Spy-Chip unter dem Display
Ledger bestätigte am 12. Oktober 2026, dass manipulierte Hardware Wallets über den südostasiatischen Wiederverkäufer CryptoBilis in Umlauf gebracht wurden. Nach Angaben des On-Chain-Analysten Bitquery wurden mindestens $93 Millionen von betroffenen Wallets abgezogen. Die Sicherheitsverletzung begann bereits im Juni 2026, blieb aber monatelang unentdeckt.
Alle bestätigten Fälle betreffen Geräte, die über CryptoBilis verkauft wurden. Ledgers eigene Vertriebskanäle und Systeme sind laut Unternehmensangaben nicht kompromittiert. Das Unternehmen rät Käufern von CryptoBilis-Geräten, diese nicht zu initialisieren. Wer bereits eine Wallet eingerichtet hat, soll alle Assets sofort auf ein neues Gerät mit neuem Seed verschieben.
Technische Details des Angriffs
Mark Karpelès, ehemaliger CEO der Mt. Gox-Börse, kaufte ein manipuliertes Gerät in Malaysia und öffnete es. Unter dem Display fand er eine zusätzliche Platine mit Mikrocontroller, Antenne, LTE-Chip und e-SIM. Laut Karpelès überwacht die Platine das Display und erfasst den Seed Phrase, wenn dieser angezeigt wird. Die Daten werden dann über LTE an den Angreifer übertragen.
Das manipulierte Gerät bestand Ledgers Genuine Check, weil der Security-Chip echt ist. Der einzige zuverlässige Weg, die zusätzliche Platine zu entdecken, ist das physische Öffnen des Geräts. Ledger hat die Existenz des Implantats bestätigt, aber noch keine Details zur Funktionsweise veröffentlicht.
Betroffener Zeitraum weiter als angegeben
Ledger empfiehlt Vorsicht bei Geräten, die in den letzten 90 Tagen über CryptoBilis gekauft wurden. Bitquery stellte jedoch fest, dass die meisten geleerten Wallets ihre ersten Einzahlungen ab Juni 2026 erhielten. Das deutet darauf hin, dass auch früher verkaufte Geräte betroffen sein könnten. Die Diskrepanz zwischen Ledgers 90-Tage-Warnung und Bitquerys Juni-Datum ist erheblich.
Wenn Bitquerys Analyse stimmt, lief die Manipulation mindestens vier Monate unentdeckt. In diesem Zeitraum könnten Hunderte oder Tausende Geräte verkauft worden sein. Die genaue Anzahl betroffener Wallets ist unbekannt. Ledger nennt keine Verkaufszahlen für CryptoBilis, und der Wiederverkäufer selbst schweigt.
CryptoBilis hat nach dem Bekanntwerden des Vorfalls alle Hardware Wallet-Verkäufe gestoppt. Der Wiederverkäufer äußerte sich nicht öffentlich zu den Vorwürfen. Unklar bleibt, ob CryptoBilis wissentlich manipulierte Geräte verkaufte oder selbst Opfer eines Supply-Chain-Angriffs wurde. Die zweite Variante ist wahrscheinlicher, weil ein bewusster Betrug schwerer zu verschleiern wäre.
Genuine Check versagt bei Hardware-Implantaten
Ledgers Genuine Check prüft die Echtheit des Security-Chips über eine kryptografische Signatur. Manipulierte Geräte mit echtem Chip bestehen diesen Test, auch wenn zusätzliche Hardware eingebaut wurde. Der Check schützt vor gefälschten Ledger-Geräten, aber nicht vor echten Geräten mit Spionage-Modulen.
Das Problem betrifft theoretisch alle Hardware Wallets. Jeder Hersteller verwendet einen Security-Chip, der sich verifizieren lässt. Zusätzliche Komponenten außerhalb dieses Chips bleiben unsichtbar, solange sie den normalen Betrieb nicht stören. Ein LTE-Modul, das nur beim Anzeigen des Seeds aktiv wird, fällt bei Routinetests nicht auf.
Experten empfehlen, Geräte vor der ersten Nutzung zu öffnen und auf zusätzliche Platinen zu prüfen. Das erfordert technisches Wissen und macht die Garantie ungültig. Für die meisten Nutzer ist das keine praktikable Lösung. Die Alternative ist, nur bei vertrauenswürdigen Händlern zu kaufen und versiegelte Verpackungen zu prüfen.
Self-Custody unter Beschuss
Der Vorfall zeigt die Risiken von Hardware Wallets beim Kauf über Drittanbieter. Selbst echte Security-Chips schützen nicht vor physischer Manipulation während der Lieferkette. Experten raten, Hardware Wallets nur direkt beim Hersteller zu kaufen und Geräte vor der Nutzung auf Manipulationsspuren zu prüfen.
Für deutsche Anleger, die unter MiCA zunehmend auf Self-Custody setzen, ist die Ledger-Affäre eine Warnung. Die Wahl des Kaufkanals ist mindestens so wichtig wie die Wahl des Geräts. Der Angriff betraf ausschließlich Südostasien, aber die Methode funktioniert überall.