Hackers voorzagen Ledger-hardwarewallets van backdoor om crypto te stelen

Een klein deel van de hardwarewallets van Ledger is gecompromitteerd, waardoor een derde partij toegang had tot de opgeslagen cryptovaluta. Dat bevestigt het Franse bedrijf. Het lijkt vooralsnog enkel te gaan om producten die door een Indonesische reseller werden verkocht.

Een reseller in Zuidoost-Azië, genaamd CryptoBilis, verkocht Ledger-hardwarewallets waarmee gerommeld was. Ledger meldt dat de producten waren voorzien van een 'ongeautoriseerd hardware-implantaat'. Dat zou de recoverykey van 24 tekens kunnen uitlezen. Dat herstelwachtwoord maakt het apparaatje aan bij de eerste installatie en is bedoeld voor het geval dat de gebruiker zijn hardwarewallet kwijtraakt.

Wat is Ledger?

Ledger is een Frans bedrijf dat in 2014 is opgericht. Het bedrijf is onder andere bekend van zijn Nano S- en X-hardwarewallets voor cryptovaluta. Dergelijke apparaten laten gebruikers hun cryptovaluta offline bewaren. De sleutel om bij de crypto te komen, staat opgeslagen op het apparaatje.

Het is niet duidelijk hoeveel apparaten zijn getroffen door de supplychainaanval. Het gaat volgens Ledger om een 'beperkt' aantal. Volgens schattingen van onderzoeksbureau Bitquery hebben kwaadwillenden in totaal voor 102 miljoen dollar aan cryptovaluta gestolen, verdeeld over 324 wallets.

Alle getroffen hardwarewallets werden tot dusver verkocht door CryptoBilis, schrijft Ledger. De reseller is inmiddels gestopt met het leveren van de apparaten. Ledger doet nog onderzoek naar de precieze omvang van het lek. Het bedrijf vraagt resellers om teruggestuurde apparaten niet opnieuw te verkopen. Zijn eigen systemen zijn niet gecompromitteerd, meldt de Franse fabrikant.

De voormalige ceo van Mt. Gox, Mark Karpeles, ontdekte de 'spionagemodule' (onder) in een Nano X.

Ook in Europa?

CryptoBilis is alleen actief in Indonesië, Maleisië en de Filipijnen. Vooralsnog lijkt het er dus niet op dat Europese klanten getroffen zijn. Wel claimt een X-gebruiker dat meerdere modellen van MediaMarkt ook voorzien zijn van spionagehardware. Dat heeft Ledger nog niet bevestigd.

Reacties (11)

[Art Elixer]

Ernstige zaak dit. Er zijn geluiden dat ea mogelijk ook Europese gebruikers treft, X gebruiker Johannes zegt dat hij bij de Mediamarkt een Ledger kocht met hardware implantaat. Zie ook het artikel van Newsbit. Voor zover ik het kan overzien treft het enkel de USB key achtige devices, en niet de duurdere / grotere wallets met E-paper scherm.

[alexbl69]

En dat verhaal van de MediaMarkt medewerker dat retourtjes niet meer in de verkoop gaan maar geretourneerd worden aan de leverancier neem ik met een korrel zout.

MediaMarkt staat er om bekend om alles dat retour komt (internet of fysiek) vrijwel ongecontroleerd weer in de verkoop te doen. Hoe vaak ik daar geen spullen gekocht heb waar geen verpakking meer in zat of waar al een account op stond is bijna niet meer te tellen.

Kom er (mede) om die reden dan ook nooit meer.

[Art Elixer]

In elk geval lijken hier in Europa de eerste pijlen te wijzen richting eveneens een supplychain aanval. Dezelfde gebruiker heeft namelijk een tweede Ledger met implantaat bij de Mediamarkt weten te kopen.

[PHPResource]

Hierbij een video hoe je een Ledger Nano X kunt openen:
YouTube: Zelf de hardware integriteit controleren - Ledger Nano X (openmaken ...

Op ledger.com staat ook hoe de officiele ledger er oorspronkelijk hoort uit te zien als je deze eenmaal hebt geopend.

Overigens wordt er gesuggereerd dat er ook sprake kan zijn van terug gestuurde (zogenaamd) ongebruikte Ledgers in seal, waarbij er weldegelijk mee is gesjoemeld en de seal weer is hersteld.

[theobril]

Titel had ook kunnen zijn: 102 miljoen euro gestolen. Dat is in mijn bubble best veel beld

[juiced01]

Er zijn idd dagen dat ik het niet op mijn rekening heb

[Gemeni]

Mensen willen een betaalmethode zonder controle en zekerheden, zie hier ook de gevolgen…

[.oisyn]

Saillant detail is dat CryptoBilis (niet CryptoBills @Kevinkrikhaar ) in maart is overgenomen door een Chinese entiteit, waar de van origine Maleisische eigenaars een NDA moesten ondertekenen dat ze zich niet uit mochten laten over de overname.

De "backdoor" bestaat overigens uit een device die de output naar het scherm onderschept, en de seed words die het device output tijdens initialisatie van een nieuwe wallet, via een LTE verbinding verstuurt naar de hackers, die vervolgens de wallet met die seed words kunnen leegtrekken zodra er coins naartoe worden overgemaakt.

[Reactie gewijzigd door .oisyn op 12 oktober 2026 20:21]

[sympa]

Die nRF 9151 in die implant is een LTE modem. Ook interessant om uit te zoeken hoe, wat en wie.

[Memori]

"Supply-chain aanval treft deel Ledger-hardwarewallets" lijkt me passender.