Der Ledger Nano X ist das kabellose Flaggschiff der weltweit meistverkauften Hardware-Wallet-Reihe. Er kombiniert ein Secure Element ST33 mit Bluetooth 5.2 und USB-C, treibt ein kleines monochromes OLED mit 128x64 an und verwaltet über 500 Assets über die App Ledger Live. Bei rund 149 US-Dollar kostet er etwa das Doppelte des nur per USB laufenden Nano S Plus, und der größte Teil dieses Aufpreises erkauft Bluetooth und einen größeren Transaktionsspeicher statt zusätzlicher Sicherheit. Als Stück Verbraucherhardware ist er wirklich gut: schnell, robust und etwa so freundlich, wie Cold Storage nur sein kann.
Das Sicherheitsmodell beruht auf diesem Secure Element, einem Chip in Bankkartenqualität, der der physischen Extraktion widerstehen soll. Der Haken, den Ledger offen benennt, ist, dass die Low-Level-Firmware des SE quellgeschlossen und hinter einer STMicroelectronics-NDA verriegelt ist. Ledger beschreibt seinen Stack als „zu 95 % quelloffen“; die verbleibenden 5 % sind genau der Teil, der den Chip steuert, der die Schlüssel hält. Für viele Nutzer ist das ein akzeptabler Tausch für zertifizierte Hardware. Für jeden, der an „nicht vertrauen, verifizieren“ glaubt, ist es das A und O – man vertraut einem Unternehmen, statt ein Design zu inspizieren.
Dieses Vertrauen wurde auf die Probe gestellt. 2020 legte ein Einbruch in Ledgers E-Commerce- und Marketing-Datenbank rund eine Million Kunden-E-Mails offen und, in der darauf folgenden öffentlichen Veröffentlichung, die Namen, Wohnadressen und Telefonnummern von 272.853 Käufern. Keine Gelder, Passwörter oder Seed-Daten wurden angetastet – die privaten Schlüssel waren nie in Gefahr –, aber für ein Produkt, das speziell von Menschen gekauft wird, die Vermögen halten, ist das Durchsickern einer Liste, wer Hardware-Wallets besitzt und wo diese Personen wohnen, ein ernstes physisches Sicherheitsversagen, und es löste eine Welle von Phishing- und Erpressungsversuchen aus.
Die zweite Delle kam im Mai 2023 mit „Ledger Recover“, einem optionalen kostenpflichtigen Dienst, der eine verschlüsselte Kopie des Seeds auf drei Verwahrer aufteilt, sodass er mit Ausweisprüfung wiederhergestellt werden kann. Der Aufruhr drehte sich nicht wirklich um die Funktion; es war Ledgers eigene Erklärung, dass Firmware eine Schlüsselextraktion ermöglichen könne. Dieses eine Eingeständnis schrieb um, wie viele Nutzer das Gerät verstanden, und Ledger verschob den Start mit dem Versprechen, zuerst OS-Komponenten quelloffen zu machen. Es war eher eine selbstverschuldete Glaubwürdigkeitswunde als ein technischer Bruch.
Zu Bluetooth vertritt Ledger die Position, dass nur öffentliche Daten über den Funk laufen, die Schlüssel das SE nie verlassen und das Pairing einen numerischen Vergleich nutzt, um Man-in-the-Middle-Angriffen zu widerstehen. Unabhängige Rezensenten bewerten das praktische BLE-Risiko im Allgemeinen als gering, weisen aber auf das Offensichtliche hin: Ein Funk, den man einschalten kann, ist Angriffsfläche, die eine reine USB-Wallet nicht hat. Wer das Ledger-Erlebnis ohne ihn möchte, findet im Nano S Plus das günstigere, kabelgebundene Geschwistermodell.
Das Urteil ist differenziert. Der Nano X ist nicht unsicher, und die Millionen Menschen, die ihn ohne Zwischenfall nutzen, sind keine Narren. Aber es ist ein Gerät, das einen wiederholt bittet, dem Hersteller bei den Teilen zu vertrauen, die man nicht prüfen kann, und dessen Hersteller Kritikern zweimal Munition geliefert hat. Wenn man Bequemlichkeit, Multi-Coin-Unterstützung und eine geschmeidige App schätzt, ist er ein vernünftiger Kauf. Wenn die eigene Priorität Überprüfbarkeit und die Minimierung derer ist, denen man vertrauen muss, dann beantworten die quelloffenen Bitcoin-only-Wallets in diesem Überblick dieses Bedürfnis direkter und für weniger Geld.