'Hackers stalen 102 miljoen dollar aan crypto van Ledger-hardwarewallets'

Een klein deel van de hardwarewallets van Ledger is gecompromitteerd, waardoor een derde partij toegang had tot de opgeslagen cryptovaluta. Dat bevestigt het Franse bedrijf. Het lijkt vooralsnog enkel te gaan om producten die door een Indonesische reseller werden verkocht.

Een reseller in Zuidoost-Azië, genaamd CryptoBilis, verkocht Ledger-hardwarewallets waarmee gerommeld was. Ledger meldt dat de producten waren voorzien van een 'ongeautoriseerd hardware-implantaat'. Dat zou de recoverykey van 24 tekens kunnen uitlezen. Dat herstelwachtwoord maakt het apparaatje aan bij de eerste installatie en is bedoeld voor het geval dat de gebruiker zijn hardwarewallet kwijtraakt.

Wat is Ledger?

Ledger is een Frans bedrijf dat in 2014 is opgericht. Het bedrijf is onder andere bekend van zijn Nano S- en X-hardwarewallets voor cryptovaluta. Dergelijke apparaten laten gebruikers hun cryptovaluta offline bewaren. De sleutel om bij de crypto te komen, staat opgeslagen op het apparaatje.

Het is niet duidelijk hoeveel apparaten zijn getroffen door de supplychainaanval. Het gaat volgens Ledger om een 'beperkt' aantal. Volgens schattingen van onderzoeksbureau Bitquery hebben kwaadwillenden in totaal voor 102 miljoen dollar aan cryptovaluta gestolen, verdeeld over 324 wallets.

Alle getroffen hardwarewallets werden tot dusver verkocht door CryptoBilis, schrijft Ledger. De reseller is inmiddels gestopt met het leveren van de apparaten. Ledger doet nog onderzoek naar de precieze omvang van het lek. Het bedrijf vraagt resellers om teruggestuurde apparaten niet opnieuw te verkopen. Zijn eigen systemen zijn niet gecompromitteerd, meldt de Franse fabrikant.

De voormalige ceo van Mt. Gox, Mark Karpeles, ontdekte de 'spionagemodule' (onder) in een Nano X.

Ook in Europa?

CryptoBilis is alleen actief in Indonesië, Maleisië en de Filipijnen. Vooralsnog lijkt het er dus niet op dat Europese klanten getroffen zijn. Wel claimt een X-gebruiker dat meerdere modellen van MediaMarkt ook voorzien zijn van spionagehardware. Dat heeft Ledger nog niet bevestigd.

Reacties (60)

[Domino]

Blijkbaar is dit al een hele tijd aan de gang. Joe Grand, bekend van de trezor hardware hack, praat in een techtalk van 3 maanden (!!) geleden al over dit verschijnsel: YouTube: Reverse Engineering A Ledger Nano X Hardware Implant

Hij zegt aan het eind zelfs dat er contact is geweest met Ledger en dat er al een onderzoek loopt op dat moment.

[HakanX]

Wow ben nogal onder de indruk van wat hij allemaal kan. Interessant detail, de esim in het apparaatje is een m2m dataonly esim van Vodafone NL (39:00 in het filmpje). Hij is ook geactiveerd in Nederland (activatie werkt alleen op thuisnetwerk). Als er afgelopen jaren niks is veranderd krijg je die alleen via een accountmanager bij Vodafone. De imsi is ook gewoon zichtbaar in de video, dus Vodafone zou zo kunnen aanwijzen wie hierbij betrokken is en samenwerkt met China, waar de rest van de hardware toevoegingen vandaan komen.

Pff wat een eye-opener is deze video. Ik vertrouw niks meer.

[Reactie gewijzigd door HakanX op 13 oktober 2026 04:35]

[Jerie]

Hardwear.io is een gave conferentie hoge signal-to-noise ratio.

De supply chain aanvallen zijn niets nieuws onder de zon.

Dat is ook de reden dat je YubiKey firmware niet meer kunt updaten. Iemand heeft deze dingen ooit in zoutzuur gelegd. Het is te doen. Je hebt dan wel een nieuwe case nodig.

Dat is inderdaad het type aanval dat een geheime dienst toe zou kunnen passen op dergelijke apparatuur. Of TAO dit kan, weten we niet. Het zou mij niets verbazen als ze dit zouden kunnen, en in Europa moeten we ook zoiets als TAO hebben.

