Wichtigste Erkenntnis: Am 31. März 2026 kompromittierten nordkoreanische Hacker Axios, eine npm-JavaScript-Bibliothek, die 83 Millionen Mal pro Woche heruntergeladen wird, indem sie Malware einschleusten, die zum Diebstahl von Kryptoassets und Zugangsdaten entwickelt wurde. Dieser Angriff auf die Lieferkette betrifft Software-Wallets, DApps und Börsen, die von JavaScript-Bibliotheken abhängen. Air-gapped-Hardware-Wallets wie ELLIPAL sind davon nicht betroffen, da sie keine Internetverbindung und keine Abhängigkeit von npm oder einem Paketmanager haben und alle Transaktionen offline per QR-Code signieren. Separat daran erinnert ein physischer Bitcoin-Raub im Wert von 66 Millionen US-Dollar in Arizona daran, dass digitale Sicherheit allein eine Lücke lässt, da Manipulationsschutz-Hardware die physische Bedrohung adressiert.
Kurzübersicht
| Begriff | Was das bedeutet |
|---|---|
| Angriff auf die Lieferkette | Ein Angriff, der auf ein Tool zum Erstellen von Software (z. B. eine Bibliothek) abzielt, sodass jede mit diesem Tool erstellte Software die Kompromittierung übernimmt |
| npm | Das größte Paket-Repository für JavaScript-Bibliotheken, das von den meisten Kryptoanwendungen verwendet wird |
| Axios | Eine weit verbreitete JavaScript-HTTP-Client-Bibliothek, die etwa 83 Millionen Mal pro Woche heruntergeladen wird |
| Air-gapped-Wallet | Eine Hardware-Wallet ohne Internet-, Bluetooth-, USB-Daten- oder NFC-Verbindung, die ausschließlich per QR-Code kommuniziert |
| Manipulationsschutz | Ein physisches Design, das darauf ausgelegt ist, die auf dem Gerät gespeicherten Daten zu löschen, wenn das Gehäuse gewaltsam geöffnet wird |
Der Axios-Angriff: Was passiert ist und warum er wichtig ist
Am 31. März 2026 um 00:21 UTC kompromittierte eine von Googles Mandiant-Abteilung bestätigte nordkoreanische Gruppe das npm-Veröffentlichungskonto von Axios, einer der weltweit am weitesten verbreiteten JavaScript-HTTP-Client-Bibliotheken. Die Angreifer veröffentlichten schädliche Versionen (v1.14.1 und v0.30.4), die eine verborgene Abhängigkeit namens „plain-crypto-js“ enthielten und ein plattformübergreifendes Remote-Access-Trojaner-Programm installierten. Die schädlichen Versionen waren etwa drei Stunden lang aktiv, bevor sie entdeckt und entfernt wurden.
- Mehr als 83 Millionen Downloads pro Woche: Axios wird in einem großen Teil des JavaScript-Ökosystems verwendet.
- Bestätigte Zuordnung zu Nordkorea laut der Untersuchung von Googles Mandiant.
- Krypto war das ausdrückliche Ziel. Die Malware wurde entwickelt, um Kryptoassets und Zugangsdaten zu stehlen.
- Breite Medienberichterstattung durch CNN, Benzinga, Reuters, HackerNews, Snyk und Wiz.
Warum sich das von einem normalen Hackerangriff unterscheidet
Die meisten Kryptoangriffe zielen direkt auf Nutzer ab – durch Phishing, gefälschte Websites oder kompromittierte Börsen. Der Axios-Angriff manipulierte die Tools, die Entwickler zum Erstellen von Kryptoanwendungen verwenden.
- Bei einem Phishing-Angriff werden Sie dazu gebracht, Ihre Schlüssel preiszugeben.
- Bei einem Börsen-Hack wird die Plattform kompromittiert, auf der Ihre Vermögenswerte verwahrt werden.
- Bei einem Angriff auf die Lieferkette wird die Software selbst kompromittiert, einschließlich der Wallet-App, des DApp-Frontends oder der Börsenschnittstelle.
Jede Kryptoanwendung, die ihre Axios-Abhängigkeit während dieser drei Stunden automatisch aktualisiert hat, könnte die Schadsoftware enthalten haben – oft ohne Wissen des Benutzers oder sogar des Entwicklers. Deshalb gelten Angriffe auf die Lieferkette als eine der schwerwiegendsten Angriffskategorien. Sie nutzen das Vertrauen in die Entwicklungstoolchain selbst aus.
Welche Wallets sind gefährdet und welche nicht
| Wallet-Typ | Anfällig für Angriffe auf die Lieferkette? | Warum |
|---|---|---|
| Software-/Hot-Wallets | ⚠️ Potenziell ja | Mit JavaScript und npm-Abhängigkeiten entwickelt; eine kompromittierte Abhängigkeit kann die App beeinträchtigen |
| Börsen-Wallets | ⚠️ Potenziell ja | Börsen-Backends verwenden npm-Bibliotheken; eine kompromittierte Abhängigkeit könnte interne Systeme beeinträchtigen |
| Hardware-Wallets mit Begleit-Apps | ⚠️ Begleit-App potenziell betroffen | JavaScript- oder Electron-Begleit-Apps können betroffen sein; das Secure Element des Geräts schützt die Schlüssel weiterhin |
| Air-gapped-Hardware-Wallets (ELLIPAL) | ✅ Nicht gefährdet | Keine Internetverbindung, keine JavaScript-Laufzeitumgebung, keine npm-Abhängigkeiten; die Signatur erfolgt offline, und QR-Codes enthalten ausschließlich Transaktionsdaten |
Der physische Raubüberfall über 66 Millionen US-Dollar: Wenn digitale Sicherheit nicht ausreicht
Am selben Wochenende fuhren zwei Personen 600 Meilen nach Scottsdale, Arizona, um einen Bitcoin-Besitzer physisch um 66 Millionen US-Dollar zu berauben. Dies ist laut der Datenbank für physische Angriffe von Jameson Lopp ein dokumentierter Angriff durch „physische Nötigung“. Tage zuvor wurden in Spanien Verdächtige festgenommen, die an der Entführung von David Balland, Mitbegründer von Ledger, beteiligt gewesen sein sollen. Mit steigenden Kryptokursen nehmen physische Angriffe auf Besitzer zunehmend Anlass zur Sorge, und die meisten Hardware-Wallets schützen Schlüssel vor Fernangriffen, aber nicht vor Personen mit physischem Zugriff auf das Gerät.
