'Hackers stalen 102 miljoen dollar aan crypto van Ledger-hardwarewallets'

Een klein deel van de hardwarewallets van Ledger is gecompromitteerd, waardoor een derde partij toegang had tot de opgeslagen cryptovaluta. Dat bevestigt het Franse bedrijf. Het lijkt vooralsnog enkel te gaan om producten die door een Indonesische reseller werden verkocht.

Een reseller in Zuidoost-Azië, genaamd CryptoBilis, verkocht Ledger-hardwarewallets waarmee gerommeld was. Ledger meldt dat de producten waren voorzien van een 'ongeautoriseerd hardware-implantaat'. Dat zou de recoverykey van 24 tekens kunnen uitlezen. Dat herstelwachtwoord maakt het apparaatje aan bij de eerste installatie en is bedoeld voor het geval dat de gebruiker zijn hardwarewallet kwijtraakt.

Wat is Ledger?

Ledger is een Frans bedrijf dat in 2014 is opgericht. Het bedrijf is onder andere bekend van zijn Nano S- en X-hardwarewallets voor cryptovaluta. Dergelijke apparaten laten gebruikers hun cryptovaluta offline bewaren. De sleutel om bij de crypto te komen, staat opgeslagen op het apparaatje.

Het is niet duidelijk hoeveel apparaten zijn getroffen door de supplychainaanval. Het gaat volgens Ledger om een 'beperkt' aantal. Volgens schattingen van onderzoeksbureau Bitquery hebben kwaadwillenden in totaal voor 102 miljoen dollar aan cryptovaluta gestolen, verdeeld over 324 wallets.

Alle getroffen hardwarewallets werden tot dusver verkocht door CryptoBilis, schrijft Ledger. De reseller is inmiddels gestopt met het leveren van de apparaten. Ledger doet nog onderzoek naar de precieze omvang van het lek. Het bedrijf vraagt resellers om teruggestuurde apparaten niet opnieuw te verkopen. Zijn eigen systemen zijn niet gecompromitteerd, meldt de Franse fabrikant.

De voormalige ceo van Mt. Gox, Mark Karpeles, ontdekte de 'spionagemodule' (onder) in een Nano X.

Ook in Europa?

CryptoBilis is alleen actief in Indonesië, Maleisië en de Filipijnen. Vooralsnog lijkt het er dus niet op dat Europese klanten getroffen zijn. Wel claimt een X-gebruiker dat meerdere modellen van MediaMarkt ook voorzien zijn van spionagehardware. Dat heeft Ledger nog niet bevestigd.

Reacties (34)

[Domino]

Blijkbaar is dit al een hele tijd aan de gang. Joe Grand, bekend van de trezor hardware hack, praat in een techtalk van 3 maanden (!!) geleden al over dit verschijnsel: YouTube: Reverse Engineering A Ledger Nano X Hardware Implant

Hij zegt aan het eind zelfs dat er contact is geweest met Ledger en dat er al een onderzoek loopt op dat moment.

[HakanX]

Wow ben nogal onder de indruk van wat hij allemaal kan. Interessant detail, de esim in het apparaatje is een m2m dataonly esim van Vodafone NL (39:00 in het filmpje). Hij is ook geactiveerd in Nederland (activatie werkt alleen op thuisnetwerk). Als er afgelopen jaren niks is veranderd krijg je die alleen via een accountmanager bij Vodafone. De imsi is ook gewoon zichtbaar in de video, dus Vodafone zou zo kunnen aanwijzen wie hierbij betrokken is en samenwerkt met China, waar de rest van de hardware toevoegingen vandaan komen.

Pff wat een eye-opener is deze video. Ik vertrouw niks meer.

[Reactie gewijzigd door HakanX op 13 oktober 2026 04:35]

[.oisyn]

Saillant detail is dat CryptoBilis in maart is overgenomen door een Chinese entiteit, waar de van origine Maleisische eigenaars een NDA moesten ondertekenen dat ze zich niet uit mochten laten over de overname.

De "backdoor" bestaat overigens uit een printplaat in het device die de output naar het scherm onderschept, en de seed words die het device output tijdens initialisatie van een nieuwe wallet, via een LTE verbinding verstuurt naar de hackers, die vervolgens de wallet met die seed words kunnen leegtrekken zodra er coins naartoe worden overgemaakt.

