Ledgers spionchip-skandale: Kan hardware wallets stadig beskytte kryptos cold storage?

​Ledger bekræftede et uautoriseret hardwareimplantat i en kundes enhed, som kædes sammen med kryptotab på mere end $86 millioner. Det afdækker en alvorlig sårbarhed i forsyningskæden for hardware wallets. Yderligere undersøgelse af den sydøstasiatiske forhandler CryptoBilis vil afdække risiciene ved fysisk manipulation og måder at genoprette cold wallets' status som den sikreste metode til opbevaring af krypto.

Bekræftet implantat og tabenes omfang

Ledgers bekræftelse af et uautoriseret hardwareimplantat har afdækket mange skjulte problemer med virksomhedens wallets. De største risici ses blandt købere, der har købt enheder gennem den sydøstasiatiske forhandler CryptoBilis. Ledger oplyser, at deres systemer ikke har nogen sårbarheder. Blockchainanalytikere hos Bitquery har opgjort, at cirka $93,2 millioner er blevet taget fra 315 wallets på tværs af Tron, Bitcoin, Ethereum, BNB Chain, Polygon og Solana. Tether frøs omkring $10 millioner i relaterede USDT. Ledger har endnu ikke bekræftet disse tal. 

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Den 10. oktober offentliggjorde Ledger Support en situationsopdatering med følgende ordlyd: 

“Ledger kan bekræfte, at en af de berørte brugeres enheder indeholdt et uautoriseret hardwareimplantat.” 

Virksomheden samarbejder med myndighederne og sikkerhedskollektivet SEAL 911. Den har anmodet CryptoBilis om at standse alt salg af hardware wallets. 

“Vi har ingen indikation af, at Ledgers sikkerhedsinfrastruktur, systemer eller tjenester er blevet kompromitteret,” tilføjede erklæringen. 

Spionmodulets opbygning

Forskere beskriver en sofistikeret fysisk modificering, som ikke krævede en softwareudnyttelse eller et brud på et secure element. Tidligere Mt. Gox-direktør Mark Karpelès undersøgte en Ledger Nano X købt i Malaysia og fandt et lille printkort. 

“Min Ledger med spionimplantat kom fra Malaysia og havde fejlfri krympefolie,” skrev han. “Selv når man åbner den, ser man først ikke implantatet, som er smart skjult der, hvor skærmens polstring skulle være.”

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Implantatet omfatter typisk en mikrocontroller, et mobil- eller LTE-modul, et eSIM og en antenne. Når enheden genererer sin recovery phrase på 24 ord under den indledende opsætning, kan modulet genskabe ordene fra pixelstrømmen og sende dem via mobilnettet. Da det secure element forbliver ægte, går Ledgers “Genuine Check” stadig igennem. Derfor har en typisk bruger næsten ingen chance for at opdage et problem.

Et distributionsproblem, ikke en fabriksfejl

Ledger har oplyst, at hændelsen er begrænset til enheder solgt gennem CryptoBilis, en autoriseret forhandler, der opererer i Indonesien, Malaysia og Filippinerne. På nuværende tidspunkt er der ingen tilfælde, der viser problemer med enheder købt direkte fra Ledgers egen butik. Virksomheden bemærker, at ingen global forsyningskæde er immun over for opfangning, når produkterne har forladt fabrikken. CryptoBilis' tidligere medstiftere har oplyst, at virksomheden skiftede ejere tidligere i 2026, og hævder derfor, at de ikke er ansvarlige for disse tømninger.

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Mønstret i on-chain-aktiviteten viser, at flere wallets autoriserer den samme spender inden for få sekunder. Det beviser, at sagerne er eksempler på koordineret adgang til private keys frem for individuelle phishingforsøg. Ledger har dog ikke kædet hver enkelt tømt adresse sammen med et bekræftet implantat, da den interne undersøgelse fortsætter.

Eksperternes gennemgang og tidligere advarsler

Hardwareanalytikere har fastslået, at modulet passivt overvåger ukrypteret displaytrafik uden at angribe det secure element. Ifølge Karpelès og Tibane Labs reducerede senere versioner synlige ledninger. Det bevarede det oprindelige batteri, så enheden kunne bestå en overfladisk inspektion. Eksperterne har præsenteret nye videovejledninger, så brugerne kan kontrollere deres enheder.

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

SlowMists chief information security officer udtalte, at et sådant modul kunne registrere recovery phrases. En fuld forståelse af de væsentligste bagvedliggende årsager kræver dog en undersøgelse. Skandalen førte også til nye phishingforsøg: falske Ledger-websites og apps dukkede op i søgeresultaterne. Ledgers repræsentanter mindede om, at virksomheden aldrig vil bede en bruger om vedkommendes frase på 24 ord.

Konsekvenser for cold storage

Hardware wallets betragtes traditionelt som guldstandarden for selvforvaltning, fordi private keys ikke forlader enheden. Denne skandale viser dog en ny type risiko, der kan opstå i distributionsleddet. Ledger oplyser, at virksomheden “arbejder på yderligere, forbedrede løsninger mod manipulation” og råder brugerne til kun at købe fra officielle kanaler samt visuelt inspicere walletsen før opsætning. 

Se opslag på X Indlæser...

Tweetet blev slettet af forfatteren.

Men vi gemte alt 🙂.

Forensisk arbejde vil afdække tabenes fulde omfang, da der er stor sandsynlighed for, at mange tilfælde stadig ikke er dokumenteret. Derfor anbefaler vi at betragte enhver enhed fra den berørte kanal som potentielt kompromitteret. Hvis midler kan være i fare, så opret en ny seed phrase på en pålidelig (ny) wallet.