Air-gapped und manipulationssicher: zwei Bedrohungsvektoren
ELLIPALs Titan 2.0 wurde entwickelt, um sowohl digitale als auch physische Angriffsvektoren abzuwehren:
- Schutz vor digitalen Angriffen (wie Axios): Air-gapped, ohne USB, Bluetooth, WLAN oder NFC, ohne Abhängigkeit von npm oder einem Paketmanager und mit einer Offline-Signatur über QR-Codes, die ausschließlich Transaktionsdaten enthalten.
- Schutz vor physischen Angriffen: ein vollständig aus Metall gefertigtes, versiegeltes Gehäuse, das so konzipiert ist, dass es private Schlüssel löscht, wenn das Gehäuse aufgebrochen wird, ein nach CC EAL5+ zertifiziertes Secure Element (die Stufe, die bei Reisepässen und Zahlungskarten verwendet wird) sowie Unterstützung für mehrere Konten, einschließlich Konten mit geringem Guthaben.
| Bedrohung | Software-Wallet | Hardware-Wallet + Begleit-App | ELLIPAL (Air-gapped) |
|---|---|---|---|
| Angriff auf die Lieferkette | ❌ Ausgesetzt | ⚠️ Begleit-App ausgesetzt | ✅ Nicht ausgesetzt (kein Internet) |
| Phishing oder Malware | ❌ Ausgesetzt | ⚠️ Gerät sicher, App ausgesetzt | ✅ Nicht ausgesetzt (keine Verbindung) |
| Physische Manipulation | ❌ Das Telefon kann entwendet werden | ⚠️ Den meisten Modellen fehlt ein Anti-Manipulationsschutz | ✅ Löscht Schlüssel bei gewaltsamem Öffnen |
So schützen Sie sich: ein praktischer Rahmen
- Übertragen Sie Ihre Kernbestände in einen Air-gapped-Cold-Storage. Dadurch werden Angriffsvektoren über die Lieferkette und aus der Ferne geschlossen.
- Verwenden Sie eine Hot-Wallet nur für tägliche Transaktionen. Halten Sie das Guthaben auf ein Minimum beschränkt.
- Wählen Sie Hardware mit Anti-Manipulationsschutz. Wenn ein Gerät geöffnet werden kann, ohne die Schlüssel zu löschen, ist es physisch nicht sicher.
- Werben Sie nicht mit Ihren Beständen.
- Verwenden Sie ein separat aufbewahrtes Seed-Backup aus Metall. Ihr Backup ist Ihr Weg zurück, falls dem Gerät etwas zustößt.
- Wenn Sie Software-Wallets verwenden, überwachen Sie Updates auf verdächtige Pakete.
FAQ
Kann ein Angriff auf die Lieferkette Kryptowährungen aus einer Hardware-Wallet stehlen?
Das hängt von der Architektur ab. Hardware-Wallets mit JavaScript-Begleit-Apps könnten kompromittierte Begleitsoftware haben, obwohl das Secure Element des Geräts die Schlüssel weiterhin schützen sollte. Air-gapped-Wallets wie ELLIPAL haben keine Softwareabhängigkeiten und keine Begleit-App, die eine Verbindung zum Gerät herstellt, und sind daher dieser Angriffsklasse nicht ausgesetzt.
Ist ELLIPAL vom Axios-Hack betroffen?
Nein. Die Air-gapped-Architektur von ELLIPAL bedeutet, dass das Gerät keine Internetverbindung hat und kein JavaScript ausführt. Das Axios-Problem betrifft nur Anwendungen, die das kompromittierte npm-Paket enthalten. Die Signierung bei ELLIPAL erfolgt offline über QR-Codes.
Wie funktioniert das Anti-Manipulationsdesign von ELLIPAL?
Der Titan 2.0 verfügt über ein vollständig aus Metall gefertigtes, versiegeltes Gehäuse. Wenn das Gehäuse physisch gewaltsam geöffnet wird, ist das Gerät darauf ausgelegt, die gespeicherten privaten Schlüssel zu löschen, sodass ein physischer Angreifer sie nicht aus der Hardware auslesen kann.
Besitzen. Dann nutzen.
Sicherheitshinweis: Keine Self-Custody-Einrichtung beseitigt jedes Risiko. Eine Air-gapped-Architektur schließt Angriffswege aus der Ferne und über die Lieferkette, beseitigt jedoch nicht alle Risiken durch physischen Zugriff, Firmware, Social Engineering oder Benutzerfehler. Kaufen Sie bei einer offiziellen Quelle, bewahren Sie Ihre Wiederherstellungsphrase auf einem langlebigen Offline-Backup auf, das getrennt aufbewahrt wird, und geben Sie sie nicht weiter bzw. geben Sie sie niemals digital ein. Dies sind allgemeine Bildungsinformationen und keine Finanz-, Anlage- oder Verwahrberatung.