Ledger-wallets uit schappen in 7 Aziatische markten door onderzoek spionagechips

Zeven markten worden stilgelegd

In een update over het incident, gepubliceerd op 13 oktober, verklaarde de Franse fabrikant van hardware-wallets:

[We are] dat wederverkopers en distributeurs in Zuidoost-Azië en Hongkong wordt gevraagd de verkoop van Ledger-apparaten op te schorten zolang het onderzoek loopt. Dit houdt ook in dat producten uit de schappen moeten worden gehaald.

De stop geldt voor Indonesië, Singapore, Thailand, de Filippijnen, Vietnam, Maleisië en Hongkong. Dit is een aanzienlijke uitbreiding ten opzichte van de oorspronkelijke reactie, die gericht was op één enkele regionale wederverkoper.

Ledger was voorzichtig met het beperken van de reikwijdte van zijn verklaring en merkte op dat, naarmate het onderzoek vordert, de enige bevestigde incidenten beperkt blijven tot Zuidoost-Azië. Het bedrijf verduidelijkte verder:

We hebben geen gegevensverlies vastgesteld dat verband houdt met een apparaat dat elders is gekocht. Er zijn geen aanwijzingen dat de infrastructuur, systemen of diensten van Ledger, noch het directe verkoopkanaal, zijn gecompromitteerd.

Ten slotte zei het bedrijf dat Ledger Donjon, het eigen beveiligingsonderzoeksteam, de ontvangen apparaten zal analyseren om erachter te komen wie er met de hardware heeft geknoeid en waar in de distributieketen dit is gebeurd.

Hoe de Ledger-spionagechip-saga is ontstaan

De crisis kwam op 9 oktober aan het licht, toen gebruikers meldden dat cryptovaluta werd weggesluisd uit wallets die waren gekocht via Cryptobilis, een wederverkoper die actief is in Zuidoost-Azië. Ledger vroeg Cryptobilis om alle verkopen en verzendingen op te schorten, en de vermoedelijke verliezen worden sindsdien geschat op maar liefst 93,4 miljoen dollar.

Vervolgens bevestigde Ledger op 10 oktober de aanwezigheid van een verborgen hardware-implantaat in het apparaat van een getroffen gebruiker. Het implantaat kon de 24-woordige herstelzin lezen die tijdens de installatie wordt getoond en deze via LTE met behulp van een eSIM naar aanvallers verzenden.

De onrust sloeg vervolgens over naar Europa en een gebruiker meldde dat hij een verborgen implantaat had gevonden in een Ledger die was gekocht bij een Mediamarkt-winkel in Duitsland, en Mark Karpeles, voormalig CEO van Mt. Gox, merkte op dat de antenne was gelabeld als een „Euraziatische versie“. Op 13 oktober stopte Mediamarkt Saturn volledig met de verkoop van Ledger-apparaten, een maatregel die het bedrijf naar eigen zeggen steunde, naar aanleiding van de melding van een implantaat door een klant in Duitsland.

Ledger verklaarde dat er in dat geval geen verlies van geld was gemeld.

Ook concurrerende aanbieders zijn alert geworden: Trezor heeft aangekondigd dat het vanaf 1 januari 2027 een aantal samenwerkingsverbanden met wederverkopers zal beëindigen om een netwerk op te bouwen dat „klein genoeg is om elke overblijvende partner te kunnen doorlichten en controleren“, hoewel het bedrijf benadrukte dat er geen bewijs is dat zijn eigen apparaten zijn gecompromitteerd.

Wat kopers van Ledger nu moeten doen

Klanten die in de afgelopen 90 dagen bij Cryptobilis hebben gekocht, mogen ongebruikte apparaten niet in gebruik nemen, en iedereen die dat al heeft gedaan, moet zijn geld overzetten naar een nieuwe wallet met een nieuwe herstelzin. Gebruikers met vragen over een apparaat kunnen contact opnemen met Ledger via het officiële ondersteuningskanaal.

Het bedrijf waarschuwde ook dat oplichters de neiging hebben om misbruik te maken van incidenten zoals deze en plaatste vervolgens de volgende waarschuwing:

"Ledger zal je nooit bellen, je rechtstreeks een bericht sturen of om je herstelzin van 24 woorden vragen. Veel beweringen en cijfers die online circuleren, zijn niet geverifieerd."