Tether heeft $10 miljoen aan zijn USDT-stablecoin bevroren in verband met een diefstal waarbij tot $93 miljoen aan activa werd buitgemaakt uit Ledger hardware wallets die door de reseller CryptoBilis zijn verkocht. De bevriezing volgt terwijl onderzoekers de stroom van gestolen geld blijven traceren en Ledger volhoudt dat het incident beperkt is tot apparaten die door één derde partij zijn verkocht.

Wat Ledger tot nu toe heeft bevestigd

Ledger, de Franse maker van cryptocurrency-wallets, heeft zich nog niet uitgelaten over de omvang van de verliezen. Het bedrijf heeft gezegd dat elk geval dat het heeft geïdentificeerd betrekking heeft op apparaten die door CryptoBilis zijn verkocht, een derde partij die actief was in Maleisië, Indonesië en de Filipijnen. Het benadrukte tevens dat er geen aanwijzingen zijn dat Ledgers eigen systemen, diensten of directe verkoop zijn gecompromitteerd. Dat onderscheid is belangrijk, want het beveiligingsmodel van een hardware wallet rust op het feit dat het apparaat onaangeroerd bij de eigenaar aankomt, met privésleutels die het apparaat nooit verlaten.

De zaak heeft daarnaast een dimensie van fysieke manipulatie gekregen, los van softwarekwetsbaarheden. Op 10 oktober meldde het bedrijf dat één getroffen gebruiker een apparaat bezat met een ongeautoriseerde fysieke implant — het eerste bewijs van fysieke compromittering van Ledger-wallets in deze zaak.

De boodschap van het bedrijf aan kopers is helder: wie de afgelopen 90 dagen een CryptoBilis-apparaat heeft gekocht en dit nog niet heeft geconfigureerd, moet het ongebruikt laten. Wie het apparaat op dit moment gebruikt, moet zijn munten overzetten naar een ander apparaat met een nieuwe herstelzin. De nadruk op een nieuwe zin is de kern van het advies: herstelwoorden zijn de hoofdback-up van een hardware wallet, en een wallet kan op elk compatibel apparaat worden hersteld op basis van de zin alleen. Uitsluitend via officiëlealen kopen en de authenticiteit van het apparaat controleren bij de installatie zijn de standaardverdediging tegen dit soort manipulatie vóór verkoop.

Hoe onderzoekers de verliezen hebben berekend

De verliescijfers worden toegeschreven aan on-chain analisten, niet aan Ledger. Bitquery schatte dat bij de aanval $93,2 miljoen is weggezeteld uit 315 wallets op zes afzonderlijke blockchains, voornamelijk in USDT en TRON-munten. Het beveiligingsplatform YFarmX kwam met een hoger aantal en stelde dat de aanval $94,5 miljoen wegnam uit 521 wallets op zeven verschillende blockchains. Beide schattingen waren gebaseerd op publieke ketendata.

Volgens de analyse van Bitquery bevond het grootste deel van het gestolen geld zich op TRON, circa $70,5 miljoen, met daarnaast $16,8 miljoen in Bitcoin en $3,7 miljoen in Ethereum, plus veel kleinere bedragen op BNB Chain, Polygon en Solana.

De operatie zou maandenlang zijn voorbereid: de bij de diefstal betrokken adressen werden op 25 september aangemaakt en deden tientallen proeftransacties tot begin oktober. De grote beweging vond plaats op 9 oktober, toen Bitquery meldt dat de aanvallers de rechten op 30 TRON-wallets herschreven voordat zij ruim 203,8 BTC overzetten uit 111 Bitcoin-wallets binnen één blok een uur later. Zo'n operatie kan alleen worden uitgevoerd als de aanvaller over de noodzakelijke sleutels beschikt.

Dat is van belang omdat uitgevers van stablecoins tokens die voor illegale activiteiten worden gebruikt op een zwarte lijst kunnen plaatsen. Bitquery, dat de bevriezing door Tether heeft geverifieerd, meldde dat per 11 oktober nog circa $81 miljoen aan traceerbare tokens on-chain aanwezig was, al is een deel van het geld al via de mixingdiensten Tornado Cash en Zcash geleid. Tornado Cash voegt transacties samen om hun spoor te verhullen, terwijl Zcash afgeschermde transacties aanbiedt die afzender, ontvanger en bedrag verbergen — daarom is de natuurlijke vervolgvraag in deze zaak hoeveel van het traceerbare restant uiteindelijk wordt bevroren en of het gemengde geld nog te volgen is.

Weerstand rond een geautoriseerde reseller

Ledgers karakterisering van de situatie als een CryptoBilis-kwestie is niet onomstreden gebleven. De reseller toonde een officieel Ledger-badge op zijn website, wat critici volgens verantwoordelijk maakt voor de situatie. "Het is geen CryptoBilis-incident, het is een Ledger-incident", aldus X-gebruiker MyCryptoParadise, die het bedrijf opriep "eigenaar te worden van deze puinhoop". Het geschil raakt aan een structureel kenmerk van de hardware wallet-sector: fabrikanten zijn op resellers aangewezen om hun distributie te verbreden, maar elke extra tussenpersoon is een schakel die de fabrikant niet direct onder controle heeft.

Er is ook een voorgeschiedenis rond het eigendom van de reseller. Volgens medeoprichter Arravind Prabu werd CryptoBilis in maart 2026 overgenomen, en droeg het hele team tijdens dename alle systeemtoegang over, zoals geciteerd door Learning Crypto. De gerapporteerde administratie van het bedrijf toont aan dat de enige nieuwe investeerder in China was geregistreerd. Tot op heden is geen verband gelegd tussen de diefstallen en de eigendomswisseling, en het onderzoek vond geen manipulatie in verband met de nieuwe investeerders.

CryptoBilis heeft de verkoop en levering van alle merken die het verkoopt opgeschort en zijn fysieke winkels in alle drie de landen gesloten.

De implant die Mark Karpelès uit elkaar haalde

Wellicht het duidelijkste beeld van de gemanipuleerde hardware komt van Mt. Gox-oprichter Mark Karpelès. Karpelès haalde een in Maleisië gekochte Ledger Nano X uit elkaar en ontdekte, zoals gemeld door Learning Crypto, extra onderdelen die verborgen zaten onder het scherm: een cellulaire modem, een eSIM en een piepkleine chip die kon onderscheppen wat op het scherm werd getoond.

Bij het instellen van een wallet worden de herstelwoorden op dat scherm getoond. Een onderdeel dat de scherminhoud kan onderscheppen, zou die woorden via het mobiele netwerk kunnen versturen, waardoor de wallet elders kan worden gereconstrueerd en de fondsen kunnen worden gestolen. Een dergelijke implant is een voorbeeld van een aanval op de toeleveringsketen, waarbij een apparaat ergens tussen productie en levering wordt aangepast in plaats van op afstand te worden gecompromitteerd — en omdat de onderdelen onder het scherm zaten van een apparaat dat normaal functioneerde, waren ze voor een gewone koper moeilijk te ontdekken. Het moet nog worden bewezen of alle apparaten dergelijke onderdelen bevatten, en of er nog meer geïmplanteerde apparaten zullen opduiken blijft een open vraag in het onderzoek.

Overigens moet worden opgemerkt dat deze zaak verschilt van een aparte diefstal die in maart werd gemeld en zich in april voordeed, toen phishers de Ledger Live-applicatie in de App Store van Apple gebruikten om ten minste $9,5 miljoen te stelen.