Der Hardware-Wallet-Hersteller Trezor teilte mit, dass er die Zahl der autorisierten Wiederverkäufer, die seine Geräte verkaufen dürfen, deutlich reduzieren wird; die Streichungen von der autorisierten Liste treten zum 1. Januar 2027 in Kraft. Das Unternehmen rahmte die Entscheidung als „einen vorbeugenden Schritt, der ausnahmsloser Vorsicht geschuldet ist“ als Reaktion auf jüngere Vorfälle in der Lieferkette der Hardware-Wallet-Branche. Autorisierte Wiederverkäufer sind Drittanbieter, die ein Hersteller formell zum Verkauf seiner Geräte zugelassen hat.

Die Ankündigung erfolgte in einem Beitrag auf X am Dienstag, in dem Trezor erklärte, es gebe „nicht ein einziges Anzeichen“ dafür, dass seine Geräte kompromittiert worden seien.

Following recent supply-chain incidents, we decided to reduce the number of resellers so we can more effectively check those we work with. Let us be very clear: there is not a single piece of evidence that Trezor devices have been compromised. This is a preventive step, taken…

— Trezor (@Trezor) October 13, 2026

Chief Commercial Officer Danny Sanders sagte, einige Wiederverkäufer seien bereits darüber informiert worden, dass sie zum 1. Januar 2027 von der autorisierten Liste gestrichen werden. Er fügte hinzu, dass die Lieferungen an diese Wiederverkäufer am Dienstag eingestellt würden.

Trezor teilte zudem einen Brief, der an ausgewählte Partner gesandt wurde, in dem es heißt, eine Hardware-Wallet sei „nur so sicher wie der Weg, den sie zurücklegt, um ihren Besitzer zu erreichen“. Dem Brief zufolge möchte das Unternehmen ein Wiederverkäufernetzwerk, das klein genug ist, um jeden verbleibenden Partner prüfen zu können. Wer im Programm bleibt, dem stehen ein aktualisierter rechtlicher Rahmen und strengere Kontrollen darüber bevor, wie Geräte bezogen, gelagert und gehandhabt werden.

To the resellers who helped build Trezor: thank you, and I'm sorry 💔 pic.twitter.com/RK7KBJOshp

— Danny (@Dantoshi) October 13, 2026

Was mit Ledger geschah

Die Entscheidung kam wenige Tage, nachdem Ledger bestätigt hatte, dass mindestens eines seiner Geräte, das über einen südostasiatischen Wiederverkäufer gekauft worden war, ein unerlaubtes Hardware-Implantat enthielt. Der betreffende Wiederverkäufer ist CryptoBilis.

Nach Berichten wurden die Implantate in die Geräte eingelötet. Sie zeichneten die Wiederherstellungsphrasen der Nutzer auf und übertrugen sie über Mobilfunknetze. Eine Wiederherstellungsphrase ist das zentrale Backup einer Self-Cody-Wallet – eine Wortfolge, aus der sich alle privaten Schlüssel einer Wallet neu generieren lassen –, sodass jeder, der sie erhält, die Gelder entnehmen kann, ohne jemals die Hardware in die Hände zu nehmen. Der Fall zeigt auch, wie ein Lieferkettenangriff funktioniert: Die Kompromittierung erfolgt zwischen Fabrik und Käufer, im physischen Vertriebskanal statt in der Software.

Der Vorfall kam am 9. Oktober 2026 ans Licht, als bekannt wurde, dass Angreifer angeblich Geräte manipuliert hatten, die über einen Drittanbieter-Wiederverkäufer verkauft worden waren.

CryptoBilis ist auch ein autorisierter Trezor-Wiederverkäufer. Das Unternehmen stellte während der Untersuchung den Verkauf sämtlicher Hardware-Wallets ein.

Separat erklärte die Muttergesellschaft von MediaMarkt, sie habe alle Ledger-Produkte aus ihren Filialen und Online-Plattformen entfernt und bezeichnete den Schritt als Vorsichtsmaßnahme.

Wie hoch der Verlust war

Blockchain-Forscher arbeiten weiterhin daran, die Gesamtverluste zu beziffern. Recherchen zweier Personen deuteten auf Verluste zwischen 72 und 86 Millionen Dollar hin, während andere Berichte von geschätzt 93 Millionen Dollar ausgehen.

Ledger erklärte am Dienstag, man habe weder die Gesamtzahl der betroffenen Nutzer noch den Gesamtwert der Verluste bestätigt.

Trezors Reaktion

Ein Trezor-Sprecher teilte Cointelegraph mit, die Einrichtungsprüfungen des Unternehmens seien darauf ausgelegt, gefälschte Geräte und veränderte Firmware zu erkennen. Das Implantat im CryptoBilis-Gerät funktioniere anders, so der Sprecher.

Nach Angaben des Sprechers verändert das Implantat die Firmware des Geräts nicht. Stattdessen lese es die auf dem Bildschirm angezeigten Informationen aus und sende sie zu einem späteren Zeitpunkt an den Angreifer. Dieses Verhalten liegt außerhalb des Sicherheitsmodells, auf dem Hardware-Wallets basieren und das davon ausgeht, dass die Geheimnisse eines Geräts die Hardware selbst nie verlassen. Trezor erklärte, diese Art von Angriff sei an seinen Geräten in der Praxis noch nie beobachtet worden.

Das Unternehmen rief die Nutzer auf, direkt bei Trezor zu kaufen und zu prüfen, dass das Siegelpapier intakt ist. Es empfahl außerdem die Nutzung einer Multisignatur-Wallet mit Geräten verschiedener Hersteller, damit ein einzelnes kompromittiertes Gerät keine Gelder eigenständig bewegen kann.

Ein schwieriges Jahr für Hardware-Wallets

Den Berichten zufolge sahen sich Hardware-Wallet-Firmen in diesem Jahr mit fast einem Dutzend Vorfällen konfrontiert, darunter Datenschutzverletzungen, Veröffentlichungen zu Laser-Fault-Injection und ein Firmware-Fehler bei der Entropie. Laser-Fault-Injection ist eine physische Technik, bei der gebündeltes Licht genutzt wird, um Fehler in einem Chip zu erzeugen und möglicherweise dessen Sicherheitsprüfungen zu umgehen; ein Entropie-Fehler bezeichnet eine Schwäche in der Zufälligkeit, von der die kryptografische Schlüsselerzeugung abhängt.

Tzor hatte im August einen eigenen Vorfall zu verkraften, als eine Datenpanne bei einem externen Fulfillment-Dienstleister die persönlichen Daten von Zehntausenden Kunden offenlegte.

Die neueste Entwicklung ist, dass die Streichungen von Trezor-Wiederverkäufern zum 1. Januar 202 in Kraft treten, also knapp drei Monate nach der Ankündigung. Die Ermittler arbeiten weiterhin daran, das volle Ausmaß der Verluste im Zusammenhang mit dem Ledger-Vorfall zu bestimmen.