und David M. durch den Verkauf von Kundenakten jeweils 80.000 und 70.000 Euro eingenommen haben. Laut einem Experten ist diese Summe wahrscheinlich unterbewertet.

Der Prozess gegen Davide M. soll in Frankreich in relativ kurzer Zeit stattfinden, wahrscheinlich in den kommenden Monaten. Die gesammelten Beweise scheinen für die Gerichte ausreichend zu sein, die nicht viele weitere Ermittlungen durchführen müssen.

Davide M. wurde wegen sechs Straftaten angeklagt: Betrug in einer organisierten Bande, Diebstahl in einer organisierten Bande, kriminelle Vereinigung mit dem Ziel, ein Verbrechen zu begehen, betrügerischer Zugang zu einem automatisierten Datenverarbeitungssystem, betrügerische Aufrechterhaltung in einem automatisierten Datenverarbeitungssystem, betrügerische Extraktion von Daten aus einem automatisierten Datenverarbeitungssystem.

Ihm drohen bis zu zehn Jahre Haft und eine Geldstrafe von einer Million Euro.

Tassilo H. könnte derweil in den Vereinigten Staaten vor Gericht gestellt werden.