Ledgers spionagechip-schandaal: zijn hardware wallets nog veilig voor cold storage?

​Ledger bevestigde een ongeautoriseerd hardware-implantaat in een apparaat van een klant, gekoppeld aan meer dan $86 miljoen aan cryptoverliezen. Dit legt een ernstige kwetsbaarheid in de toeleveringsketen van hardware wallets bloot. Nader onderzoek naar de Zuidoost-Aziatische reseller CryptoBilis zal de risico’s van fysieke manipulatie en manieren om cold wallets weer de status van veiligste methode voor crypto-opslag te geven, duidelijk maken.

Bevestigd implantaat en de omvang van de verliezen

Ledgers bevestiging van een ongeautoriseerd hardware-implantaat heeft veel verborgen problemen met zijn wallets blootgelegd. De grootste risico’s worden gezien bij kopers die apparaten via de Zuidoost-Aziatische reseller CryptoBilis hebben gekocht. Ledger stelt dat zijn systemen geen kwetsbaarheden hebben. Blockchainanalisten van Bitquery telden ongeveer $93,2 miljoen dat uit 315 wallets op Tron, Bitcoin, Ethereum, BNB Chain, Polygon en Solana werd gestolen. Tether bevroor ongeveer $10 miljoen aan gerelateerde USDT. Ledger heeft deze cijfers nog niet bevestigd. 

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Op 10 oktober plaatste Ledger Support een situatie-update met de verklaring: 

“Ledger kan bevestigen dat een van de apparaten van de getroffen gebruikers een ongeautoriseerd hardware-implantaat bevatte.” 

Het bedrijf werkt samen met de autoriteiten en het beveiligingscollectief SEAL 911. Het heeft CryptoBilis verzocht alle verkopen van hardware wallets stop te zetten. 

“We hebben geen aanwijzingen dat Ledgers beveiligingsinfrastructuur, systemen of diensten zijn gecompromitteerd”, voegde de verklaring toe. 

Anatomie van de spionagemodule

Onderzoekers beschrijven een geavanceerde fysieke modificatie waarvoor geen software-exploit of inbreuk op een secure element nodig was. Voormalig Mt. Gox-topman Mark Karpelès onderzocht een in Maleisië gekochte Ledger Nano X en vond een kleine printplaat. 

“Mijn Ledger met spionage-implantaat kwam uit Maleisië en had een onberispelijke krimpfolie”, schreef hij. “Zelfs wanneer je hem opent, zie je het implantaat in eerste instantie niet; het is slim verborgen op de plek waar de schermvulling hoort te zitten.”

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Het implantaat omvat doorgaans een microcontroller, een cellulair- of LTE-module, een eSIM en een antenne. Wanneer het apparaat tijdens de eerste installatie de herstelzin van 24 woorden genereert, kan de module de woorden uit de pixelstroom reconstrueren en via het mobiele netwerk verzenden. Omdat het secure element authentiek blijft, slaagt Ledgers ‘Genuine Check’ nog steeds. Een doorsnee gebruiker heeft dus vrijwel geen kans om een probleem te herkennen.

Een kanaalprobleem, geen fabrieksfout

Ledger heeft verklaard dat het incident beperkt blijft tot apparaten die zijn verkocht via CryptoBilis, een geautoriseerde reseller die actief is in Indonesië, Maleisië en de Filipijnen. Momenteel zijn er geen gevallen bekend van problemen met apparaten die rechtstreeks in Ledgers eigen winkel zijn gekocht. Het bedrijf merkt op dat geen enkele mondiale toeleveringsketen immuun is voor onderschepping zodra producten de fabriek verlaten. De voormalige medeoprichters van CryptoBilis hebben verklaard dat het bedrijf eerder in 2026 van eigenaar is veranderd en stellen daarom niet verantwoordelijk te zijn voor deze ontvreemdingen.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Het patroon van on-chainactiviteit toont dat meerdere wallets binnen enkele seconden dezelfde spender autoriseren. Dit bewijst dat deze gevallen voorbeelden zijn van gecoördineerde toegang tot private keys, en niet van afzonderlijke phishingpogingen. Ledger heeft echter niet elk leeggeroofd adres gekoppeld aan een bevestigd implantaat, aangezien het interne onderzoek voortduurt.

Deskundige analyse en eerdere waarschuwingen

Hardwareanalisten hebben vastgesteld dat de module onversleuteld displayverkeer passief monitort zonder het secure element aan te vallen. Volgens Karpelès en Tibane Labs hadden latere versies minder zichtbare bedrading. Daardoor bleef de oorspronkelijke batterij behouden, zodat deze een oppervlakkige inspectie doorstaat. De experts hebben nieuwe videotutorials gepresenteerd waarmee gebruikers hun apparaten kunnen controleren.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

De chief information security officer van SlowMist verklaarde dat een dergelijke module herstelzinnen kan vastleggen. Een volledig inzicht in de belangrijkste onderliggende oorzaken vereist echter onderzoek. Het schandaal leidde ook tot nieuwe phishingpogingen: valse Ledger-websites en -apps verschenen in de zoekresultaten. Vertegenwoordigers van Ledger herinnerden eraan dat het bedrijf nooit om de herstelzin van 24 woorden van een gebruiker zal vragen.

Gevolgen voor cold storage

Hardware wallets worden traditioneel beschouwd als de gouden standaard voor self-custody, omdat private keys het apparaat niet verlaten. Dit schandaal toont echter een nieuw type risico dat op distributieniveau kan ontstaan. Ledger zegt te “werken aan verdere, verbeterde oplossingen tegen manipulatie” en adviseert gebruikers alleen via officiële kanalen te kopen en de wallets vóór de installatie visueel te inspecteren. 

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Forensisch onderzoek zal de volledige omvang van de verliezen aantonen, aangezien de kans groot is dat veel gevallen nog niet zijn gedocumenteerd. Daarom raden we aan elk apparaat uit het getroffen kanaal als mogelijk gecompromitteerd te beschouwen. Als fondsen risico kunnen lopen, genereer dan een nieuwe seed phrase op een vertrouwde (nieuwe) wallet.