[.oisyn]

Saillant detail is dat CryptoBilis in maart is overgenomen door een Chinese entiteit, waar de van origine Maleisische eigenaars een NDA moesten ondertekenen dat ze zich niet uit mochten laten over de overname.

De "backdoor" bestaat overigens uit een printplaat in het device die de output naar het scherm onderschept, en de seed words die het device output tijdens initialisatie van een nieuwe wallet, via een LTE verbinding verstuurt naar de hackers, die vervolgens de wallet met die seed words kunnen leegtrekken zodra er coins naartoe worden overgemaakt.

[Reactie gewijzigd door .oisyn op 12 oktober 2026 20:54]

[Mr.Beach]

Prominent figures in the crypto space, including former Binance CEO Changpeng Zhao (CZ), alleged that the hackers actively bought the authorized retail store outright as a strategic "hostile takeover" to compromise the supply chain directly. [1, 2]

However, law enforcement and on-chain security firms emphasize that no public evidence has definitively tied the new owner to the theft. It remains unconfirmed whether the new management orchestrated the attack, or if a third party simply exploited the vendor's distribution network during the chaotic transition of ownership. [1, 2]


Maar China bashing, dus +2, groene rand, en vanaf 2025 alles wat speculatief is als feit aannemen.

[.oisyn]

Je leest blijkbaar dingen die er niet staan. Noem 1 stelling uit mijn post die niet waar of gespeculeerd is.

Het lijkt erop dat je vooral zelf tussen de regels door probeert te lezen, daarbij foute aannames maakt, en mij vervolgens daarop afrekent. China bashing? Dus als ik zeg dat ze zijn overgenomen door een Chinese entiteit, dan is dat automatisch China bashing? Kun je eens uitleggen hoe dat precies werkt? Is het noemen van China in de context van een negatief nieuws-item automatisch China bashing? Hoe kan ik dan überhaupt nog objectief feiten brengen?

Publiek statement van de voormalige eigenaars [bron]

OFFICIAL STATEMENT REGARDING CRYPTOBILIS

In light of recent public discussions and media reports concerning CryptoBilis and Ledger, Vimalatheethan and I (Arravind Prabu) wish to provide full clarity regarding our position and involvement.

1. Operational Handover & Conclusion of Role:
Earlier this year, CryptoBilis was acquired by new ownership. As part of this transition, Vimal and I officially stepped down and completed a full handover of all operational, managerial, and administrative responsibilities in March 2026.

2. System & Database Access:
Since the completion of the handover, we have held zero access, credentials, visibility, or administrative control over CryptoBilis backend systems, customer databases, order histories, or corporate communication channels.

3. Post-Acquisition Support:
While we assisted the incoming management team in an advisory and coordination capacity during key industry events earlier this year (including Bitcoin Pizza Day, MyBW, and PBW) to ensure a smooth transition, we have had no business or operational visibility into the company’s day-to-day management or IT infrastructure.

4. Confidentiality & Public Announcements:
Under the formal acquisition agreements, all parties were contractually bound to hold off on issuing a joint public announcement until mid-October 2026. All suppliers were previously notified of the corporate acquisition and new management structure.

5. Commitment to Security:
Having built CryptoBilis over many years with absolute integrity and dedication to the community, we deeply value user security and our long-standing relationships in the Web3 ecosystem. While we have no active operational standing, we remain open to providing any historical context to Ledger’s team should it assist their review.

For all active operational matters, technical inquiries, or official statements regarding CryptoBilis, please contact the current lead Person in Charge:

Nicholas Chang
Email: [e-mail]

Thank you to our partners, clients, and community members who have reached out to support us during this time.

Arravind Prabu & Vimalatheethan
Former Co-Founders, CryptoBilis

[Reactie gewijzigd door .oisyn op 13 oktober 2026 12:51]

[.oisyn]

Ja, mijn doel is feiten presenteren die in het artikel missen. De verborgen agenda is iets wat je er vooral zelf bij verzint. Het is puur je eigen interpretatie die daaraan ten grondslag ligt.

[Reactie gewijzigd door .oisyn op 13 oktober 2026 14:57]

[StiefelPaul]

Heb je (een) bron(nen)?

[Jacco011]

Zie ook de reactie van HakanX in ''Hackers stalen 102 miljoen dollar aan crypto van Ledger-hardwarewallets''
Hoop dat we hiervan nog meer informatie krijgen en Nederland mogelijk actief gaat worden.

