Ledger-wallets mogen niet meer in de winkel op het schap of de toonbank liggen. Dat is een van de nieuwe regels die de Franse fabrikant op 15 oktober oplegde aan zijn erkende verkopers. Aanleiding is een aanval waarbij criminelen echte hardware wallets kochten, er een verborgen zender in bouwden en ze daarna via distributiekanalen in Zuidoost-Azië weer in de verkoop brachten. Kopers die zo’n apparaat instelden, gaven hun herstelzin zonder het te weten direct door aan de daders. Ook in Duitsland dook een gemanipuleerd exemplaar op, waarna MediaMarkt Saturn de verkoop stillegde.
Kerncijfers
- Geschatte schade volgens onchain-onderzoekers: meer dan 86 miljoen dollar (niet bevestigd door Ledger)
- Markten waar de verkoop is stilgelegd: 7
- Datum van de gecoördineerde diefstal: 9 oktober
- Woorden in een herstelzin: 24
De chip was veilig, de doos niet
Het verhaal laat zien dat de zwakste plek van een hardware wallet niet altijd in het apparaat zelf zit. Volgens Ledgers beveiligingsteam Donjon las het implantaat met een eigen microcontroller de herstelzin van het scherm af tijdens de installatie en stuurde die via een ingebouwde simkaart over het LTE-netwerk naar de criminelen. De Secure Element, de chip die de privésleutels beschermt, bleef onaangeroerd. Ook het besturingssysteem en de handtekeningen onder transacties zijn niet aangepast, zegt Ledger. Volgens BleepingComputer paste een van de implantaten in de ruimte waar normaal schuimrubber onder het OLED-scherm zit. Een antennedraad verraadde de manipulatie.
Voor beginners: de herstelzin is de reservesleutel van je wallet. Wie die 24 woorden heeft, kan je wallet op elk ander apparaat herstellen en alles wegsluizen. Het maakt dan niet meer uit hoe goed de chip in jouw apparaat beveiligd is. Voor ervaren gebruikers is het een herinnering dat een supply chain-aanval de hele cryptografische beveiliging gewoon omzeilt.
Van CryptoBilis tot MediaMarkt
De bevestigde gevallen gaan terug op CryptoBilis, een verkoper uit Maleisië die actief is in Zuidoost-Azië. Ledger vroeg daarna verkopers en distributeurs in Indonesië, Singapore, Thailand, de Filipijnen, Vietnam, Maleisië en Hongkong om de verkoop te stoppen. Volgens Decrypt heeft onchain-onderzoeker Specter voor meer dan 86 miljoen dollar aan vermoedelijke diefstallen in kaart gebracht. Andere media noemen 93 miljoen dollar. Ledger heeft geen van beide bedragen bevestigd en weet ook nog niet hoeveel klanten getroffen zijn.
In Duitsland stopte MediaMarkt Saturn in overleg met Ledger met de verkoop in winkels en online, nadat een klant een implantaat in zijn apparaat had gemeld. Daarbij is volgens Ledger geen geld verloren gegaan. Eigen steekproeven in winkels en magazijnen leverden geen nieuwe gemanipuleerde exemplaren op, maar het bedrijf zegt niet hoeveel apparaten het heeft opengemaakt. Ledger spreekt van “a localized distribution attack” en houdt vol dat de eigen productie er buiten staat.
| Datum | Gebeurtenis |
|---|---|
| 9 oktober | Gecoördineerde leegroof van wallets |
| 13 oktober | Technische update van Donjon, MediaMarkt Saturn stopt verkoop |
| 15 oktober | Nieuwe regels voor erkende verkopers |
Wat er verandert in de winkel
Verkopers moeten Ledger-apparaten voortaan in het magazijn bewaren en pas bij een aankoop aan de klant geven. Teruggebrachte apparaten mogen niet opnieuw verkocht worden, uitzonderingen zijn er niet. Ledger zelf presenteert het als een test van karakter: “How a company behaves when it is attacked says more about it than any product launch”, schreef het bedrijf op X.
De schok gaat verder dan Ledger. Volgens CryptoSlate snoeit concurrent Trezor in zijn netwerk van verkopers. Een deel van de winkels raakt in januari 2027 de erkenning kwijt, hoewel Trezor zelf geen bewijs van manipulatie heeft gevonden. Ook OneKey scherpt volgens Coin360 de controle aan.
Het advies van Ledger aan wie bij CryptoBilis kocht en het apparaat nog niet heeft ingesteld: niet installeren en contact opnemen met de klantenservice. Wie geld kwijt is, moet volgens het bedrijf eerst de politie inschakelen voordat het apparaat wordt opengemaakt. Onze les voor iedereen: koop een wallet rechtstreeks bij de fabrikant. Elke tussenschakel is een extra plek waar iemand de doos kan openmaken.
