Ledger untersucht Diebstähle von Kryptowährungen im Wert von über 86 Millionen Dollar, die mit manipulierten Hardware Wallets in Südostasien in Verbindung stehen. Am 12. Oktober bestätigte das französische Unternehmen, dass ein autorisierter Wiederverkäufer namens CryptoBilis kompromittierte Geräte verkauft hatte. In mindestens einem betroffenen Gerät fand Ledger ein nicht autorisiertes Hardware-Implantat.
Die Manipulation erfolgte nicht bei Ledger selbst, sondern in der Lieferkette des Wiederverkäufers. CryptoBilis hat den Verkauf von Hardware Wallets inzwischen eingestellt. Der On-Chain-Ermittler Specter schätzt die Verluste auf über 86 Millionen Dollar. Die meisten Fälle konzentrieren sich auf Südostasien, insbesondere Thailand, Vietnam und Singapur.
Hardware-Implantat fing Seed Phrases ab
Die kompromittierten Geräte stammen aus Käufen der letzten 90 Tage. Ledger rät jedem, der in diesem Zeitraum ein Gerät von CryptoBilis erworben hat, es nicht einzurichten. Das Hardware-Implantat konnte die Seed Phrase abfangen, die beim Ersteinrichten des Geräts generiert wird. Mit dieser Phrase erhielten die Angreifer vollständigen Zugriff auf die Wallet.
Hardware Wallets gelten als sicherste Methode zur Krypto-Verwahrung, weil private Schlüssel das Gerät nie verlassen. Die Manipulation durchbrach diese Sicherheit auf physischer Ebene. Das Implantat saß zwischen dem sicheren Element des Ledger-Chips und der Außenwelt. Bei der Einrichtung generiert das Gerät eine 24-Wörter-Seed-Phrase, die das Implantat kopierte und vermutlich über Bluetooth oder eine versteckte SIM-Karte an die Angreifer übertrug.
Ledger prüft seine Geräte bei der Herstellung, aber nicht erneut, wenn sie einen autorisierten Wiederverkäufer verlassen. Die Manipulation muss nach dem Verlassen der Ledger-Fabrik erfolgt sein. CryptoBilis kaufte die Geräte regulär bei Ledger und veränderte sie anschließend.
Deutsche Perspektive: Self-Custody unter MiCA
In Deutschland unterliegen Hardware Wallet-Hersteller nicht direkt der BaFin-Aufsicht, da sie keine Verwahrungsdienstleistung anbieten. Die MiCA-Verordnung regelt ebenfalls nur Dienstleister, nicht die Wallets selbst. Allerdings warnt die BaFin regelmäßig vor Risiken der Self-Custody. In einer Mitteilung vom 29. September 2026 listete die Behörde 39 nicht lizenzierte Krypto-Plattformen auf.
Der Ledger-Vorfall zeigt, dass Self-Custody nur so sicher ist wie die Lieferkette. Deutsche Nutzer können Hardware Wallets direkt von Ledger, Trezor oder anderen Herstellern bestellen. Der Kauf über Drittanbieter spart manchmal Versandkosten, erhöht aber das Risiko.
Nach Paragraf 23 EStG bleiben Krypto-Gewinne nach einem Jahr Haltefrist steuerfrei. Allerdings gilt die Haltefrist nicht, wenn die Krypto gestohlen wird. Der Verlust ist steuerlich nicht absetzbar, da es sich nicht um einen Veräußerungsvorgang handelt.
Was Ledger-Nutzer jetzt tun sollten
Ledger empfiehlt vier Schritte: Erstens den Kaufbeleg prüfen. Wenn das Gerät direkt von Ledger.com kam, ist es nicht betroffen. Zweitens: Bei einem Kauf von einem Wiederverkäufer in Südostasien die Krypto sofort auf eine neue Wallet übertragen. Drittens: Das alte Gerät nicht mehr einrichten. Viertens: Den Kauf an [email protected] melden.
Dies ist nicht das erste Mal, dass Ledger mit Sicherheitsproblemen konfrontiert ist. Im Dezember 2020 wurden 272.000 Kundendaten aus der Ledger-Marketing-Datenbank gestohlen. Der aktuelle Vorfall ist gravierender, weil echte Geräte manipuliert wurden. Die Diebstähle betrafen nicht Ledgers Server, sondern die physischen Produkte in den Händen der Nutzer.
Ledger kündigte an, sein Wiederverkäufer-Programm zu überprüfen. Die Herausforderung liegt darin, dass das Unternehmen die Geräte nach dem Verkauf an Wiederverkäufer nicht mehr kontrolliert. Für die Krypto-Branche ist der Vorfall eine Erinnerung, dass Hardware Wallets nur eine Komponente der Sicherheit sind. Die physische Integrität des Geräts, die Sicherheit des Kaufkanals und die Aufbewahrung der Seed Phrase sind gleichermaßen wichtig.