[viool123]

Iemand uit Duitsland had in de Mediamarkt een Ledger gekocht en daar was hetzelfde aan de hand (na hem open te hebben gemaakt)

Hij schrijft:
I can confirm that the Ledger supply chain is compromised in Europe as well.

Sluit niet uit dat in Nederland hetzelfde kan zijn gebeurd...

Bron:
https://thedefiant.io/news/security/buyer-reports-second-tampered-ledger-from-mediamarkt-calls-for-recall

[Reactie gewijzigd door viool123 op 13 oktober 2026 11:08]

[Art Elixer]

E.a. is dus ook geen nieuwe aanval. Als je iets verder gescrolled had, had je gezien dat ik dit over de MediaMarkt een dag geleden ook al gepost had als reactie ;-)

En op die twitter link zie je een reactie van Mark Karpelès die hack in Azië bloot legde. Hij geeft aan dat 'onze' versie van de hack mogelijk ouder is en een ander modem betreft.

En dus kan je verder terug zoeken en vind je drie maanden geleden al waarschuwingen. Echter geeft Ledger daar kennelijk niet direct ruchtbaarheid aan. En dan na dit bericht en 90 miljoen euro, wat voor een particulier veel geld is, maar voor de hele markt niet, vat dit bericht ineens 'vlam'.

[Master FX]

Ik lees er misschien finaal overheen, of ik snap onvoldoende hoe zo'n offline wallet werkt. Maar, die key werd dus uitgelezen en vervolgens werd zo'n wallet geroofd op het moment dat je deze dan koppelt aan je desktop/laptop?

In de reactie van @fukutoshin zit helaas een onvoorzichtigheid van de gebruiker en was de software geinfecteerd icm het verstrekken van de keys. Maar hoe ging dat dat in zijn werk met zo'n gemodificeerde hardware wallet?

[RiDo78]

Voor zover ik het begrijp staat niet de cryptovaluta zelf op de ledger, maar hij genereert enkel het bitcoin adres en de sleutel die ervoor nodig is.

Als jij zo'n ledger nieuw uit de doos haalt en installeert, dan genereert (en toont) die ledger een recovery-sleutel voor het geval de ledger zelf stuk gaat. Zou zonde zijn als je dan alles kwijt bent toch?

Maar helaas, jouw ledger heeft een probleem; hij is gemodificeerd en de recoverycode wordt niet alleen aan jouw getoond, maar ook via de nieuw ingebouwde modem naar een onbekende bestemming op het internet gestuurd. En daar, op die onbekende bestemming zit iemand geduldig te wachten tot jij je crypto overmaakt naar je nieuwe bitcoinadres. Dat adres wat veilig door je ledger is aangemaakt en waarvan alleen jouw ledger de sleutel heeft. Maar de recovery-codes om een 'reservesleutel' te kunnen maken, die heb jij en die geduldige aanvaller.

Dus jij stuurt je crypto naar dat nieuwe adres, de aanvaller ziet dat (het is immers openbaar) en gebruikt de reservesleutel om alles naar zijn eigen adres over te maken. Of je ledger nu aangesloten is of niet maakt dan echt niet meer uit.

Kun je net zo goed je cryptowallet op een harddisk zetten en die bij het vuilnis weg doen. Net zo veilig.

[Jimmy_]

Volgens mij hebben ze hardware geinstalleerd dat de keys uitleest en opstuurt naar de dieven.

Ik zat nl. te denken dat ze wellicht de recovery keys van tevoren bepalen dmv hardwarewijzigingen (en ze dus niet meer geheim zijn) - maar blijkbaar is dat door Ledger's Secure Element zeer moeilijk te doen. Het alternatief dat dus overblijft is de gegenereerde keys uitlezen en opsturen.

[Domino]

Crypto tokens kun je niet offline halen. Het is een entry in een grootboek;, een ledger (geen relatie tot deze fabrikant). Jij bewijst met jouw private key (een cryptografische sleutel) dat jij eigenaar bent van de balans die op jouw adres(sen) staat.

Dit implantaat onderschept de electronische output naar het scherm bij initialisatie van jouw wallet. Die wordt vervolgens via een mobiele verbinding naar de hackers gestuurd.

Diezelfde hackers claimen dan eigenaarschap van jouw tokens, ze zijn immers in bezit van diezelfde cryptografische sleutel. Ze verplaatsten ze naar een ander adres wat onder hun controle staat en jij bent het spreekwoordelijke haasje.

[kuurtjes]

Deze titel kon echt veel beter. Hier een voorbeeld: "Sommige Ledger hardware-wallets zijn voorzien van een hardware backdoor". Op dit moment lijkt het gewoon een bug, maar het is echt vele malen erger.

