Verstecktes Mobilfunk-Implantat in Ledger-Wallets: Wie über Wiederverkäufer verkaufte Hardware Wallets rund 93 Millionen Dollar abbuchten
Ledger bestätigte am 10. Oktober 2026, dass manipulierte Hardware Wallets, die über den südostasiatischen Wiederverkäufer CryptoBilis verkauft worden waren, ein unbefugtes Hardware-Implantat enthielten, das beim Einrichten des Geräts die Wiederherstellungsphrasen der Nutzer erfassen sollte. Das Unternehmen machte den Befund über seinen Support-Account öffentlich. Es handelte sich nicht um einen Firmware-Fehler oder einen Phishing-Trick, sondern um zusätzliche Schaltkreise, die in echte Geräte eingebaut worden waren - irgendwo auf dem Weg vom Hersteller zum Käufer.
Ein Implantat hinter dem Display
Laut der Bestätigung von Ledger und einer technischen Analyse von PhishFort saß das Implantat hinter dem Display des Geräts und tippte auf die Datenleitungen des Bildschirms ab. Diese Position erlaubte es, alles mitzulesen, was auf dem Bildschirm erschien - darunter die beim ersten Setup erzeugte 24 Wörter umfassende Wiederherstellungsphrase. Die Kompromittierung erforderte also weder einen infizierten Computer noch eine schädliche App: Die Wallet selbst zeichnete die Seed-Wörter in dem Moment auf, in dem sie erzeugt wurden. Wie CoinDesk am 13. Oktober berichtete, beschrieb Ledger die Komponente als Spionage-Chip, der die erfassten Wallet-Keys über ein Mobilfunknetz übertrug. Ein solcher Out-of-Band-Kanal hängt weder vom Rechner noch von der Internetverbindung des Opfers ab, was die Exfiltration schwer bemerkbar machte. Die physischen Beweise passen dazu: wie Help Net Security berichtete, fand sich bei der nachträglichen Untersuchung eines bereits geleerten Geräts ein Implantat auf der Rückseite. Keine der veröffentlichten Analysen nennt, wer das Implantat gebaut hat oder an welcher Stelle der Lieferkette die Geräte verändert wurden. Was die Untersuchungen zeigen, ist eine Veränderung, die klein genug war, um der Sichtprüfung zu entgehen, und unauffällig genug, um den normalen Betrieb der Wallet nicht zu stören. Gerade diese Kombination aus minimalem Fußabdruck, voller Funktion und verdeckter Übertragung macht Hardware-Implantate so schwer nachträglich zu erkennen. Eine echt aussehende Wallet, ein normaler Setup-Ablauf und eine Komponente hinter dem Display, die die Seed-Phrase mitliest, sobald sie erscheint - das ist das Profil dieses Vorfalls.
Das Ausmaß der Verluste
Die Blockchain-Analysefirma Bitquery schätzte am 11. Oktober, dass sich die mutmaßlichen Verluste auf 93,2 Millionen Dollar über 315 Wallets auf sechs Blockchains belaufen, davon rund 70,5 Millionen Dollar auf TRON. Diese Zahlen stammen aus der On-Chain-Analyse von Bitquery und sind von Ledger nicht bestätigt; sie sind als Analystenschätzung und nicht als vom Unternehmen verifizierte Summen zu lesen. Analysten verfolgten, wie gestohlene Mittel in den Tagen nach dem Bekanntwerden durch Tornado Cash wanderten; laut der Zusammenfassung bei Tarnkappe waren per 11. Oktober noch rund 81 Millionen Dollar on-chain nachverfolgbar. Auf den Abfluss folgten zwei Eindämmungsschritte: Tether frierte rund 10 Millionen USDT ein, die mit dem Diebstahl in Verbindung stehen, und etwa 5,35 Millionen USDC wurden zum Einfrieren identifiziert. CryptoBilis stoppt das gesamte Hardware-Sortiment
CryptoBilis, der Wiederverkäufer, über den die manipulierten Geräte zu Käufern in Indonesien, Malaysia und auf den Philippinen gelangten, hat nach Bekanntwerden des Problems das gesamte Hardware-Wallet-Sortiment gestoppt. Ledgers Bestätigung ordnet die manipulierten Geräte dem Bestand zu, der über diesen Wiederverkäufer verkauft wurde. Der Fall zeigt, warum der Verkaufsort genauso viel zählt wie der Hersteller. Ein echtes Gerät, das über einen unbefugten Zwischenhändler läuft, kann geöffnet, manipuliert und wieder versiegelt werden - mit Hardware, die von außen unsichtbar bleibt. Auch eine versiegelte Verpackung bietet wenig Gewähr, denn eine neu versiegelte Schachtel ist von fabrikneu versiegelter kaum zu unterscheiden. Wer über Drittanbieter-Shops, Marktplätze oder Wiederverkäufer kauft, erbt die Integrität, die diese Zwischenhändler wahren - oder ihr Fehlen. Was das für das Vertrauen in die Hardware-Lieferkette bedeutet
Hardware Wallets leben von einer einfachen Annahme: Das Gerät in der Hand tut exakt das, was die Firmware vorgibt, und nichts anderes. Physische Manipulation bricht diese Annahme auf einer Ebene, die kein Software-Scan erreicht. Das Implantat in diesem Fall änderte weder Aussehen noch Verhalten der Wallet; die Nutzer sahen einen normalen Bildschirm und einen normalen Setup-Ablauf, während eine Komponente hinter dem Display die Seed-Phrase mitkopierte und still übertrug. Die praktischen Lehren sind unspektakulär. Hardware Wallets direkt beim Hersteller oder bei einem autorisierten Händler kaufen. Jedes Gerät, das vorkonfiguriert ankommt - mit ausgedruckter Wiederherstellungsphrase oder voreingestellter PIN - als kompromittiert behandeln und entsorgen. Das Gerät selbst initialisieren, eine frische Wiederherstellungsphrase erzeugen und die Echtheit der Software prüfen, die man damit einsetzt - dieselbe Disziplin, die in unserem Artikel zum sauberen Verifizieren von Downloads beschrieben wird, gilt für Wallet-Werkzeuge genauso wie für alles andere, was über Tor geladen wird. Für alle, die eine Ledger über CryptoBilis bezogen haben, sollte die Arbeitsannahme lauten: Die Wiederherstellungsphrase wurde erfasst. Die Gelder gehören auf eine Wallet, die auf einem verifizierten Gerät eingerichtet wurde, und die alte Seed gilt als verbrannt. Dieser Grundsatz gilt über den Fall hinaus: Eine Wiederherstellungsphrase existiert an genau einem Ort, wird vom Besitzer erzeugt, nie vorbedruckt und nie wiederverwendet.
