Ledger vindt LTE-implantaat dat herstelzinnen stal in vermoedelijke $86 miljoen-diefstal
Belangrijkste punten
- •Het Donjon-team van Ledger ontdekte een verborgen hardware-implantaat in apparaten die zijn verkocht door de Zuidoost-Aziatische reseller CryptoBilis, dat de 24-woord herstelzin vastlegt die tijdens de installatie op het scherm wordt getoond.
- •Het implantaat verzendt vastgelegde herstelzinnen via een voorzien eSIM over LTE en werkt als een afzonderlijk onderdeel dat het Secure Element, het besturingssysteem en transactiehandtekeningen ongewijzigd laat.
- •Alle bevestigde verliezen zijn gekoppeld aan apparaten die via CryptoBilis zijn gekocht, hoewel onchain-onderzoeker Specter meer dan $86 miljoen aan vermoedelijke diefstallen op Ethereum, Tron en Bitcoin heeft achterhaald.
- •CryptoBilis is gestopt met de verkoop van Ledger-apparaten tijdens het onderzoek, en Ledger onderzoekt meldingen van geknoeide signers op andere locaties, waaronder een niet-geverifieerde bewering over geknoeide apparaten uit Europese winkels.
- •Ledger raadt kopers van CryptoBilis-apparaten aan deze niet in te stellen; gebruikers die dit wel hebben gedaan, moeten hun assets verplaatsen naar een nieuw apparaat met een nieuwe herstelzin en contact opnemen met Ledger Support of de politie.
Ledger heeft gemeld dat het beveiligingsteam Ledger Donjon een ongeautoriseerd hardware-implantaat heeft ontdekt in hardware wallets die zijn verkocht door CryptoBilis, een reseller actief in Zuidoost-Azië. Het verborgen onderdeel leest de 24-woord herstelzin van het scherm tijdens de installatie van de wallet en verzendt de woorden via een mobiele verbinding met behulp van een voorzien eSIM.
De in Parijs gevestigde fabrikant van hardware wallets maakte de bevinding dinsdag bekend in een bericht op X. Ledger Donjon, het interne beveiligingsteam van het bedrijf, bevestigde het implantaat op zaterdag 10 oktober in het apparaat van één getroffen gebruiker. Alle bevestigde verliezen uit het incident, dat Ledger vrijdag voor het eerst meldde, betreffen apparaten die zijn verkocht via CryptoBilis, en het bedrijf zei dat het geen diefstal heeft geverifieerd die is gekoppeld aan een elders gekocht apparaat.
Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…
— (@Ledger) October 13, 2026
Hardware wallets zijn een hoeksteen van self-custody en zijn ontworpen om de privleutels van een gebruiker offline te houden. Een Ledger-apparaat, dat het bedrijf een signer noemt, toont de 24-woord herstelzin op het scherm tijdens de initiële installatie. Iedereen die die zin bemachtigt, kan de wallet op een ander apparaat herstellen en de volledige controle over de fondsen overnemen. Het installatiescherm is daarom het enige moment waarop de zin buiten het apparaat zichtbaar is, en dat is de reden waarom een implantaat dat het scherm uitleest de beveiliging van een wallet kan omzeilen zonder deze te wijzigen.
Volgens de analyse van Ledger Donjon zit het implantaat in de behuizing van het apparaat en leest het wat op het scherm wordt getoond. Wanneer het de schermen met de herstelzin detecteert, decodeert de microcontroller de woorden en verzendt deze over LTE via de voorziene eSIM.
Ledger zei dat het implantaat een afzonderlijk onderdeel is en voegde eraan toe dat het het Secure Element van het apparaat of het Ledger-besturingssysteem niet wijzigt, en evenmin transacties of handtekeningen verandert. CryptoBilis heeft bevestigd te zijn gestopt met de verkoop van Ledger-apparaten zolang het onderzoek loopt, aldus Ledger. De zaak werpt ook een licht op de laag van externe resellers in de hardware-supplychain, waar apparaten buiten de directe controle van de fabrikant vallen voordat ze de koper bereiken.
Het bedrijf heeft het totale aantal getroffen gebruikers of de waarde van het verlies niet bevestigd en zei dat cijfers die online circuleren afkomstig zijn van derden die het niet volledig heeft geverifieerd. Onchain-onderzoeker Specter heeft meer dan $86 miljoen aan vermoedelijke diefstallen achterhaald op Ethereum, Tron en Bitcoin, zoals Decrypt vrijdag meldde.
Ledger onderzoekt meldingen buiten CryptoBilis
Ledger zei ook meldingen van implantaten in andere signers en locaties te onderzoeken. Een X-gebruiker heeft beweerd twee geknoeide Ledger-apparaten te hebben gevonden die bij winkels in Europa zijn gekocht, een bewering die niet onafhankelijk is geverifieerdn
Het bedrijf heeft kopers van CryptoBilis-apparaten die hun apparaat nog niet hebben ingesteld geadviseerd dit niet te doen en contact op te nemen met Ledger Support. Wie het apparaat al heeft ingesteld, moet zijn assets onmiddellijk verplaatsen naar een nieuw apparaat met een nieuwe herstelzin en mag geen enkele herstelzin invoeren of herstellen op een apparaat dat bij CryptoBilis is gekocht.
Gebruikers die fondsen zijn verloren of een geknoeid apparaat in hun bezit hebben, moeten ook aangifte doen bij de lokale politie, aldus Ledger, en mogen het apparaat niet aan iemand opsturen of openen voordat ze contact hebben gehad met Ledger Support of de politie.
Kopers die niet bij CryptoBilis hebben aangekocht, kunnen de binnenkant van hun apparaat inspecteren met behulp van een Ledger-handleiding, hoewel het bedrijf waarschuwde dat het openen van een signer deze kan beschadigen en gebruikers drong aan eerst een back-up van hun herstelzin te maken.
Ledger herhaalde dat het gebruikers nooit belt, hen nooit rechtstreeks berichten stuurt en nooit naar hun herstelzin vraagt. De Donjon zal de ontvangen apparaten analyseren en meer informatie delen naarmate het onderzoek vordert, aldus het bedrijf.
