Volgens een update na 72 uur, zondag gepubliceerd, heeft Ledger bekendgemaakt dat elk bevestigd geval in het vorige week ontdekte wallet-draining-incident hardware wallets betreft die via de Zuidoost-Aziatische reseller CryptoBilis zijn verkocht, en dat de eigen systemen en directe verkoopkanalen onaangetast blijven.

"Het aantal getroffen apparaten is beperkt", zei de Parijse fabrikant van hardware wallets, eraan toevoegend dat het samenwerkt met de betrokken autoriteiten en contact opneemt met getroffen gebruikers. CryptoBilis heeft bevestigd volledig te zijn gestopt met de verkoop van hardware wallets.

72 hour update on reseller CryptoBilis incident 🔽 As the investigation continues, we are working with relevant authorities. The volume of impacted devices is limited. We know this is concerning, especially for those directly affected, and we are reaching out to impacted users.Emphasis added

— Ledger (@Ledger) October 11, 2026

Ledger begon vrijdag met onderzoek nadat gebruikers in Zuidoost-Azië die apparaten bij CryptoBilis hadden gekocht, verloren fondsen meldden. On-chain onderzoeker Specter spoorde meer dan $86 miljoen aan vermoedelijke diefstal op in Ethereum, Tron en Bitcoin. Ledger heeft dat bed niet bevestigd en niet gezegd wat de verliezen heeft veroorzaakt.

Hardware wallets zoals die van Ledger zijn ontworpen om de privésleutels van gebruikers offline te houden, maar beveiligingsonderzoekers waarschuwen al lang dat apparaten die buiten officiële kanalen worden verkregen, gemanipuleerd kunnen zijn voordat ze de koper bereiken. Een gemanipuleerd apparaat kan de herstelzin blootleggen die een koper tijdens de installatie aanmaakt — de reeks van 24 woorden die de toegang tot de fondsen in de wallet beheerst.

On-chain onderzoekers YFarmX zeiden dat zij Ledger een lijst van meer dan 450 geleegde wallets hebben gestuurd. Volgens hun analyse pompte de dief 2.810 ETH in drie rondes door de coin mixer Tornado Cash, verplaatste de opnames via Zcash' shielded pool, een privacyfunctie die transactiedetails verbergt, en haalde ongeveer 3,28 miljoen USDC op naar drie nieuwe wallets, die Circle zou kunnen bevriezen.

De dief zette ook 15 miljoen van de gestolen USDT om in USDD, een stablecoin die Tether niet kan bevriezen, voordat hij 51 miljoen terugwisselde in USDT en ongeveer 4,23 miljoen USDT naar Binance-stortingsadressen stuurde, aldus YFarmX. Tether bevroor op de eerste dag 10 miljoen USDT, terwijl 15.475 ETH, 203 BTC en 10 miljoen USDD buiten bereik blijven, volgens het bedrijf. De bevindingen zijn niet onafhankelijk geverifieerd.

Een X-gebruiker met de naam Johannes heeft geclaimd gemanipuleerde Ledger-apparaten te hebben aangetroffen in Europa, nadat hij twee apparaten in winkels had gekocht. Hij zei dat beide "identieke modificaties hadden (zoals extra kabels en een LTE-module)" en riep Ledger op tot een productterugroeping.

Die claims zijn niet onafhankelijk geverifieerd, en de update van Ledger meldde dat alle tot nu toe bevestigde gevallen apparaten van CryptoBilis betreffen. Johannes zei het tweede apparaat naar Ledger te sturen voor analyse. Decrypt heeft contact opgenomen met Ledger voor een reactie op de Europese meldingen.

Controles op resellers

In de update zei Ledger geautoriseerde resellers en distributeurs te herinneren aan het feit dat producten alleen via geautoriseerde kanalen mogen worden ingekocht en dat "geretourneerde producten nooit opnieuw op voorraad mogen worden genomen."

Het waarschuwde gebruikers ook voor aankopen bij niet-geautoriseerde resellers, waar "het risico van het kopen van verdachte, namaak- of gemodificeerde apparaten aanzienlijk is."

Het bedrijf zei de controles op resellers te herzien en hardwarebeveiligingen te verbeteren, en riep andere spelers in de sector op om samen te werken aan toeleveringsketen- en anti-manipulatiepraktijken.

Ledger herhaalde het advies dat kopers bij CryptoBilis ongebruikte apparaten niet gebruik moeten nemen en dat iedereen die dat al heeft gedaan, zijn fondsen moet overzetten naar een nieuwe seed phrase op een apparaat dat bij Ledger is gekocht. Het advies weerspiegelt hoe het vermoede risico werkt: als een apparaat vóór de verkoop is gemanipuleerd, kan een erop aangemaakte seed phrase al bij een aanvaller bekend zijn, waardoor fondsen kwetsbaar blijven totdat ze naar een nieuw gegenereerde zin zijn overgezet.

Het waarschuwde ook dat oplichters het incident mogelijk zullen misbruiken, en verklaarde dat het bedrijf "je nooit zal bellen, je nooit een DM zal sturen en nooit om je herstelzin van 24 woorden zal vragen."