Ledger werkt samen met de autoriteiten nadat gebruikers van zijn hardware-portemonnees vorige week meldden geld te zijn kwijtgeraakt en één klant een gemanipuleerd apparaat ontving, hoewel de in Parijs gevestigde fabrikant klanten geruststelde dat het aantal getroffen producten 'beperkt' was.

In een aankondiging die zondag werd gepubliceerd, zei het bedrijf ook direct contact te hebben opgenomen met de getroffen klanten.

Het onderzoek begon nadat Ledger vrijdag meldde dat het rapporten onderzocht van klanten in Zuidoost-Azië die geld waren kwijtgeraakt na het kopen van apparaten bij een wederverkoper. Op zaterdag zei het bedrijf te hebben bevestigd dat het apparaat van één van de getroffen gebruikers een ongeautoriseerde hardware-implantaat bevatte.

Hardware-portemonnees zijn ontworpen om de privésleutels van gebruikers offline te houden en transacties te ondertekenen zonder de referenties bloot te stellen die toegang geven tot hun geld. Dat beveiligingsmodel is afhankelijk van een apparaat dat onaangetast aankomt, waardoor een ongeautoriseerd implantaat in de hardware buiten de dreigingen valt waar het tegen ontworpen is.

Ledger heeft niet bevestigd hoeveel geld er verloren is gegaan, maar blockchain-onderzoeker Specter zei dat er 86 miljoen dollar van apparaten was afgehaald.

"Nu het onderzoek voortduurt, werken we samen met de relevante autoriteiten", schreef Ledger zondag in een aankondiging op X. Het Ledger Support-account deelde aanvullende updates, waaronder een vervolgbericht op het platform.

Het bedrijf voegde toe: "Ook raden we gebruikers ten zeerste aan niet te kopen bij ongeautoriseerde wederverkopers, waar het risico op verdachte, namaak- of gewijzigde apparaten aanzienlijk is, omdat niets werkt volgens de beveiligingsrichtlijnen van Ledger.

"Beveiliging is niet statisch en dit incident onderstreept waarom we onze distributie- en anti-knoeiprocessen voortdurend herzien en versterken."

Klanten in Zuidoost-Azië meldden vorige week geld te zijn kwijtgeraakt na het kopen van apparaten bij CryptoBilis, een verkoper gevestigd in Kuala Lumpur, Maleisië. Ledger adviseerde klanten die bij CryptoBilis hadden gekocht hunaten niet in te stellen, zoals Bitcoin Magazine eerder meldde. Volgens de aankondiging van zondag is CryptoBilis inmiddels gestopt met de verkoop van hardware-portemonnees.

Het onderscheid is belangrijk omdat phishing erop berust gebruikers online te misleiden referenties af te geven, terwijl een implantaat zich al in de hardware bevindt vanaf het moment dat het apparaat wordt uitgepakt, nog vóór de installatie begint.

Gebruikers op sociale media hebben fotografisch bewijs geplaatst van implantaten in Ledger-producten, met de claim dat de aanpassingen de privésleutels van gebruikers kunnen blootleggen. Het is onduidelijk hoeveel van Ledger's ondertekenapparaten het implantaat bevatten.

Noch Ledger noch CryptoBilis reageerde direct op vragen van Bitcoin Magazine. Nu het onderzoek loopt, is de volgende vraag wat de autoriteiten ontdekken en of een definitief aantal apparaten en een geverifieerd verliestotaal worden bevestigd.

De beveiliging van hardware-portemonnees staat onder grote druk sinds hackers in juli bijna 120 miljoen dollar in bitcoin stalen van Coldcard-gebruikers, zoals Bitcoin Magazine destijds meldde. De apparaten, gemaakt door het Canadese bedrijf Coinkite, bevatten een firmwarefout die leidde tot foutieve seed-generatie, waardoor hackers in feite de seed phrases van beleggers konden raden.

In een apart incident meldde fabrikant Trezor vorige maand dat bijna 81.000 klanten hun gegevens zagen lekken nadat data was gestolen bij zijn externe fulfillmentpartner, zoals Bitcoin Magazine meldde.

Criminelen richten zich dit jaar op klantenbestanden, met oplichters die informatie verkregen via Global-e, de betaalverwerker van Ledger, om phishing-e-mails te versturen. Samen genomen laten de incidenten zien dat het aanvalsoppervlak het hele traject van een apparaat bestrijkt — firmware, fulfillment, betaalverwerking en wederverkoopkanalen.

Dit artikel is geschreven door Mathew Di Salvo en verscheen eerst op Bitcoin Magazine.