Ledger untersucht eine größere Serie von Wallet-Drains, von denen Kunden in Südostasien betroffen sind, die Hardware-Wallets beim Wiederverkäufer CryptoBilis gekauft haben; die neueste Onchain-Schätzung beziffert die vermuteten Verluste auf 92,9 Millionen Dollar.

Die Sicherheit von Hardware-Wallets beruht auf einer einzigen Prämisse: Der Recovery-Seed — die Phrase, die den Zugriff auf Onchain-Vermögen kontrolliert — wird auf dem Gerät selbst erzeugt und verlässt dieses nie. Deshalb steht der Vertriebsweg, über den ein Gerät zum Käufer gelangt, im Mittelpunkt dieses Falls.

Das Unternehmen bat CryptoBilis am 9. Oktober, alle Verkäufe und Auslieferungen von Ledger-Produkten einzustellen, während die Untersuchung andauert. Jeder, der in den vergangenen 90 Tagen ein Gerät beim Wiederverkäufer gekauft und noch nicht initialisiert hat, sollte die Einrichtung nicht beginnen. Kunden, die ein solches Gerät bereits nutzen, wurde empfohlen, ihre Vermögenswerte auf einen neuen Ledger-Signer zu übertragen, der mit einem vollständig neuen Recovery-Seed generiert wurde.

In Updates seines Support-Kontos auf X erklärte Ledger, die bislang identifizierten Berichte beschränkten sich auf über CryptoBilis vertriebene Geräte und es gebe keine Hinweise darauf, dass seine Sicherheitsinfrastruktur, Systeme oder Dienste kompromittiert worden seien. Das Unternehmen hat weder den gestohlenen Betrag noch die Zahl der Opfer oder den Mechanismus, mit dem Zugriff auf die Wallets erlangt wurde, bestätigt.

CryptoBilis wechselte Monate vor den Drains den Besitzer

CryptoBilis wurde Anfang 2026 übernommen, wie der ehemalige Mitgründer Arravind Prabu bestätigte, nachdem die Untersuchung der Wallet-Drains begonnen hatte. Prabu sagte, die ehemaligen Besitzer hätten nach der Übernahme ihre operativen Aufgaben, Systemzugriffe und Managementfunktionen vollständig abgegeben und betreiben CryptoBilis nicht mehr. Die Transaktion wurde im März abgeschlossen, während malaysische Unternehmensregister, die im Zuge der Untersuchung veröffentlicht wurden, zeigen, dass eine als Jiaming identifizierte Person mit eingetragener Adresse in Heilongjiang, China, zum Stand 3. August 100 % der CryptoBilis-Anteile hält.

Der Sicherheitsforscher Quit sagte, die Übernahme enthalte eine Geheimhaltungsvereinbarung, die den ehemaligen Besitzern untersagte, den Verkauf öffentlich bekannt zu geben; diese Beschränkung lief am 19. Oktober aus — zehn Tage nach Ledgers Einstellungsersuchen. Er brachte die Möglichkeit auf, dass der Kauf von einem hochentwickelten Angreifer hätte durchgeführt werden können, der Zugang zu einem etablierten autorisierten Wiederverkäufer suchte, statt dass der Vorfall auf einen untreuen Mitarbeiter zurückgeht. Die Theorie spiegelt die vertrauensvolle Position wider, die Wiederverkäufer zwischen Hersteller und Kunde einnehmen.

Das bleibt eine Untersuchungsthese. Keine öffentlichen Belege haben erwiesen, dass der neue Besitzer CryptoBilis erwarb, um Ledger-Geräte zu kompromittieren, an den Wallet-Drains beteiligt war oder eine Verbindung zu den von Angreifern kontrollierten Adressen hatte. Der Zeitpunkt verortet den Besitzerwechsel dennoch Monate vor dem Verkauf der betroffenen Geräte und vor Beginn der koordinierten Drains.

Onchain-Schätzung erreicht 92,9 Millionen Dollar

Die vermuteten Verluste haben sich über die anfänglichen Schätzungen von 72 Millionen bis 86 Millionen Dollar hinaus ausgeweitet, als Ermittler zusätzliche betroffene Adressen und Netzwerke identifizierten.

