Verborgen mobiel implantaat in Ledger-wallets: hoe via een wederverkoper verkochte hardware wallets zo'n 93 miljoen dollar leeghaalden
Ledger bevestigde op 10 oktober 2026 dat gemanipuleerde hardware wallets die via de Zuidoost-Aziatische wederverkoper CryptoBilis waren verkocht een ongeautoriseerd hardware-implantaat bevatten dat bedoeld was om de herstelzinnen van gebruikers vast te leggen tijdens het instellen van het apparaat. Het bedrijf maakte de bevinding bekend via zijn supportaccount. Het ging niet om een firmwarefout of een phishingtruc, maar om extra elektronica die in echte apparaten was ingebouwd, ergens op de route van fabrikant naar koper.
Een implantaat achter het scherm
Volgens de bevestiging van Ledger en een technische analyse van PhishFort zat het implantaat achter het scherm van het apparaat en tikte het mee op de datalijnen van het display. Die positie maakte het mogelijk alles te lezen wat op het scherm verscheen, inclusief de herstelzin van 24 woorden die bij de eerste installatie werd gegenereerd. Er was dus geen geïnfecteerde computer of kwaadaardige app voor nodig: de wallet zelf legde de seed-woorden vast op het moment dat ze gegenereerd werden. CoinDesk meldde op 13 oktober dat Ledger de component omschreef als een spionagemchip die de onderschepte sleutels verstuurde via een mobiel netwerk. Zo'n out-of-band-kanaal hangt niet af van de computer of internetverbinding van het slachtoffer, waardoor de exfiltratie moeilijk op te merken was. Het fysieke bewijs past bij die beschrijving: zoals Help Net Security meldde, is een implantaat aangetroffen op de achterkant van een al leeggeruimd apparaat dat achteraf werd onderzocht. Geen van de gepubliceerde analyses identificeert wie het implantaat heeft gebouwd of op welk punt in de distributieketen de apparaten zijn aangepast. Wat de onderzoeken wél laten zien, is een aanpassing die klein genoeg was om aan visuele inspectie te ontsnappen en voorzichtig genoeg om de normale werking van de wallet niet te storen. Juist die combinatie van minimale voetafdruk, volledige functionaliteit en heimelijke verzending maakt hardware-implantaten zo moeilijk achteraf te ontdekken. Een wallet die echt lijkt, een normaal installatieverloop en een component achter het scherm die de seed-zin meekopieert zodra deze verschijnt: dat is de vorm van dit incident.
De omvang van de verliezen
Blockchain-analysebedrijf Bitquery schatte op 11 oktober dat de vermoedelijke verliezen uitkomen op 93,2 miljoen dollar verspreid over 315 wallets op zes blockchains, waarvan ongeveer 70,5 miljoen dollar op TRON. Deze cijfers komen uit de on-chain-analyse van Bitquery en worden nog altijd niet door Ledger bevestigd; lees ze daarom als analistenramingen en niet als door het bedrijf geverifieerde totalen. Analisten zagen gestolen fondsen in de dagen na de onthulling via Tornado Cash stromen; volgens de samenvatting bij Tarnkappe was op 11 oktober nog zo'n 81 miljoen dollar on-chain te volgen. Na de uitstroom volgden twee beperkende maatregelen: Tether bevroor ongeveer 10 miljoen USDT die met de diefstal in verband worden gebracht, en zo'n 5,35 miljoen USDC is aangemerkt voor bevriezing. CryptoBilis stopt heel zijn hardware-assortiment
CryptoBilis, de wederverkoper via wie de gemanipuleerde apparaten bij klanten in Indonesië, Maleisië en de Filipijnen terechtkwamen, stopte de verkoop van zijn volledige hardware-wallet-assortiment zodra het probleem aan het licht kwam. De bevestiging van Ledger koppelt de gemanipuleerde apparaten aan de voorraad die via deze wederverkoper werd verkocht. Het geval laat zien waarom het verkooppunt evenveel telt als de fabrikant. Een echt apparaat dat via een ongeautoriseerde tussenpartij gaat, kan worden geopend, aangepast en opnieuw verzegeld met hardware die van buitenaf onzichtbaar is; een verzegelde verpakking biedt weinig garantie, want een opnieuw dichtgeplakte doos is nauwelijks te onderscheiden van een in de fabriek verzegelde. Wie via derden, marktplaatsen of wederverkopers koopt, erft de integriteit die die tussenpartijen in stand houden - of het gebrek daaraan. Wat dit betekent voor vertrouwen in de hardwaretoeleveringsketen
Hardware wallets draaien op één eenvoudige aanname: het apparaat in je handen doet exact wat de firmware zegt en niets anders. Fysieke manipulatie breekt die aanname op een laag waar geen softwarescan komt. Het implantaat in dit incident veranderde niets aan het uiterlijk of gedrag van de wallet; gebruikers zagen een normaal scherm en een normaal installatieverloop, terwijl een component achter het display de seed-zin kopieerde en stilletjes verstuurde. De praktische lessen zijn onopgesmukt. Koop hardware wallets rechtstreeks bij de fabrikant of een geautoriseerde verdeler. Behandel elk apparaat dat voorgeconfigureerd aankomt - met een geprinte herstelzin of een vooraf ingestelde pincode - als gecompromitteerd en gooi het weg. Initialiseer het apparaat zelf, genereer een nieuwe herstelzin en verifieer de authenticiteit van de software die je eraan koppelt: dezelfde discipline die in ons artikel over downloads goed verifiëren staat beschreven, geldt voor wallet-tools net zo zeer als voor alles wat je via Tor ophaalt. Voor wie een Ledger bij CryptoBilis heeft gekocht, geldt als werkhypothese dat de herstelzin is vastgelegd. Breng de fondsen over naar een wallet die op een geverifieerd apparaat is ingericht en beschouw de oude seed als verbrand. Dat principe reikt verder dan dit incident: een herstelzin bestaat op precies één plek, wordt door de eigenaar gegenereerd, is nooit voorbedrukt en nooit hergebruikt.