[Reactie gewijzigd door .oisyn op 12 oktober 2026 20:54]

[Mr.Beach]

Prominent figures in the crypto space, including former Binance CEO Changpeng Zhao (CZ), alleged that the hackers actively bought the authorized retail store outright as a strategic "hostile takeover" to compromise the supply chain directly. [1, 2]

However, law enforcement and on-chain security firms emphasize that no public evidence has definitively tied the new owner to the theft. It remains unconfirmed whether the new management orchestrated the attack, or if a third party simply exploited the vendor's distribution network during the chaotic transition of ownership. [1, 2]


Maar China bashing, dus +2, groene rand, en vanaf 2025 alles wat speculatief is als feit aannemen.

[StiefelPaul]

Heb je (een) bron(nen)?

[Art Elixer]

Ernstige zaak dit. Er zijn geluiden dat ea mogelijk ook Europese gebruikers treft, X gebruiker Johannes zegt dat hij bij de Mediamarkt een Ledger kocht met hardware implantaat. Zie ook het artikel van Newsbit. Voor zover ik het kan overzien treft het enkel de USB key achtige devices, en niet de duurdere / grotere wallets met E-paper scherm.

[alexbl69]

En dat verhaal van de MediaMarkt medewerker dat retourtjes niet meer in de verkoop gaan maar geretourneerd worden aan de leverancier neem ik met een korrel zout.

MediaMarkt staat er om bekend om alles dat retour komt (internet of fysiek) vrijwel ongecontroleerd weer in de verkoop te doen. Hoe vaak ik daar geen spullen gekocht heb waar geen verpakking meer in zat of waar al een account op stond is bijna niet meer te tellen.

Kom er (mede) om die reden dan ook nooit meer.

[Art Elixer]

In elk geval lijken hier in Europa de eerste pijlen te wijzen richting eveneens een supplychain aanval. Dezelfde gebruiker heeft namelijk een tweede Ledger met implantaat bij de Mediamarkt weten te kopen.

[R4gnax]

Dit ook:

Ledger’s own security documentation says its Genuine Check verifies the device’s secure element, but cannot detect unauthorized physical modifications such as spying implants if that chip remains intact.

Uhm.. ja. Leuk excuus. Maar hardware intrusion detection bestaat gewoon en security keys zijn op die manier tamperproof gemaakt. Behuizing openen -> data weg.

Nou is 'data weg' voor een wallet natuurlijk vrij funest; maar als je op dat moment een zekering doorbrandt die een benodigde cryptografische sleutel botweg verwijderd zodat de firmware op het ding niet meer in kan laden en dus dood uit de doos komt, voorkom je er wel mee dat mensen dit soort apparaten 'met extra erbij' in gebruik nemen. De laagdrempelige supply-chain attacker is daarmee uitgeschakeld.

[Reactie gewijzigd door R4gnax op 12 oktober 2026 23:12]

[OruBLMsFrl]

Bij tamper onbruikbaar is volgens mij bij dit soort devices altijd het beste. Iedereen die fysiek toegang heeft kan die ledger toch zo kapotmaken als dat iemands doel is. Dus beter goede tamper protection dan slechte beveiliging.

[R4gnax]

Daarom is het krankzinnig dat deze apparaten van Ledger dat blijkbaar dus niet zijn.

[genosis]

Onlangs een product teruggebracht en die werd zeer nauwkeurig uit de doos gehaald en gecheckt bij de Mediamarkt.

[alexbl69]

Eén zwaluw maakt nog geen zomer .

Kijk anders even bij de shopreview. Naast de vele andere klachten komt dit ook wel eens voorbij.

Heb van een (voormalig) MM medewerker gehoord dat alle 'ready' artikelen (geopend om tegen fikse meerprijs te voorzien van een 'screenprotector' of 'updates') allemaal internet-retourtjes zijn die op deze manier tegen een meerprijs verkocht worden.

De (Ali-kwaliteit) screenprotectors worden er nog wel opgezet, maar de updates helemaal niet. Men gaat er vanuit dat de klant die het retourneerde het apparaat al heeft aangezet en de updates er toen al op zijn gekomen.

[PHPResource]

Hierbij een video hoe je een Ledger Nano X kunt openen:
YouTube: Zelf de hardware integriteit controleren - Ledger Nano X (openmaken ...

Op ledger.com staat ook hoe de officiele ledger er oorspronkelijk hoort uit te zien als je deze eenmaal hebt geopend.

Overigens wordt er gesuggereerd dat er ook sprake kan zijn van terug gestuurde (zogenaamd) ongebruikte Ledgers in seal, waarbij er weldegelijk mee is gesjoemeld en de seal weer is hersteld.

