Ledger koppelt alle bevestigde leegroof-gevallen aan reseller CryptoBilis, maar Europese meldingen zorgen voor onrust

Ledger zegt dat elke bevestigde diefstal uit de leeggehaalde wallets van vorige week terug te voeren is op apparaten van één verkoper: CryptoBilis, een reseller uit Zuidoost-Azië. Volgens de Franse fabrikant zijn de eigen systemen en de directe verkoop niet geraakt. Ledger noemt nog geen schadebedrag, maar onchain-onderzoekers schatten de buit op 86 tot ruim 93 miljoen dollar. Ondertussen zegt een Europese koper dat hij ook hier gemanipuleerde apparaten in een winkel heeft gekocht.

In een update na 72 uur schreef Ledger op X: “The volume of impacted devices is limited.” Volgens het bedrijf is het aantal getroffen apparaten dus beperkt. Ledger werkt samen met de autoriteiten en neemt contact op met gedupeerden. CryptoBilis heeft volgens Ledger bevestigd dat het helemaal is gestopt met de verkoop van hardware wallets. De reseller verkocht onder meer in Indonesië, Maleisië en de Filipijnen.

Een implantaat in de behuizing

Wat er precies is misgegaan, heeft Ledger nog niet volledig uitgelegd. Wel liet Ledger Support op 10 oktober weten dat “one of the impacted users’ devices contained an unauthorized hardware implant”, zo meldt FinanceFeeds. Er zat dus ongeautoriseerde hardware in het toestel van ten minste één slachtoffer. Dat is een supply-chain-aanval: niet de chip of de software van Ledger werd gekraakt, maar het apparaat werd onderweg naar de koper aangepast.

Voor beginners: een hardware wallet bewaart je private keys offline. Bij de installatie toont het apparaat een herstelzin van 12 of 24 woorden, en wie die zin kent, heeft je crypto in handen. Als een aanvaller die woorden al bij de installatie kan afvangen, heeft de beste beveiligde chip geen zin meer.

Schattingen lopen uiteen

Ledger heeft geen enkel schadebedrag bevestigd. De cijfers komen van onafhankelijke onderzoekers en zijn niet geverifieerd.

Volgens de analyse van YFarmX heeft de dief zijn sporen professioneel uitgewist. Hij stuurde 2.810 ETH in drie rondes door de mixer Tornado Cash en leidde die opnames via de afgeschermde pool van Zcash. Daarnaast zette hij 15 miljoen gestolen USDT om in USDD, een stablecoin die Tether niet kan bevriezen. Tether bevroor op de eerste dag 10 miljoen USDT. Volgens YFarmX zijn 15.475 ETH, 203 BTC en 10 miljoen USDD nog altijd buiten bereik.

Ook in Europa?

Wat ons betreft is dit het lastigste deel van het verhaal. Een X-gebruiker die zich Johannes noemt, zegt dat hij in Europa twee Ledgers bij gewone winkels kocht. Op allebei zouden dezelfde aanpassingen zitten, zoals extra kabels en een LTE-module. Hij roept Ledger op tot een terugroepactie en stuurt een van de toestellen op voor onderzoek. Niemand heeft zijn claim onafhankelijk bevestigd, en volgens Ledger komen alle bevestigde gevallen tot nu toe van CryptoBilis. Toch laat de melding zien waar het echte probleem zit. CryptoBilis was een erkende reseller, en ook dat bleek geen garantie te zijn.

Ledger zegt nu tegen erkende resellers en distributeurs dat ze alleen via officiële kanalen inkopen en geretourneerde producten nooit opnieuw in de verkoop doen. Kopers moeten volgens het bedrijf wegblijven bij onofficiële verkopers. Volgens CoinDesk raadde Ledger recente kopers van CryptoBilis eerder al aan om hun apparaat niet in gebruik te nemen. Wie de wallet al had ingesteld, kan het geld beter overzetten naar een nieuw apparaat met een nieuwe herstelzin.

Ervaren gebruikers kennen de basisregel, maar die is nu belangrijker dan ooit. Zit er bij je apparaat al een herstelzin op papier, of oogt de verpakking anders dan verwacht? Gebruik het dan niet. Koop bij voorkeur rechtstreeks bij de fabrikant. Grote bedragen kun je bovendien verdelen over apparaten die via verschillende kanalen zijn gekocht.