Eine detaillierte Bitquery-Rekonstruktion des Drains ergab 92,9 Millionen Dollar aus 311 Wallets über Tron, Bitcoin, Ethereum, BNB Chain und Polygon. Die Verluste konzentrierten sich auf Tron, wo etwa 70,5 Millionen Dollar abgeflossen sind. Bitcoin-Wallets verloren rund 203,8 BTC im Wert von 16,8 Millionen Dollar, während Ethereum, BNB Chain und Polygon die restlichen Mittel ausmachten.

Das Timing der Transaktionen deutet auf zentralisierte Kontrolle über die betroffenen privaten Schlüssel hin. Fünfundzwanzig Tron-Wallets autorisierten denselben Spender innerhalb von drei Sekunden, und 111 Bitcoin-Wallets wurden innerhalb eines einzelnen Blocks geleert, laut auf X geteilten Berichten. Bitquery verfolgte außerdem 41 kleine Testtransaktionen über Tron und Ethereum in den zwei Wochen vor dem Haupt-Drain. Dieses Muster beweist nicht, wie die privaten Schlüssel erlangt wurden, unterscheidet sich jedoch davon, dass einzelne Opfer über einen längeren Zeitraum unabhängig voneinander bösartige Transaktionen genehmigt hätten.

Tether fror anschließend etwa 10 Millionen Dollar in USDT über 20 mit der Aktivität verbundene Adressen ein — ein Schritt, der dem Emittenten zur Verfügung steht, da Stablecoin-Guthaben an bestimmten Adressen eingefroren werden können. Weitere 15,1 Millionen USDD verblieben in von Angreifern kontrollierten Wallets, während 1.254 ETH später am 9. Oktober durch Tornado Cash geschickt wurden, einen Mixing-Protokoll, das darauf ausgelegt ist, die Verbindung zwischen Einzahlungs- und Abhebungsadressen zu verschleiern. Bei der neuesten Analyse blieben rund 79 Millionen Dollar nachverfolgbar.

Physisches Implantat wirft Supply-Chain-Fragen auf

Ein möglicher hardwarebasierter Angriffsweg wird ebenfalls untersucht. Der frühere Mt.-Gox-CEO Mark Karpelès öffnete ein in Malaysia beschafftes Ledger-Gerät und berichtete von einem verborgenen elektronischen Implantat an der Stelle, an der sich normalerweise die Bildschirmpolsterung befindet.

Karpelès sagte, das modifizierte Gerät habe eine überzeugende Verpackung gehabt, und das Implantat sei selbst nach dem Öffnen des Gehäuses schwer zu erkennen gewesen. Seine Analyse ergab, dass die zusätzliche Hardware Informationen, die während der Einrichtung angezeigt werden, überwachen und Recovery-Phrase-Daten nach außen übertragen könnte. Eine solche Modifikation würde die Einrichtung selbst ins Visier nehmen — den Moment, in dem eine Recovery-Phrase erstmals erzeugt und angezeigt wird.

Keine öffentlichen Belege haben bislang erwiesen, dass das von Karpelèsuchte Gerät aus CryptoBilis stammte oder dass dieselbe Modifikation den Drain von 92,9 Millionen Dollar verursachte. Ledger hat auch keinen Supply-Chain-Angriff bestätigt.

Die Technik ähnelt Risiken, die früher in diesem Jahr offengelegt wurden, als ein gefälschter Ledger mit versteckter Hardware entdeckt wurde, der auf Recovery-Phrases und PIN-Informationen abzielen konnte. Der aktuelle Fall unterscheidet sich zudem von den Coldcard-Wallet-Drains Anfang 2026, bei denen Ermittler die Verluste auf schwache Seed-Generierung in der betroffenen Firmware statt auf eine Modifikation auf Wiederverkäuferebene zurückführten.

Ledgers Warnung gilt derzeit ausdrücklich für Kunden, die in den letzten 90 Tagen Geräte bei CryptoBilis gekauft haben. Nutzer, die eines dieser Geräte bereits initialisiert haben, benötigen einen neuen Signer und einen neu generierten Seed, statt die bestehende Recovery-Phrase einfach auf eine andere Hardware-Wallet zu übertragen — eine während der Einrichtung offengelegte Phrase bleibt auf jedem Gerät gültig, auf das sie später geladen wird. Da der Mechanismus noch unbestätigt ist, bleiben sowohl die endgültige Verlustsumme als auch der Angriffsweg im Verlauf der Untersuchung Änderungen offen.

Quelle: Crypto Adventure