[sympa]

Die nRF 9151 in die implant is een LTE modem. Ook interessant om uit te zoeken hoe, wat en wie.

[fukutoshin]

een goede vriend van mijn uit de UK is op deze manier 6mnd geleden binnen een flits 4.2 miljoen (!!!) usdc verloren...hij haalde uit de app store geïnfecteerde software binnen van zijn Ledger en deed wat die niet had moeten doen, zijn keys in een nep website/formulier invullen,

[theobril]

Titel had ook kunnen zijn: 102 miljoen euro gestolen. Dat is in mijn bubble best veel beld

[Echt niet.]

Na de moord op JFK hadden de kranten ook kunnen schrijven "man overleden tijdens optocht" maar sommige details zijn soms best noemenswaardig.

[juiced01]

Er zijn idd dagen dat ik het niet op mijn rekening heb

[The-Source]

Nou toevallig is CryptoBilis overgenomen door Chinees bedrijf en vorige eigenaar moest een NDA afsluiten tot 19-10-2026 voordat dit bekend mocht worden. Dus je kan je afvragen wat de echte plannen waren en of dit dus toeval is.

Verder net wat meer info hierover gezien, gaat dus om een simkaart die is toegevoegd en stukje hardware die display tekst leest. Dus wallet zelf is helemaal secure volgens Ledger maar je seed phrase wordt dus letterlijk mee gelezen en dus verstuurd via simkaart naar de hackers.

[chielsen]

Ja dat is inherit aan een trustless system. Je moet niemand en niets vertrouwen, dus eigenlijk zelf je code schrijven op zelf gebouwde hardware etc. Dat dat niet realistisch is laat maar zien dat trustless bijna niet kan als je niet in je eentje in het oerwoud woont. En als je toch iets van vertrouwen moet hebben, waarom niet een demonstratisch gekozen overheid bij je in de buurt?

[JPtjeeNL]

Ik vond dit een interessante paper daarover: Reflections on Trusting Trust uit 1984 van Thompson. Leuk als je ook wat van C wilt leren: Thompson_1984_ReflectionsonTrustingTrust.pdf

[MennoE]

Ik vind ‘demonstratisch gekozen overheid’ een prachtige verschrijving.

[Gemeni]

Mensen willen een betaalmethode zonder controle en inmenging , zie hier ook de gevolgen…

Ons financieel systeem kent genoeg problemen, maar er zijn ook genoeg wel nuttige zekerheden.

[Reactie gewijzigd door Gemeni op 12 oktober 2026 21:35]

[Ryunoru]

Want diefstal gebeurt natuurlijk niet bij gewoon geld. Bovendien willen mensen geen onveilige valuta, ze willen een vrije valuta die alsnog veilig is. Dat is best wel een belangrijk verschil.

[Gemeni]

Afgelopen jaren al enorm veel online wallets gehacked of plotseling failliet en geld verdwenen.

Koop je zon wallet omdat het veilig is. Blijkt ook niet het geval.

Nog nooit gehoord van een normale portemonnee die je geld steelt.

Dus is de kuur misschien toch schadelijker dan het oorspronkelijke “probleem”?

[Vexxon]

Toch werd crypto juist altijd genoemd waarbij dat niet mogelijk was of dat in ieder geval makkelijk te controleren was of iemand wel de rechtmatige eigenaar was.
Ondertussen is crypto eerder een valuta wat gebruikt wordt door criminelen en de gemiddelde burger handelt erin alsof het aandelen zijn.

De belofte is op zijn minst niet helemaal waargemaakt

[_Pussycat_]

Ze willen niet "een veilige, vrije valuta". Ze willen:

• A) speculeren op koerswinst in fiat, of
• B) illegale dingen kopen

Er is geen enkele andere use case.

[iqcgubon]

"code is law". Die crypto is niet gestolen, die is gewoon van eigenaar gewisseld want zo staat het in de blockchain!

[kuurtjes]

Deze titel kon echt veel beter. Hier een voorbeeld: "Sommige Ledger hardware-wallets zijn voorzien van een hardware backdoor". Op dit moment lijkt het gewoon een bug, maar het is echt vele malen erger.

[Memori]

"Supply-chain aanval treft deel Ledger-hardwarewallets" lijkt me passender.

[The-Source]

Nou een simkaart met display reader die toegevoegd is, is geen bug. Je seed phrase tijdens het instellen wordt letterlijk meegelezen en verstuurd via de simkaart.