Cryptogebruikers in Singapore hebben ongeveer S$3,5 miljoen verloren na de aankoop van geknoeide Ledger hardware wallets bij lokale winkels, meldde de Singaporese politie in een advies dat op 28 oktober werd gepubliceerd. De politie zei dat sinds 10 september twee gevallen zijn gemeld met apparaten van het in Parijs gevestigde bedrijf, en dat de getroffen apparaten verborgen hardware bevatten die herstelzinnen of privésleutels van gebruikers kon vastleggen.

Een hardware wallet is een fysiek apparaat dat privésleutels offline bewaart en wordt over het algemeen als veiliger beschouwd dan het online bewaren van sleutels, waar ze kwetsbaar kunnen zijn voor hacking. De gevallen in Singapore benadrukken een ander aanvalsvlak: omdat de apparaten vóór de verkoop waren aangepast, hing de aantasting niet af van het online bewaren van de sleutels; in deze gevallen telde vooral waar elk apparaat was gekocht.

Verborgen hardware aangetroffen in apparaten

Vroeg onderzoek wees uit dat sommige Ledger wallets die bij bepaalde Singaporese winkels werden verkocht, kwaadaardige hardware bevatten. Volgens de politie konden deze verborgen onderdelen herstelzinnen of privésleutels van gebruikers vastleggen. Met die informatie konden aanvallers toegang krijgen tot de cryptowallets van slachtoffers en geld verplaatsen zonder medeweten of toestemming van de eigenaren.

De politie zei contact te hebben met Ledger, dat de getroffen gevallen onderzoekt. Volgens The Straits Times werd één gecompromitteerd apparaat verkocht bij Metapod op Changi Airport, terwijl een ander naar verluidt werd gekocht bij een Challenger-winkel in VivoCity.

De gevallen volgen op een eerder onderzoek van Ledger naar apparaten die via CryptoBilis, een wederverkoper in Zuidoost-Azië, werden verkocht. Op 10 oktober bevestigde Ledger de aanwezigheid van een verborgen hardware-implant in één wallet. Het Donjon-beveiligingsteam van het bedrijf ontdekte dat de implant de 24 woorden tellende herstelzin die tijdens de installatie wordt getoond, kon vastleggen en de gegevens via een LTE-verbinding naar een aanvaller kon versturen.

Ledger zei dat het kwaadaardige onderdeel afzonderlijk van de Secure Element, de chip die privésleutels beschermt, werkte, en dat de eigen systemen en directe verkoopkanalen van het bedrijf niet betrokken waren. De geknoeide apparaten die door de politie en Ledger werden beschreven, zijn allemaal gekocht via externe retail- of wederverkoopkanalen.

Singapore Police Say Ledger crypto Wallets Sold at Local Retailers Contained Malicious Hardware Implants Singapore police said on October 28 that some Ledger cryptocurrency hardware wallets purchased from local retailers contained malicious hardware implants capable of stealing… pic.twitter.com/RckYdTzFMq

— Wu Blockchain (@WuBlockchain) October 29, 2026

Ledger staakt verkoop in zeven markten

Op 13 oktober vroeg Ledger wederverkopers en distributeurs te stoppen met de verkoop en verzending van zijn wallets in Singapore, Maleisië, Indonesië, Thailand, de Filipijnen, Vietnam en Hongkong. Het bedrijf adviseerde klanten die in de voorgaande 90 dagen apparaten bij CryptoBilis hadden gekocht, ongebruikte wallets niet in te stellen, en moedigde hen die hun apparaten al handen geactiveerd aan om geld te verplaatsen naar een nieuwe wallet met een nieuwe herstelzin.

Blockchain-analisten hebben de totale verliezen die verband houden met de gecompromitteerde wallets geschat op meer dan US$86 miljoen, een cijfer dat Ledger niet heeft bevestigd. Het bedrijf zei het totale bedrag of het aantal getroffen personen niet te kunnen verifiëren. De S$3,5 miljoen waarnaar de Singaporese politie verwijst, heeft alleen betrekking op lokale gevallen.

Het probleem is ook in Europa opgedoken. Op 13 oktober staakte de Duitse retailer MediaMarktSaturn de verkoop van Ledger nadat een klant een ongeautoriseerd onderdeel in een apparaat aantrof. Ledger zei dat in dat geval geen geld verloren ging.

In een apart incident meldde concurrente Keystone, een walletmaker, op 26 oktober een datalek waarbij gegevens van 25.964 klanten blootstonden. Keystone zei dat herstelzinnen en privésleutels veilig bleven, maar het bedrijf vernietigde 18.835 wallets en staakte de verzendingen.

De Singaporese politie zei dat het onderzoek loopt. Ze riep cryptogebruikers op officiële adviezen van walletmakers op te volgen en nooit privésleutels, herstelzinnen of seed phrases te delen. Wie informatie heeft, kan de politie-hotline bellen op 1800-255-0000 of gegevens online indienen via www.police.gov.sg/i-witness. Nu het politieonderzoek en de beoordeling door Ledger lopen, blijven officiële adviezen van het bedrijf en de Singaporese autoriteiten het uitgangspunt voor bijgewerkte richtlijnen in de regio.