Ledger heeft bevestigd dat wallets die via de Maleisische reseller CryptoBilis zijn verkocht, een ongeautoriseerd hardware-implantaat bevatten. Het bedrijf koppelt inmiddels alle gemelde gevallen van verdwenen cryptotegoeden aan apparaten van deze verkoper, die in Zuidoost-Azië optrad als erkende Ledger-reseller voor Indonesië, Maleisië en de Filipijnen.
De zaak kwam vrijdag 9 oktober aan het rollen, toen Ledger een onderzoek opende naar meldingen van verdwenen tegoeden bij gebruikers die via CryptoBilis hadden gekocht, en de reseller vroeg de verkoop en verzending van Ledger-apparaten te pauzeren. Een dag later bevestigde Ledger dat het apparaat van een getroffen gebruiker een ongeautoriseerd hardware-implantaat bevatte. Op 11 oktober koppelde het bedrijf alle gemelde verliezen aan CryptoBilis-apparaten, en op 12 oktober staakte CryptoBilis uit eigen beweging de verkoop van zijn volledige voorraad hardware wallets, niet alleen die van Ledger.
Het implantaat zit verborgen in de behuizing, achter of onder het scherm, en leest mee wat het apparaat tijdens de installatie toont, inclusief de 24-woordige herstelzin. Die gegevens worden via een ingebouwde eSIM over het mobiele netwerk naar de aanvaller gestuurd. Het implantaat raakt het Secure Element of de Ledger-software niet aan en verandert ook geen transacties of handtekeningen: het steelt uitsluitend de herstelzin, waarna de aanvaller op zijn gemak de tegoeden kan leeghalen. Onderzoeksbureau Tibane Labs documenteerde minstens twee technische varianten, waaronder een versie met een STM32G431-microcontroller, een eigen eSIM en een afgeschermde LTE-module, verraden door een antennedraad die over de batterij liep. Een tweede variant paste in de ruimte onder het OLED-scherm en gebruikte de originele batterij, met weggeschraapte chipmarkeringen om identificatie te bemoeilijken. Volgens Tibane Labs dook het implantaat ook op in een exemplaar dat via een externe verkoper op Amazon Japan was gekocht, wat erop wijst dat de besmetting verder reikt dan rechtstreekse CryptoBilis-verkopen alleen.
Ledger zelf spreekt van een beperkt aantal getroffen apparaten en heeft geen totaalbedrag of aantal gedupeerde gebruikers bevestigd. Externe schattingen van onderzoekers lopen uiteen van ongeveer 72 tot 93 miljoen dollar, maar Ledger heeft die cijfers niet geverifieerd. Het bedrijf zegt geen aanwijzingen te hebben dat de eigen interne systemen of infrastructuur zijn gecompromitteerd. Ook elektronicaketen MediaMarkt Saturn pauzeerde de verkoop van Ledger-apparaten in Duitse winkels nadat één klant daar een implantaat aantrof, al zijn in dat geval geen verliezen gemeld.
Ledger adviseert wie in de afgelopen negentig dagen via CryptoBilis heeft gekocht en het apparaat nog niet heeft ingesteld, dat voorlopig niet te doen. Wie dat al wel deed, wordt aangeraden de tegoeden over te zetten naar een nieuw apparaat met een nieuwe herstelzin. De ingebouwde Genuine Check van Ledger kan dit soort fysieke implantaten niet detecteren zolang het Secure Element zelf intact blijft, dus die controle biedt hier geen garantie. Koop hardware wallets daarom alleen bij Ledger zelf of een reseller uit de officiële lijst op de website, en deel nooit de herstelzin met iemand, ook niet met wie zich voordoet als supportmedewerker.
Bron: The Hacker News, BleepingComputer
Wat betekent dit voor jouw bedrijf?
Heeft u een Ledger-wallet gekocht via een wederverkoper in plaats van rechtstreeks bij Ledger of een erkende winkel? Controleer via de officiële resellerlijst op ledger.com of de verkoper erkend is, en stel een nieuw aangeschaft apparaat niet in voordat u zeker weet dat het origineel en ongeopend is.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.