Tether hat USDT im Wert von 10 Millionen US-Dollar eingefroren, die mit einem Diebstahl in Zusammenhang stehen, bei dem bis zu 93 Millionen US-Dollar aus Ledger-Hardware-Wallets abgeflossen sind, die vom Händler CryptoBilis verkauft wurden. Die Einfrierung erfolgt, während Ermittler weiterhin den Verlauf der gestohlenen Gelder nachverfolgen und Ledger daran festhält, dass sich der Vorfall auf Geräte eines einzigen Drittanbieters beschränkt.

Was Ledger bisher bestätigt hat

Der französische Krypto-Wallet-Hersteller Ledger hat sich bislang nicht zur Höhe der Verluste geäußert. Das Unternehmen hat erklärt, dass jeder von ihm identifizierte Fall Geräte betrifft, die von CryptoBilis verkauft wurden, einem Drittanbieter, der in Malaysia, Indonesien und auf den Philippinen tätig war. Zudem betonte man, es gebe keine Anzeichen einer Kompromittierung von Ledgers eigenen Systemen, Diensten oder des Direktvertriebs. Dieser Unterschied ist bedeutend, denn das Sicherheitsmodell einer Hardware-Wallet setzt voraus, dass das Gerät unmanipuliert seinen Besitzer erreicht und die privaten Schlüssel es niemals verlassen.

Der Fall hat zudem eine Dimension physischer Manipulation erhalten, die über softwarebezogene Schwachstellen hinausgeht. Am 10. Oktober teilte das Unternehmen mit, dass ein betroffener Nutzer ein Gerät mit einem unbefugt eingebauten physischen Implantat besaß — der erste Beleg einer physischen Kompromittierung von Ledger-Wallets in diesem Fall.

Die Botschaft des Unternehmens an Käufer ist klar: Wer innerhalb der letzten 90 Tage ein CryptoBilis-Gerät gekauft und noch nicht eingerichtet hat, sollte es unangetastet lassen. Wer ein solches Gerät derzeit nutzt, sollte seine Coins auf ein anderes Gerät mit einer neuen Recovery-Phrase übertragen. Der Nachdruck auf einer neuen Phrase ist der Kern des Rats: Recovery-Wörter sind die zentrale Sicherung einer Hardware-Wallet, und eine Wallet kann allein mit der Phrase auf jedem kompatiblen Gerät wiederhergestellt werden. Der Kauf ausschließlich über offizielle Kanäle und die Prüfung der Geräteechtheit bei der Einrichtung sind die Standardabwehren gegen diese Art von Manipulation vor dem Verkauf.

Wie Ermittler die Verluste bezifferten

Die Verlustzahlen gehen auf On-Chain-Analysten und nicht auf Ledger zurück. Bitquery schätzte, dass bei dem Angriff 93,2 Millionen USollar aus 315 Wallets auf sechs verschiedenen Blockchains abgeschöpft wurden, hauptsächlich in USDT und TRON-Coins. Die Sicherheitsplattform YFarmX bezifferte die Zahl höher und erklärte, der Angriff habe 94,5 Millionen US-Dollar aus 521 Wallets auf sieben verschiedenen Blockchains erbeutet. Beide Schätzungen beruhten auf öffentlichen Chain-Daten.

Laut Bitquerys Analyse entfiel der Großteil des gestohlenen Geldes auf TRON, mit rund 70,5 Millionen US-Dollar, weitere 16,8 Millionen US-Dollar in Bitcoin und 3,7 Millionen US-Dollar in Ethereum sowie deutlich kleinere Beträge auf BNB Chain, Polygon und Solana.

Die Operation sei monatelang geplant gewesen: Die an dem Diebstahl beteiligten Adressen wurden am 25. September erstellt und tätigten Dutzende Testüberweisungen bis Anfang Oktober. Die große Bewegung fand am 9. Oktober statt, als Angreifer laut Bitquery die Berechtigungen von 30 TRON-Wallets umschrieben, bevor sie rund eine Stunde später etwa 203,8 BTC aus 111 Bitcoin-Wallets innerhalb eines einzigen Blocks übertrugen. Eine solche Operation kann nur durchgeführt werden, wenn der Angreifer über die erforderlichen Schlüssel verfügt.

