Ledger onderzoekt een grote reeks walletdrains die klanten in Zuidoost-Azië treffen die hardware wallets kochten via reseller CryptoBilis; de nieuwste onchain-schatting stelt de vermoedelijke verliezen op $92,9 miljoen.

De beveiliging van hardware wallets rust op één uitgangspunt: de herstelseed — de zin die de toegang tot onchain-fondsen beheerst — wordt op het apparaat zelf gegenereerd en verlaat het nooit. Daarom staat het verkoopkanaal waarmee een apparaat de koper bereikt centraal in deze zaak.

Het bedrijf verzocht CryptoBilis op 9 oktober alle Ledger-verkopen en -zendingen stop te zetten terwijl het onderzoek loopt. Iedereen die in de afgelopen 90 dagen een apparaat bij de reseller kocht en dit nog niet heeft geïnitialiseerd, moet niet met de installatie beginnen. Klanten die al een dergelijk apparaat gebruiken, werd geadviseerd te overwegen hun assets te verplaatsen naar een nieuwe Ledger-signer die is gegenereerd met een volledig nieuwe herstelseed.

In updates geplaatst door het supportaccount op X zei Ledger dat de tot nu toe geïdentificeerde meldingen beperkt zijn tot apparaten die via CryptoBilis zijn verdeeld en dat er geen aanwijzingen zijn dat de beveiligingsinfrastructuur, systemen of diensten zijn gecompromitteerd. Het bedrijf heeft het gestolen bedrag, het aantal slachtoffers of het mechanisme waarmee toegang tot de wallets werd verkregen niet bevestigd.

CryptoBilis veranderde maanden vóór de drains van eigenaar

CryptoBilis werd eerder in 2026 overgenomen, bevestigde voormalig medeoprichter Arravind Prabu bevestigd nadat het onderzoek naar de walletdrains was gestart. Prabu zei dat de voormalige eigenaren na de overname volledig terugtraden uit de operationele leiding, systeemtoegang en het management en CryptoBilis niet langer exploiteren. De transactie werd in maart afgerond, terwijl Maleisische bedrijfsregistraties die tijdens het onderzoek werden gepubliceerd, laten zien dat een individu geïdentificeerd als Jiaming, met een geregistreerd adres in Heilongjiang, China, per 3 augustus 100% van de CryptoBilis-aandelen houdt.

Securityonderzoeker Quit zei dat de overname een geheimhoudingsverklaring omvatte die de voormalige eigenaren verhinderde de verkoop publiekelijk te onthullen, met de beperking die op 19 oktober zou vervallen — tien dagen na Ledgers verzoek tot stopzetting. Hij opperde de mogelijkheid dat de aankoop zou zijn uitgevoerd door een geavanceerde threat actor die toegang zocht tot een gevestigde geautoriseerde reseller, in plaats van dat het incident afkomstig was van een rogue medewerker. De theorie weerspiegelt de vertrouwde positie die resellers innemen tussen fabrikant en klant.

Dat blijft een onderzoekstheorie. Er is geen publiek bewijs dat aantoont dat de nieuwe eigenaar CryptoBilis heeft verworven om Ledger-apparaten te compromitteren, betrokken was bij de walletdrains of enige connectie had met de door de aanvaller gecontroleerde adressen. De timing plaatst de eigendomswissel desalniettemin maanden vóór de verkoop van de getroffen apparaten en vóór het begin van de gecoördineerde drains.

Onchain-schatting bereikt $92,9 miljoen

De vermoedelijke verliezen zijn uitgebreid tot voorbij de eerste schattingen van $72 miljoen tot $86 miljoen nu onderzoekers extra getroffen adressen en netwerken hebben geïdentificeerd.