[The-Source]

Nou een simkaart met display reader die toegevoegd is, is geen bug. Je seed phrase tijdens het instellen wordt letterlijk meegelezen en verstuurd via de simkaart.

[kuurtjes]

De titel is ondertussen al aangepast.

[Memori]

"Supply-chain aanval treft deel Ledger-hardwarewallets" lijkt me passender.

[Art Elixer]

Ernstige zaak dit. Er zijn geluiden dat ea mogelijk ook Europese gebruikers treft, X gebruiker Johannes zegt dat hij bij de Mediamarkt een Ledger kocht met hardware implantaat. Zie ook het artikel van Newsbit. Voor zover ik het kan overzien treft het enkel de USB key achtige devices, en niet de duurdere / grotere wallets met E-paper scherm.

[alexbl69]

En dat verhaal van de MediaMarkt medewerker dat retourtjes niet meer in de verkoop gaan maar geretourneerd worden aan de leverancier neem ik met een korrel zout.

MediaMarkt staat er om bekend om alles dat retour komt (internet of fysiek) vrijwel ongecontroleerd weer in de verkoop te doen. Hoe vaak ik daar geen spullen gekocht heb waar geen verpakking meer in zat of waar al een account op stond is bijna niet meer te tellen.

Kom er (mede) om die reden dan ook nooit meer.

[genosis]

Onlangs een product teruggebracht en die werd zeer nauwkeurig uit de doos gehaald en gecheckt bij de Mediamarkt.

[alexbl69]

Eén zwaluw maakt nog geen zomer .

Kijk anders even bij de shopreview. Naast de vele andere klachten komt dit ook wel eens voorbij.

Heb van een (voormalig) MM medewerker gehoord dat alle 'ready' artikelen (geopend om tegen fikse meerprijs te voorzien van een 'screenprotector' of 'updates') allemaal internet-retourtjes zijn die op deze manier tegen een meerprijs verkocht worden.

De (Ali-kwaliteit) screenprotectors worden er nog wel opgezet, maar de updates helemaal niet. Men gaat er vanuit dat de klant die het retourneerde het apparaat al heeft aangezet en de updates er toen al op zijn gekomen.

[Polderviking]

Heb van een (voormalig) MM medewerker gehoord dat alle 'ready' artikelen (geopend om tegen fikse meerprijs te voorzien van een 'screenprotector' of 'updates') allemaal internet-retourtjes zijn die op deze manier tegen een meerprijs verkocht worden.

Ik ga er geen oordeel over hebben of dit waar is of niet want ik weet het gewoon niet, maar ik vond het toen ik deze poging tot koppelverkoop voor het eerst zag bij de Mediamarkt al een uur in de wind stinken.
Mijn eerste ingeving was precies exact me afvragen, naast waarom zo'n switch uberhaupt een screen protector nodig heeft en wat er "startklaar" te maken valt aan een console, hoe je nog kan weten of je niet gewoon een retourtje meekrijgt.

Niet dat ik wat tegen retourtjes heb, ik jaag op dat soort producten, maar normaal hangt daar ook wel iets van een kleine (of wat grotere, bij beschadigingen) korting aan.

[Reactie gewijzigd door Polderviking op 13 oktober 2026 13:46]

[Art Elixer]

In elk geval lijken hier in Europa de eerste pijlen te wijzen richting eveneens een supplychain aanval. Dezelfde gebruiker heeft namelijk een tweede Ledger met implantaat bij de Mediamarkt weten te kopen.

[R4gnax]

Dit ook:

Ledger’s own security documentation says its Genuine Check verifies the device’s secure element, but cannot detect unauthorized physical modifications such as spying implants if that chip remains intact.

Uhm.. ja. Leuk excuus. Maar hardware intrusion detection bestaat gewoon en security keys zijn op die manier tamperproof gemaakt. Behuizing openen -> data weg.

Nou is 'data weg' voor een wallet natuurlijk vrij funest; maar als je op dat moment een zekering doorbrandt die een benodigde cryptografische sleutel botweg verwijderd zodat de firmware op het ding niet meer in kan laden en dus dood uit de doos komt, voorkom je er wel mee dat mensen dit soort apparaten 'met extra erbij' in gebruik nemen. De laagdrempelige supply-chain attacker is daarmee uitgeschakeld.

