De Duitse elektronicaretailer MediaMarktSaturn heeft Ledger hardware wallets uit zijn winkels en online platforms gehaald terwijl de walletmaker onderzoek doet naar meldingen dat er ongeautoriseerde componenten in sommige apparaten zijn aangetroffen. De retailer zei contact te hebben opgenomen met Ledger en de zaak serieus te nemen.

De stap volgde op claims van een klant die meldde dat twee wallets die bij verschillende MediaMarkt-vestigingen waren gekocht, extra kabels en mobiele modules bevatten. Die claims hebben een beveiligingsonderzoek verbreed dat begon met cryptodiefstallen die gekoppeld zijn aan hardware wallets die werden verkocht door CryptoBilis, een wederverkoper in Zuidoost-Azië. De opschorting heeft gewicht buiten Duitsland: MediaMarktSaturn, dat de MediaMarkt- en Saturn-formules exploiteert, is een van de grootste consumentenelektronicaretailers van Europa.

Ledger bevestigde op 10 oktober dat ten minste één apparaat dat met het incident verband hield, een ongeautoriseerde hardware-implant bevatte, aldus CoinDesk. Het bedrijf zei later dat alle bevestigde gevallen betrekking hadden op apparaten die via CryptoBilis zijn gedistribueerd, althans het nog steeds aanvullende meldingen onderzocht per 13 oktober.

De zorg richt zich op het initiële installatieproces, waarbij een hardware wallet de geheime herstelzin van de gebruiker toont. Hardware wallets bewaren de privésleutels die cryptovaluta-bezittingen beheren offline, en de herstelzin is de back-up die de toegang tot die sleutels herstelt. Een kwaadaardige component zou die zin kunnen onderscheppen en via een mobiel netwerk kunnen verzenden, waardoor aanvallers mogelijk toegang krijgen tot de cryptocurrency van het slachtoffer. Ledger heeft echter niet publiekelijk bevestigd dat apparaten waarover in Duitsland werd gerapporteerd gecompromitteerd waren, noch heeft het ze gekoppeld aan het Zuidoost-Aziatische onderzoek.

Beveiligingsonderzoek breidt zich uit

On-chain analisten schatten dat aanvallers tussen $86 miljoen en $93 miljoen hebben buitgemaakt uit meer dan 300 wallets op verschillende blockchains. Ledger heeft geen eindcijfer over het verlies bevestigd en houdt vol dat zijn interne systemen en directe verkoopkanalen niet zijn aangetast.

Ledger werkt samen met de autoriteiten en beoordeelt zijn controles op wederverkopers en hardwarebeschermingen. Het bedrijf heeft ook het belang benadrukt van het kopen van apparaten via geautoriseerde distributiekanalen en het voorkomen dat geretourneerde producten opnieuw in de voorraad terechtkomen. Dit onderscheid onderstreept waarom de integriteit van kanalen belangrijk is: de garanties van Ledger hebben betrekking op zijn directe verkoop, terwijl apparaten die via wederverkopers gaan afhankelijk zijn van controles die het bedrijf zegt nu te beoordelen.

Ledger heeft klanten die apparaten via CryptoBilis hebben gekocht geadviseerd ongebruikte wallets niet te initialiseren. Wie al een mogelijk getroffen apparaat heeft geactiveerd, moet zijn fondsen overdragen naar een nieuwe herstelzin die is gegenereerd op een apparaat dat rechtstreeks van Ledger afkomstig is. Het bedrijf waarschuwde gebruikers bovendien hun herstelzin van 24 woorden nooit te delen met iemand die beweert klantenservice te bieden.

Vragen over de toeleveringsketen

De beslissing van MediaMarktSaturn is een voorzorgsmaatregel, geen bewijs dat gecompromitteerde apparaten wijdverspreid in Europa circuleren. Onderzoekers moeten nog vaststellen waar de componenten waarover klanten rapporteerden vandaan komen, of er extra apparaten zijn getroffen en hoe eventuele ongeautoriseerde wijzigingen hebben plaatsgevonden.

Dat onderscheid is belangrijk voor cryptocurrency-investeerders die vertrouwen op hardware wallets om hun digitale activa te beschermen. Hoewel Ledger zegt dat zijn interne systemen veilig blijven, benadrukt het onderzoek een afzonderlijk kwetsbaarheid: zelfs op beveiliging gerichte apparaten kunnen risico lopen wanneer aanvallers zich met de fysieke toeleveringsketen bemoeien. Het scenario raakt aan een kernaanname van de beveiliging van hardware wallets — dat een apparaat dat bij een klant terechtkomt alleen componenten van de fabrikant bevat. De Duitse verkoopstop vergroot de druk op de fabrikant en de retailer om vast te stellen of de gerapporteerde incidenten geïsoleerde gevallen zijn of een breder distributieprobleem. Nu Ledgers beoordeling van aanvullende meldingen per 13 oktober nog open is, zijn de vragen om in de gaten te houden of de Duitse klantclaims gekoppeld zijn aan de bevestigde CryptoBilis-gevallen en wat onderzoekers bepalen over de oorsprong van de gerapporteerde componenten.