OneKey-Gründer und CEO Yishi Wang hat angekündigt, dass das Händlernetz des Hardware-Wallet-Herstellers nach einer vollständigen Überprüfung der zuvor zertifizierten Händler „deutlich schrumpfen“ wird; Händler mit „nicht verifizierbaren Betreibergesellschaften oder unklaren wirtschaftlich Berechtigten“ würden ihre Autorisierung verlieren und von der offiziellen Website entfernt. Wang bestätigte zudem, dass OneKey CryptoBilis die Autorisierung als Händler für seine Geräte entzogen hat.

Die Ankündigung folgt auf Berichte, dass eine der über den südostasiatischen Reseller CryptoBilis verkauften Ledger-Wallets ein unbefugtes Hardware-Implantat enthielt, während die Untersuchung eines Krypto-Diebstahls mit einem nun auf 86 bis 93 Millionen US-Dollar geschätzten Verlust andauert. Der Vorfall beleuchtet die Reseller-Ebene des Hardware-Wallet-Geschäfts, bei der Geräte über Zwischenhändler zwischen Hersteller und Endnutzer laufen.

Was hat Ledger zum CryptoBilis-Wallet-Hack gesagt?

Ein Update vom 10. Oktober auf der Support-Seite von Ledger bestätigte, dass CryptoBilis bis zum Abschluss der Untersuchung keine Produkte des Hardware-Wallet-Herstellers verkaufen wird. Diese Erklärung folgte darauf, dass Ledger in einer öffentlichen Erklärung auf X mitteilte, dass mindestens „eines der Geräte der betroffenen Nutzer ein unbefugtes Hardware-Implantat enthielt“.

Ledger betonte, dass seine eigenen Systeme und direkten Vertriebskanäle unberührt blieben, und wies darauf hin, dass alle betroffenen Geräte auf CryptoBilis zurückzuführen seien. Der Unterschied zwischen über Reseller bezogenen Geräten und direkt vom Hersteller versandten Geräten bildet die Grundlage für die anschließenden Kundenhinweise.

Ledger rät allen, die Wallets über den südostasiatischen Reseller gekauft haben, keine noch nicht eingerichteten Geräte zu initialisieren. Kunden, die über CryptoBilis erworbene Geräte bereits eingerichtet haben, wird empfohlen, ihre Gelder auf direkt von Ledger ausgegebene Wallets zu übertragen statt auf über Reseller bezogene.

Bislang geht die Schätzung von Sicherheitsanalysten davon aus, dass etwa 300 Ledger-Wallets um rund 86 bis 93 Millionen US-Dollar geleert wurden.

Warum OneKey- und SafePal-Käufer nervös sind

Während Ledger-Wallets bisher die einzigen mit gemeldeten Diebstählen sind, hat die Sicherheitspanik auf Kunden anderer Wallet-Hersteller übergegriffen. CryptoBilis führt sich selbst als autorisierter Reseller von Ledger, Trezor, OneKey, Tangem, SafePal, imKey und weiteren Wallets in Malaysia und ist auch in Indonesien und auf den Philippinen tätig.

In einem Beitrag auf X suchte Yishi Wang die Panik zu beruhigen und schrieb: „Wir haben die Autorisierung von CryptoBilis beendet; es ist kein autorisierter OneKey-Händler mehr.“

Wang erläuterte zudem OneKeys dreistufige Reaktion, um die Exposition jetzt zu mindern und eine weitere Eskalation zu verhindern.

Schritt eins: OneKey hat die Aufnahme neuer Händler gestoppt, wirksam ab der Erklärung vom 12. Oktober.

Schritt zwei: Alle bestehenden Händler, einschließlich zuvor zertifizierter, durchlaufen einen erneuten Überprüfungsprozess. Händler mit „nicht verifizierbaren Betreibergesellschaften oder unklaren wirtschaftlich Berechtigten“ verlieren ihre Autorisierung, und OneKey wird die vollständige Liste der autorisierten Händler auf seiner offiziellen Website veröffentlichen.

Schritt drei: Nutzer, die zwischen dem 1. März 2026 und dem 12. Oktober OneKey-Geräte bei CryptoBilis gekauft haben, erhalten ein kostenloses Ersatzgerät. Auch Nutzer, die ihre Geräte bereits aktiviert oder verwendet haben, kommen weiterhin in den Genuss.

Laut Wang wählte OneKey den Stichtag 1. März, weil der ursprüngliche Mitgründer von CryptoBilis öffentlich erklärte, das Unternehmen habe im März die Übergabe des operativen Managements abgeschlossen, nachdem es earlier in diesem Jahr übernommen worden war. Sobald die vollständige Händlerliste auf der offiziellen Website live ist, dient sie Käufern als Referenz, um zu prüfen, ob ein Verkäufer derzeit autorisiert ist.

Der einzige zuvor gemeldete Hardware-Mangel von OneKey reicht ins Jahr 2023 zurück, als das Sicherheitsunternehmen Unciphered im Rahmen eines Laborangriffs den Seed eines Geräts extrahierte. OneKey schloss die Schwachstelle, zahlte eine Prämie und erklärte, keine Nutzer seien betroffen gewesen.

Wer besitzt CryptoBilis heute?

Aktuelle Unternehmensregister deuten auf einen Eigentümerwechsel beim malaysischen Reseller vor dem mutmaßlichen Supply-Chain-Angriff hin. Die ehemaligen Mitgründer von CryptoBilis teilten auf LinkedIn mit, dass sie das Unternehmen im März an neue Eigentümer übergeben hätten; Berichten zufolge ging das Eigentum an eine als Jiaming identifizierte chinesische Staatsangehörige bzw. einen solchen über.

Es gibt keine bestätigten Berichte, die den neuen Eigentümern den Sicherheitsvorfall zuordnen.

In diesem Jahr haben bisher sechs Hardware-Wallet-Marken Sicherheitsprobleme offengelegt. Galaxy Research bezifferte die Verluste im Fall Coldcard auf über 115 Millionen US-Dollar, und die Ledger-Offenlegung Anfang Oktober markiert den zweiten Vorfall mit Geldverlusten. Cryptopolitan berichtete zudem letzte Woche über den BasedApp-Vorfall, bei dem KYC-Unterlagen von Kunden offengelegt wurden.