[Reactie gewijzigd door R4gnax op 12 oktober 2026 23:12]

[OruBLMsFrl]

Bij tamper onbruikbaar is volgens mij bij dit soort devices altijd het beste. Iedereen die fysiek toegang heeft kan die ledger toch zo kapotmaken als dat iemands doel is. Dus beter goede tamper protection dan slechte beveiliging.

[R4gnax]

Daarom is het krankzinnig dat deze apparaten van Ledger dat blijkbaar dus niet zijn.

[BounceMeister]

Er zat gemiddeld dus 3 ton in een wallet, dat is nogal een bedrag. Zijn die mensen dat nu gewoon kwijt?

[eamelink]

Jup. Blockchains zijn een legendarisch slecht ontwerp voor dit doel, en dit is één van de gevolgen.

[Koeznetsov1982]

ik heb een nieuwe Ledger Nano X gisteren gehaald. Op basis van dit verhaal wat zouden jullie adviseren? Is die nog wel veilig om te gebruikten?

[viool123]

Rechstreeks via Ledger gekocht of heb je hem via een reseller aangeschaft?

[MSalters]

Welke supply chain is veilig wanneer er miljoenen op het spel staan? "Rechtstreeks uit de fabriek waar je m met je eigen ogen van de band ziet lopen" is niet realistisch en desondanks niet eens 100% voldoende tegen een supply chain attack.

[HakanX]

Het is nog niet bewezen, maar er wordt beweert dat zelfs Ledgers bij de Mediamarkt gecomprimeerd zijn. Daar komt bij dat Ledger zelf ondanks dat ze het wisten, pas 3 maanden later met dit nieuws naar buiten komt. Ondertussen zijn mensen wel vrolijk miljoenen kwijt. Ik zou het zeker niet vertrouwen zonder het apparaat open te maken. Ledger zelf zou ik als merk ook afschrijven vanwege hun trage handelen.

[Gemeni]

Mensen willen een betaalmethode zonder controle en inmenging , zie hier ook de gevolgen…

Ons financieel systeem kent genoeg problemen, maar er zijn ook genoeg wel nuttige zekerheden.

[Reactie gewijzigd door Gemeni op 12 oktober 2026 21:35]

[Ryunoru]

Want diefstal gebeurt natuurlijk niet bij gewoon geld. Bovendien willen mensen geen onveilige valuta, ze willen een vrije valuta die alsnog veilig is. Dat is best wel een belangrijk verschil.

[Gemeni]

Afgelopen jaren al enorm veel online wallets gehacked of plotseling failliet en geld verdwenen.

Koop je zon wallet omdat het veilig is. Blijkt ook niet het geval.

Nog nooit gehoord van een normale portemonnee die je geld steelt.

Dus is de kuur misschien toch schadelijker dan het oorspronkelijke “probleem”?

[Vexxon]

Toch werd crypto juist altijd genoemd waarbij dat niet mogelijk was of dat in ieder geval makkelijk te controleren was of iemand wel de rechtmatige eigenaar was.
Ondertussen is crypto eerder een valuta wat gebruikt wordt door criminelen en de gemiddelde burger handelt erin alsof het aandelen zijn.

De belofte is op zijn minst niet helemaal waargemaakt

[_Pussycat_]

Ze willen niet "een veilige, vrije valuta". Ze willen:

• A) speculeren op koerswinst in fiat, of
• B) illegale dingen kopen

Er is geen enkele andere use case.

[Honytawk]

Niet op deze scale, nee.

https://www.web3isgoinggreat.com/

[MSalters]

Bij fiat geld waar een overheid achter staat heb je ook de politie van die overheid. De meeste overheden vinden de betrouwbaarheid van hun geld namelijk belangrijk.

Maar ja, niet iedereen wil dat. Dan moet je wel kiezen. Je kunt niet tegelijkertijd mét en zonder overheidsbescherming opereren.

[iqcgubon]

"code is law". Die crypto is niet gestolen, die is gewoon van eigenaar gewisseld want zo staat het in de blockchain!

[PHPResource]

Hierbij een video hoe je een Ledger Nano X kunt openen:
YouTube: Zelf de hardware integriteit controleren - Ledger Nano X (openmaken ...

Op ledger.com staat ook hoe de officiele ledger er oorspronkelijk hoort uit te zien als je deze eenmaal hebt geopend.

Overigens wordt er gesuggereerd dat er ook sprake kan zijn van terug gestuurde (zogenaamd) ongebruikte Ledgers in seal, waarbij er weldegelijk mee is gesjoemeld en de seal weer is hersteld.