OneKey-oprichter en CEO Yishi Wang heeft aangekondigd dat het “dealernetwerk van de fabrikant van hardware wallets aanzienlijk zal krimpen” na een volledige herziening van eerder gecertificeerde dealers, waarbij dealers met “niet-verifieerbare operationele entiteiten of onduidelijke uiteindelijke begunstigden” hun autorisatie verliezen en van de officiële website worden verwijderd. Wang bevestigde ook dat OneKey de autorisatie van CryptoBilis als dealer van zijn apparaten heeft ingetrokken.

De aankondiging volgt op berichten dat een van de via de Zuidoost-Aziatische reseller CryptoBilis verkochte Ledger-wallets een ongeautoriseerde hardware-implant bevatte, terwijl het onderzoek naar een crypto-diefstal met naar schatting $86 tot $93 miljoen aan verliezen voortduurt. De kwestie werpt licht op de resellerlaag in de hardware wallet-sector, waarbij apparaten via tussenpersonen van fabrikant naar eindgebruiker gaan.

Wat heeft Ledger gezegd over de CryptoBilis wallet-hack?

Een update van 10 oktober op de supportpagina van Ledger bevestigde dat CryptoBilis, in afwachting van de afronding van het onderzoek, geen producten van de fabrikant van hardware wallets meer zal verkopen. Die verklaring volgde nadat Ledger in een publieke verklaring op X had gezegd dat ten minste “één van de apparaten van getroffen gebruikers een ongeautoriseerde hardware-implant bevatte.”

Ledger benadrukte dat zijn eigen systemen en directe verkoopkanalen niet zijn aangetast, en wees erop dat alle blootgestelde apparaten naar CryptoBilis konden worden herleid. Het onderscheid tussen via resellers verkochte apparaten en apparaten die rechtstreeks door de fabrikant zijn verstuurd, vormt de basis voor de klachtenrichtlijnen die volgden.

Ledger raadt iedereen die wallets bij de Zuidoost-Aziatische reseller heeft gekocht aan om apparaten die nog niet zijn ingesteld niet te initialiseren. Klanten die apparaten van CryptoBilis al hebben ingesteld, wordt geadviseerd hun fondsen over te zetten naar wallets die rechtstreeks door Ledger zijn uitgegeven in plaats van via resellers.

Tot nu toe schatten beveiligingsanalisten dat ongeveer 300 Ledger-wallets zijn leeggehaald voor naar schatting $86 tot $93 miljoen.

Waarom OneKey- en SafePal-kopers ongerust zijn

Hoewel Ledger-wallets tot nu toe de enige zijn gemelde diefstallen, heeft het veiligheidsschrikbeeld zich verspreid naar klanten van andere walletfabrikanten. CryptoBilis noemt zichzelf een geautoriseerde reseller van Ledger, Trezor, OneKey, Tangem, SafePal, imKey en andere wallets in Maleisië en is ook actief in Indonesië en de Filipijnen.

In een bericht op X probeerde Yishi Wang de paniek te bezweren en schreef: “We hebben de autorisatie van CryptoBilis beëindigd; het is geen geautoriseerde OneKey-dealer meer.”

Wang detailleerde ook OneKey's reactie in drie stappen om de blootstelling nu te beperken en verdere escalatie te voorkomen.

Stap één: OneKey is gestopt met het toevoegen van nieuwe dealers, met ingang van de verklaring van 12 oktober.

Stap twee: alle bestaande dealers, inclusief eerder gecertificeerde, doorlopen een nieuw beoordelingsproces. Dealers met “niet-verifieerbare operationele entiteiten of onduidelijke uiteindelijke begunstigden” verliezen hun autorisatie, en OneKey publiceert de volledige lijst van geautoriseerde dealers op zijn officiële website.

Stap drie: gebruikers die tussen 1 maart 2026 en 12 oktober OneKey-apparaten bij CryptoBilis hebben gekocht, komen in aanmerking voor een gratis vervanging. Ook gebruikers die hun apparaten al hebben geactiveerd of gebruikt komen nog steeds in aanmerking.

Volgens Wang koos OneKey voor de scheidingsdatum van 1 maart omdat de oorspronkelijke medeoprichter van CryptoBilis publiek had verklaard dat het bedrijf in maart de overdracht van het operationele management had afgerond, na de overname eerder dit jaar. Zodra de volledige dealerlijst op de officiële website staat, dient deze als referentie voor kopers om te controleren of een verkoper momenteel geautoriseerd is.

De enige eerder gemelde hardwarefout van OneKey dateert uit 2023, toen beveiligingsbedrijf Unciphered in een laboratoriumaanval de seed van een apparaat wist te extraheren. OneKey dichte het lek, betaalde een bounty en zei dat geen gebruikers waren getroffen.

Wie is nu eigenaar van CryptoBilis?

Nieuwe bedrijfsregistraties wijzen op een machtsverandering bij de Maleisische reseller vóór de vermoede aanval op de toeleveringsketen. De voormalige medeoprichters van CryptoBilis zegdenu op LinkedIn dat zij het bedrijf in maart hebben overgedragen aan nieuwe eigenaren, waarbij berichten melden dat het eigendom overging naar een individu geïdentificeerd als Jiaming, een Chinese staatsburger.

Er zijn geen bevestigde berichten die het nieuwe eigendom aan de beveiligingsincident koppelen.

Tot nu toe in 2026 hebben zes merken van hardware wallets beveiligingsproblemen gemeld. Galaxy Research schatte de verliezen in het Coldcard-geval op meer dan $115 miljoen, en de Ledger-openbaarmaking van begin oktober markeert het tweede incident waarbij fondsen verloren gingen. Cryptopolitan meldde vorige week ook de BasedApp-inbreuk waarbij klant-KYC-gegevens werden blootgesteld.