Een gedetailleerde Bitquery-reconstructie van de drain identificeerde $92,9 miljoen die van 311 wallets werd gestolen op Tron, Bitcoin, Ethereum, BNB Chain en Polygon. De grootste verliezen waren geconcentreerd op Tron, waar ongeveer $70,5 miljoen werd weggehaald. Bitcoin-wallets verloren circa 203,8 BTC ter waarde van $16,8 miljoen, terwijl Ethereum, BNB Chain en Polygon voor de resterende fondsen zorgden.

De timing van de transacties wijst op gecentraliseerde controle over de getroffen private keys. Vijfentwintig Tron-wallets machtigden dezelfde spender binnen drie seconden, en 111 Bitcoin-wallets werden binnen één blok leeggehaald, volgens rapporten gedeeld op X. Bitquery traceerde ook 41 kleine testtransacties op Tron en Ethereum in de twee weken voorafgaand aan de hoofd-drain. Dat patroon bewijst niet hoe de private keys zijn verkregen, maar verschilt van individuele slachtoffers die gedurende een langere periode onafhankelijk kwaadwillende transacties goedkeuren.

Tether bevroor vervolgens circa $10 miljoen aan USDT op 20 adressen die met de activiteit verbonden zijn — een stap die voor de issuer beschikbaar is omdat stablecoin-saldi op aangewezen adressen kunnen worden bevroren. Nog eens 15,1 miljoen USDD bleef in wallets onder controle van de aanvaller, terwijl 1.254 ETH later op 9 oktober via Tornado Cash werd verstuurd, een mixingprotocol dat is gebouwd om de link tussen stortende en opnemende adressen te verhullen. Bij de laatste analyse bleef circa $79 miljoen traceerbaar.

Fysiek implantaat roept supply-chain-vragen op

Een mogelijke hardwarematige aanvalsroute wordt ook onderzocht. Voormalig Mt. Gox-CEO Mark Karpelès opende een Ledger-apparaat dat afkomstig was uit Maleisië en meldde de vondst van een verborgen elektronisch implantaat op de plek waar normaal schermpadding zit.

arpelès zei dat het gemodificeerde apparaat overtuigende verpakking behield en dat het implantaat moeilijk te ontdekken was, zelfs nadat de behuizing was geopend. Zijn analyse wees uit dat de extra hardware informatie die tijdens de installatie wordt weergegeven kon monitoren en herstelzin-gegevens extern kon verzenden. Een dergelijke modificatie zou de installatie zelf raken — het moment waarop een herstelzin voor het eerst wordt gegenereerd en weergegeven.

Er is nog geen publiek bewijs dat aantoont dat het door Karpelès geïnspecteerde apparaat afkomstig was van CryptoBilis of dat dezelfde modificatie de drain van $92,9 miljoen veroorzaakte. Ledger heeft ook geen supply-chain-aanval bevestigd.

De techniek lijkt op risico's die eerder dit jaar aan het licht kwamen, toen een namaak-Ledger met verborgen hardware werd ontdekt die gericht was op herstelzinnen en PIN-informatie. De huidige zaak onderscheidt zich ook van de Coldcard-walletdrains eerder in 2026, waarbij onderzoekers de verliezen herleidden naar zwakke seed-generatie in de getroffen firmware in plaats van hardwaremodificatie op resellerniveau.

Ledgers waarschuwing geldt momenteel specifiek voor klanten die in de afgelopen 90 dagen apparaten bij CryptoBilis kochten. Gebruikers die een van die apparaten al hebben geïnitialiseerd, hebben een nieuwe signer en een nieuw gegenereerde seed nodig, in plaats van simpelweg de bestaande herstelzin naar een andere hardware wallet te verplaatsen — een zin die tijdens de installatie is blootgesteld, blijft geldig op elk apparaat waarop deze later wordt geladen. Nu het mechanisme nog onbevestigd is, blijven zowel het uiteindelijke verliesbedrag als de aanvalsroute onderhevig aan revisie naarmate het onderzoek voortduurt.

Bron: Crypto Adventure