Wat Ledger heeft bevestigd, dag voor dag
Ledger bevestigde op 10 oktober 2026 dat het apparaat van een getroffen gebruiker een ongeautoriseerd hardware-implantaat bevatte, en zegt dat elk bevestigd geval terug te voeren is op exemplaren van één Zuidoost-Aziatische wederverkoper, CryptoBilis.
| Datum | Wat er gebeurde |
|---|---|
| 16 september | Onderzoekers zeggen het implantaat sinds deze datum in Ledger-apparaten te hebben getoond, met geknoeide exemplaren te koop voor bijna de halve prijs |
| 9 oktober | Ledger start een onderzoek na meldingen van verliezen door gebruikers en vraagt CryptoBilis te stoppen met verkoop en verzending van Ledger-apparaten |
| 10 oktober | Ledger bevestigt dat "het apparaat van een van de getroffen gebruikers een ongeautoriseerd hardware-implantaat bevatte" |
| 11 oktober | Ledger zegt dat alle bevestigde gevallen apparaten zijn die via CryptoBilis zijn verkocht en dat het aantal "beperkt" is |
Ledger zegt geen aanwijzingen te hebben dat zijn eigen systemen of diensten zijn gecompromitteerd, en The Verge meldt dat er geen teken is dat rechtstreeks bij Ledger gekochte wallets zijn getroffen. Ledger heeft niet gezegd hoe of wanneer er mee is geknoeid, of hoeveel apparaten een implantaat dragen.
Hoe het implantaat werkt
Oud-Mt.-Gox-baas Mark Karpelès publiceerde een foto van het implantaat in een Ledger Nano X. Hij zegt dat het achter het scherm zit, de schermuitvoer en knopdrukken vastlegt om de seedphrase af te leiden en die via LTE met een eSIM naar de aanvaller stuurt.
Tibane Labs, een cryptoonderzoeksstudio, bevestigde de vondst en beschreef twee varianten. De ene past erin door de originele batterij te vervangen door een kleinere die wallet en implantaat voedt. De andere draait op de originele batterij en past in de schuimvulling onder het OLED-scherm. Het printplaatje is een professioneel gemaakte flexibele schakeling, volgens de onderzoekers geen handgebouwd stuk, en bij beide varianten verried de antennedraad het knoeiwerk.
Tibane kreeg zijn twee exemplaren van Amazon Japan, van een Chinese verkoper die vanuit Maleisië verzond, en van Yahoo! Auctions Japan. Karpelès zegt dat de zijne kwam via een bekend platform en een Chinese verkoper, niet via Ledgers aanbevolen kanalen, en hij noemde CryptoBilis niet. Ledger heeft niet bevestigd dat het implantaat elke leegtrekking verklaart.
Hoe groot het verlies is en wie telt
Niemand heeft de verliezen geverifieerd: drie schattingen op de blockchain liggen tussen 86 miljoen en ongeveer 93 miljoen dollar, en Ledger heeft er geen bevestigd.
| Schatting | Bron | Omvang |
|---|---|---|
| Meer dan 86 miljoen dollar | Blockchainonderzoeker Specter | Honderden wallets |
| Ongeveer 92,9 miljoen dollar | Bitquery | 311 wallets op vijf chains |
| Ongeveer 93,4 miljoen dollar | Yfarmx | 471 adressen |
Klanten die via CryptoBilis kochten in Indonesië, Maleisië en de Filipijnen werden als getroffen gemeld. Een onbevestigde post op X beweert dat een Ledger gekocht bij MediaMarkt in Europa ook gemanipuleerd zou kunnen zijn. Ledger heeft dat niet bevestigd en gebruikers die de foto's bekijken verschillen van mening: sommigen zeggen dat het printplaatje niet bij een echte Ledger past, anderen zien niet hetzelfde extra implantaat. MediaMarkt is officiële Ledger-wederverkoper in meerdere Europese markten, waaronder Duitsland en Oostenrijk.
Wat een koper van beveiligingshardware moet doen
Een gemanipuleerd beveiligingsapparaat zet elke controle uit die erop draait, want de controle draait op hardware die de aanvaller al in handen heeft. Ledgers eigen Genuine Check detecteert een toegevoegd implantaat niet als het originele Secure Element intact is, dus een geslaagde check bewijst weinig.
Koop bij de maker of bij een wederverkoper die u zelf op de site van de maker hebt gecontroleerd. Ledger raadt af bij niet-geautoriseerde wederverkopers te kopen en zegt wederverkopers alleen via geautoriseerde kanalen in te kopen en geretourneerde producten nooit opnieuw te verkopen. De berichtgeving die wij lazen maakt niet duidelijk of CryptoBilis op Ledgers lijst stond, dus koop voor een apparaat dat bedrijfsgeld beschermt rechtstreeks.
Gebruik nooit een apparaat dat aankomt met een herstelzin die al is gedrukt of geschreven. CryptoBilis' eigen waarschuwing zegt dat de zin tijdens de installatie door het apparaat moet worden gemaakt en door de gebruiker moet worden opgeschreven. Ledger adviseert wie bij deze wederverkoper kocht de installatie niet te starten of, als die al is gedaan, tegoeden naar een nieuwe signer met een nieuwe seed te verplaatsen. Ledger zegt nooit om uw zin van 24 woorden te vragen.
Pas dezelfde routine toe op tokens, HSM's en netwerkapparatuur: noteer serienummers bij ontvangst, open de verpakking met een tweede persoon en zie een prijs rond de helft van de catalogusprijs als bevinding, niet als koopje.
Lees hierna: Nvidia maakt van Hugging Face een flessenhals | AMD komt in elk x86-segment boven de 30 procent