Das ist bedeutend, da Stablecoin-Emittenten Token, die für illegale Aktivitäten verwendet werden, auf eine Sperrliste setzen können. Bitquery, das die Tether-Einfrierung verifizierte, berichtete, dass sich zum 11. Oktober noch etwa 81 Millionen US-Dollar in nachverfolgbaren Token on-chain befanden, wobei ein Teil der Gelder bereits über die Mixing-Dienste Tornado Cash und Zcash geflossen ist. Tornado Cash bündelt Transaktionen, um ihre Spur zu verschleiern, während Zcash geschützte Überweisungen bietet, die Absender, Empfänger und Betrag verbergen sollen — daher ist die natürliche nächste Frage in diesem Fall, wie viel des nachverfolgbaren Restes letztlich eingefroren wird und ob sich gemischte Gelder noch weiterverfolgen lassen.

Widerstand wegen eines autorisierten Händlers

Ledgers Darstellung der Lage als CryptoBilis-Problem ist nicht unwidersprochen geblieben. Der Händler zeigte auf seiner Website ein offizielles Ledger-Abzeichen, was Kritiker zufolge Ledger für die Lage verantwortlich macht. "Es ist kein CryptoBilis-Vorfall, es ist ein Ledger-Vorfall", sagte der X-Nutzer MyCryptoParadise, der das Unternehmen aufforderte, "Besitz von diesem Chaos zu ergreifen". Der Streit berührt ein strukturelles Merkmal des Hardware-Wallet-Geschäfts: Hersteller setzen auf Händler, um ihre Verbreitung zu vergrößern, doch jeder zusätzliche Zwischenhändler ist ein Glied in der Kette, das der Hersteller nicht direkt kontrolliert.

Es gibt auch eine Vorgeschichte zur Eigentümerschaft des Händlers. Laut Mitgründer Arravind Prabu wurde CryptoBilis im März 2026 übernommen, und das gesamte Team übertrug während der Übernahme alle Systemzugänge, wie in Learning Crypto zitiert. Die berichteten Unterlagen des Unternehmens zeigen, dass der einzige neue Investor in China registriert war. Bislang wurde kein Zusammenhang zwischen den Diebstählen und dem Eigentümerwechsel hergestellt, und die Ermittlung ergab keine Manipulation im Zusammenhang mit den neuen Investoren.

CryptoBilis hat den Verkauf und die Auslieferung aller von ihm vertriebenen Marken ausgesetzt und seine Filialen in allen drei Ländern geschlossen.

Das Implantat, das Mark Karpelès zerlegte

Den wohl aufschlussreichsten Blick auf die manipulierte Hardware liefert der Mt.-Gox-Gründer Mark Karpelès. Karpelès zerlegte einen in Malaysia gekauften Ledger Nano X und entdeckte, wie Learning Crypto berichtete, zusätzliche Komponenten unter dem Bildschirm: ein Mobilfunkmodem, eine eSIM und einen winzigen Chip, der abfangen konnte, was auf dem Bildschirm angezeigt wird.

Bei der Einrichtung einer Wallet werden die Recovery-Wörter auf diesem Bildschirm angezeigt. Eine Komponente, die die Bilddaten abfangen kann, könnte diese Wörter über das Mobilfunknetz übertragen, wodurch die Wallet an anderer Stelle rekonstruiert und ihr Guthaben gestohlen werden könnte. Ein solches Implantat ist ein Beispiel für einen Supply-Chain-Angriff, bei dem ein Gerät zwischen Herstellung und Auslieferung verändert wird, anstatt ferngesteuert kompromittiert zu werden — und da die Teile unter dem Bildschirm eines normal funktionierenden Geräts saßen, wären sie für einen gewöhnlichen Käufer kaum erkennbar gewesen. Es ist noch nicht bewiesen, ob alle Geräte solche Komponenten enthielten, und ob weitere implantierte Geräte auftauchen werden, bleibt eine offene Frage der Untersuchung.

Zu beachten ist, dass dieser Fall von einem anderen Diebstahl zu unterscheiden ist, der im März gemeldet wurde und sich im April ereignete, als Phisher die Ledger-Live-Anwendung im App Store von Apple nutzten, um mindestens 9,5 Millionen US-Dollar zu stehlen.