Die auf KI-gestützte Sicherheitsanalysen spezialisierte Firma TestMachine hat am 22. August 2026 eine Schwachstelle in der Ethereum-App des Hardware-Wallet-Herstellers Ledger öffentlich gemacht. Ledger-CTO Charles Guillemet reagierte scharf und bezeichnete die Offenlegung als Fear-Mongering, also als gezielte Panikmache.
Der Bug und sein stiller Patch
Bereits am 12. August 2026 hatte Ledger einen Patch für die betroffene Ethereum-App ausgerollt – allerdings ohne begleitendes Security-Bulletin. Der behobene Fehler hätte es ermöglicht, unbefugte Token-Approvals durchzuführen, also Freigaben für den Zugriff auf digitale Vermögenswerte zu erteilen, ohne dass Nutzer dies bewusst autorisiert hätten.
Genau diese fehlende öffentliche Kommunikation zum Patch steht nun im Zentrum der Kontroverse: TestMachine machte die Schwachstelle erst nachträglich publik und bestätigte zudem, dass sich der Fehler auch auf dem Ledger Flex-Gerät nachvollziehen ließ.
Reaktion des Herstellers
Ledger-CTO Charles Guillemet wies die Darstellung von TestMachine zurück und sprach von Fear-Mongering. Aus Sicht des Unternehmens steht damit die Frage im Raum, ob die nachträgliche öffentliche Offenlegung eines bereits behobenen Problems der Sicherheit der Nutzer tatsächlich dient oder in erster Linie für Verunsicherung sorgt.
Millionen Smartphone-Nutzer verwenden täglich Apps für Finanzen und Krypto-Transaktionen, oft ohne die grundlegenden Sicherheitsvorkehrungen zu kennen. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr mobiles Gerät sofort effektiv gegen Hacker-Zugriffe absichern. 5 Schutzmaßnahmen für Ihr Smartphone jetzt entdecken
Ledger selbst hatte den Bug zwar durch den stillen Patch am 12. August bereits geschlossen, jedoch ohne die Nutzerbasis über das konkrete Risiko zu informieren.
Reichweite und Marktbedeutung
Die Angelegenheit betrifft potenziell eine erhebliche Nutzerzahl: Ledger hat nach eigenen Angaben bislang über 7 Millionen Geräte in 180 Ländern verkauft. Hardware-Wallets wie die von Ledger gelten in der Kryptobranche als eine der sichersten Methoden, digitale Vermögenswerte vor Online-Angriffen zu schützen, da private Schlüssel offline gespeichert werden.
Schwachstellen in den zugehörigen mobilen und Desktop-Apps, über die Transaktionen signiert und Berechtigungen erteilt werden, können diesen Schutz jedoch untergraben.
Approval-Phishing als bekanntes Risikofeld
Wer sich mit der Sicherheit mobiler Anwendungen befasst, sollte die Bedeutung regelmäßiger System-Aktualisierungen nicht unterschätzen. Erfahren Sie in diesem kostenlosen Report, wie Sie durch das richtige Management von Updates Sicherheitslücken schließen und Ihre Daten dauerhaft vor Malware schützen. Kostenlosen Update-Ratgeber hier herunterladen
Der aufgedeckte Fehler reiht sich in ein Problemfeld ein, das in der Kryptobranche als Approval-Phishing bekannt ist – Angriffe, bei denen Nutzer dazu gebracht werden, unwissentlich weitreichende Zugriffsrechte auf ihre Wallets zu erteilen. Laut Chainalysis beliefen sich die Verluste durch diese Angriffsform seit Mai 2021 auf rund 1 Milliarde US-Dollar.
Vor diesem Hintergrund gewinnt die Bdte um Transparenz bei Sicherheitslücken zusätzliches Gewicht: Während Sicherheitsforscher eine zeitnahe und vollständige Offenlegung fordern, um Nutzer vor bekannten Risiken zu warnen, verweisen Hersteller wie Ledger auf die Gefahr, dass verfrühte oder überzogen dargestellte Berichte selbst zur Verunsicherung und im schlimmsten Fall zu riskantem Nutzerverhalten führen können.
Der Vorfall verdeutlicht ein grundsätzliches Spannungsfeld in der Sicherheitsbranche für mobil verbundene Anwendungen: die Abwägung zwischen stillschweigender Fehlerbehebung und öffentlicher Kommunikation gegenüber Millionen Endnutzern, die auf die Sicherheit ihrer Geräte vertrauen.
