1. Op 10 oktober 2026 bevestigde Ledger dat een van de getroffen apparaten een ongeautoriseerde hardware-implantatie bevatte. Dit onderzoek is gestart na meldingen van klanten die cryptocurrency misten uit wallets, geassocieerd met apparaten die via de Zuidoost-Aziatische wederverkoper CryptoBilis waren gekocht.
2. CryptoBilis bedient de markten in Indonesië, Maleisië en de Filippijnen.
3. Op 11 oktober 2026 meldde Ledger dat alle bevestigde gevallen die verband hielden met het incident van 9 oktober 2026, betrekking hadden op apparaten die via CryptoBilis waren verkocht.
4. CryptoBilis is gestopt met de verkoop van alle hardware wallets in afwachting van het onderzoek.
5. Het aantal getroffen apparaten is beperkt en Ledger's eigen systemen en directe verkoopkanalen bleven onaangetast.
6. Een hardware wallet, gelinkt aan gemelde geldverliezen, bevatte een ongeautoriseerde hardware-implantatie.
7. Gemelde componenten van de implantatie omvatten een kleine printplaat, een microcontroller, een antenne, een LTE-chip en een eSIM.
8. Onderzoekers hebben mogelijke implantaties beschreven die het walletscherm monitoren en de herstelzin via een mobiele verbinding verzenden. Een herstelzin maakt het mogelijk om een wallet te herstellen en de fondsen te beheren.
9. Deze bevindingen zijn observaties van onderzoekers en geen bevestigde technische uitleg door Ledger.
10. De implantatie brengt zorgen over de beveiliging van de toeleveringsketen met zich mee.
11. Het onderzoek moet nog vaststellen waar de manipulatie heeft plaatsgevonden, hoeveel apparaten zijn aangepast en welke verliezen direct verband houden met de bevestigde implantatie. Ledger heeft niet publiekelijk geïdentificeerd wie de ongeautoriseerde hardwarecomponent heeft geïnstalleerd.
12. Ledger heeft niet bevestigd hoe de implantatie werkte of dat deze verantwoordelijk was voor elke gemelde diefstal.
13. Schattingen van mogelijke verliezen lopen op tot boven de 86 miljoen dollar aan Bitcoin, Ethereum en Tron. Deze schatting is niet onafhankelijk bevestigd en Ledger heeft geen definitief verliesbedrag vastgesteld.
14. Hardware wallets houden normaal gesproken private keys offline, wat de blootstelling aan malware vermindert. Een fysieke implantatie creëert een ander risico, waarbij een toegevoegd onderdeel informatie tijdens de configuratie kan targeten.
15. Ledger neemt contact op met getroffen klanten.
16. Ledger adviseert kopers van CryptoBilis om ongebruikte apparaten niet te initialiseren. Klanten die de configuratie al hebben voltooid, wordt geadviseerd om activa over te zetten naar een nieuw apparaat van Ledger en een nieuw gegenereerde herstelzin te gebruiken. Het hergebruiken van de oude herstelzin zou het risico op blootstelling niet wegnemen.
17. Betrokken gebruikers worden geadviseerd contact op te nemen met officiële Ledger Support en verdachte diefstal te melden bij de lokale wetshandhaving. Ledger waarschuwt dat oplichters mogelijk misbruik maken van het incident. Ledger zal nooit bellen, directe berichten sturen of vragen naar de 24-woordige herstelzin van een klant.
18. Ledger werkt samen met relevante autoriteiten.
19. Een eerdere melding van valse Ledger-apps gericht op macOS-gebruikers toont aan dat criminelen ook via softwaretricks naar deze geheimen zoeken. PoisonSeed phishingcampagnes hebben valse wallet upgrade-pagina's gebruikt om herstelzinnen te verzamelen.
20. Een apart bericht claimde dat een aangepast apparaat was gekocht van een officiële wederverkoper in Europa, en dat die wallet geen fondsen had verloren. Ledger heeft deze claim niet bevestigd.
21. Het bedrijf beoordeelt de controles van wederverkopers en de beveiliging van hardware. Distributeurs wordt eraan herinnerd alleen via geautoriseerde kanalen te kopen en nooit geretourneerde producten opnieuw op voorraad te nemen.