Ledger kreeg al maanden eerder meldingen over gemanipuleerde wallets, zegt Karpelès

Ledger wist al maanden voordat de diefstallen via CryptoBilis aan het licht kwamen dat er hardware wallets met een kwaadaardige chip in omloop waren. Dat stelt Mark Karpelès, de voormalige topman van het failliete Mt. Gox. Volgens hem namen minstens twee mensen vanaf december 2025 contact op met Ledger over gemanipuleerde apparaten. Een publieke waarschuwing van het Franse bedrijf heeft hij in die periode nooit gezien, vertelde hij aan Cointelegraph.

Hier draait het niet om de vraag of Ledger iets wist. Het bedrijf wist het. De vraag is waarom klanten pas gewaarschuwd werden toen het geld al weg was.

Joe Grand sloeg in maart alarm

De bekende hardwarehacker Joe Grand meldde Ledger op 4 maart 2026 dat hij een kwaadaardig implantaat had gevonden in een Nano X. Dat apparaat was in augustus 2025 gekocht via Lazada Thailand, een grote online marktplaats. Ledger bevestigde dat het de bevindingen had ontvangen en intern onderzocht, maar volgens Grand liet het bedrijf na om klanten zelf te waarschuwen. Op vragen over de afhandeling van zijn melding wilde Ledger niet ingaan. Het verwees naar zijn eigen berichten op X.

Ook de Vietnamese crypto-educator Tai Zen klopte volgens Karpelès al in december 2025 bij Ledger aan met een vermoedelijk gemanipuleerde wallet. Karpelès vindt het nog te begrijpen dat een fabrikant niet direct reageert op één geval van een apparaat dat bij een dubieuze verkoper is gekocht. Dat geldt volgens hem niet meer als de meldingen zich opstapelen. “Het toenemende aantal meldingen dat ze moeten hebben ontvangen, en de steeds betere kwaliteit en technologie, hadden ze genoeg moeten alarmeren om in actie te komen en klanten op zijn minst te herinneren aan voorzichtigheid”, zei hij tegen Cointelegraph.

Van louche webwinkel naar erkende verkoper

Precies daar zit de kern. Onderzoeksjournalist Kim Zetter schrijft dat de implantaten die Grand vond allemaal in wallets zaten van onofficiële online verkopers, die vaak maar kort actief waren. De implantaten die recent zijn ontdekt bij klanten van CryptoBilis en een Europese elektronicaketen lijken volgens haar geavanceerdere versies daarvan. Ze wijzen erop dat de aanvallers nu bewust apparaten van erkende wederverkopers aanpakken.

CryptoBilis is een officiële Ledger-partner in Zuidoost-Azië. Ledger heeft bevestigd dat in minstens één getroffen apparaat een niet-geautoriseerd implantaat zat. Volgens Help Net Security zei het bedrijf in zijn update na 72 uur dat alle bevestigde gevallen gaan om apparaten die via die Zuidoost-Aziatische verkoper zijn verkocht. Karpelès zegt zelf ook een gemanipuleerde Ledger te hebben gekocht, in Maleisië.

Voor beginners: een hardware wallet bewaart je private keys offline. De beveiliging gaat er wel van uit dat het apparaat dat je uitpakt precies zo is gebouwd als de fabrikant het heeft bedoeld. Een extra chip die tijdens de distributie wordt ingebouwd, kan die belofte volledig onderuithalen, zonder dat de firmware daar iets van merkt.

Trezor trekt een duidelijke grens

Grand vond niet alleen gemanipuleerde Ledgers. In augustus 2026 waarschuwde hij Trezor voor aangepaste exemplaren van de Trezor One en Model T, gekocht bij onofficiële verkopers op TikTok en Facebook. Trezor zegt meldingen over zulke verkopers te zien als vroege signalen. Het bedrijf noemt ook het moment waarop het wel publiekelijk zou optreden: “Wat het beeld verandert, is een nieuwe techniek, of een eerste geval via een geautoriseerd kanaal.” In zo’n geval zou Trezor klanten direct waarschuwen.

Met die maatstaf in het achterhoofd valt de terughoudendheid van Ledger extra op. Het bedrijf had in maart al een nieuwe aanvalstechniek op tafel. Ook OneKey legt de verantwoordelijkheid bij de fabrikant. Het merk haalde zijn wederverkopers offline tot er strengere controles zijn. Volgens OneKey moeten fabrikanten hun klanten zelf beschermen en mogen ze het herkennen van betrouwbare verkopers niet alleen aan kopers overlaten. Wie nu een hardware wallet koopt, doet er goed aan dat rechtstreeks bij de fabrikant te doen.