Ledger hat den Verkauf über Wiederverkäufer in sieben asiatischen Märkten gestoppt, nachdem bestätigt wurde, dass Hardware-Wallets, die CryptoBilis verkauft hat, physisch so manipuliert worden waren, dass sie die 24-Wörter-Wiederherstellungsphrasen der Kunden erfassten und an einen unbefugten Dritten übermittelten.
Laut einem BleepingComputer-Bericht vom 14. Oktober 2026 hat Ledger am 9. Oktober eine Untersuchung eingeleitet, nachdem mehrere Nutzer über Kryptowährungsverluste berichtet hatten. Der Bericht nennt weder Verlustzahlen noch eine Zahl betroffener Kunden.
Ledger teilte mit, dass jeder bestätigte Verlust ein Gerät betraf, das CryptoBilis verkauft hatte, einen Wiederverkäufer in Südostasien. Nutzer haben außerdem verdächtige Geräte aus anderen Vertriebskanälen in Asien und Europa gemeldet. Ledger hat diese Fälle jedoch nicht bestätigt.
Eine separate Komponente erfasst die Seed-Phrase
Das Donjon-Sicherheitsteam von Ledger stellte fest, dass die veränderten Wallets einen zusätzlichen Mikrocontroller enthielten. Das Implantat erkennt die 24-Wörter-Wiederherstellungsphrase, die bei der Einrichtung oder Wiederherstellung des Wallets eingegeben wird, dekodiert sie und sendet sie über eine LTE-Verbindung mit einer eingerichteten eSIM.
Laut Donjon verändert die Komponente weder das Secure Element noch das Betriebssystem von Ledger. Auch die Verarbeitung von Transaktionen und Signaturen bleibt unverändert.
Diese Bauweise hat eine erhebliche Folge für die Abwehr: Die Integritätsselbstprüfungen von Ledger können das Implantat nicht erkennen, weil die legitimen Sicherheitskomponenten und die Software unversehrt bleiben. Ein Gerät kann diese Prüfungen daher bestehen, während eine zusätzliche Komponente die Wiederherstellungsphrase überwacht.
Laut dem Bericht stimmen die technischen Befunde in großen Teilen mit früheren Berichten von Mark Karpelès und Tibane Labs überein.
Für alle, bei denen bestätigt ist, dass sie ein manipuliertes Gerät verwendet haben, gilt: Der dokumentierte Zweck des Implantats bedeutet, dass die Wiederherstellungsphrase als offengelegt betrachtet werden sollte. Das Risiko betrifft die Kontrolle über das Wallet selbst. Wer die Phrase in die Hände bekommt, kann das Wallet damit an einem anderen Ort wiederherstellen.
Verkäufe in sieben Märkten ausgesetzt
Ledger hat Wiederverkäufer und Händler aufgefordert, den Verkauf seiner Wallets einzustellen und bestehende Produkte aus den Regalen zu nehmen, und zwar in:
- Indonesien
- Singapur
- Thailand
- den Philippinen
- Vietnam
- Malaysia
- Hongkong
Die Aussetzung soll so lange bestehen bleiben, wie die Untersuchungen zur Gerätesicherheit andauern. Der Bericht beschreibt die Maßnahme zugleich als Bitte an Verkäufer und als umfassenderen Stopp, der Distributoren in diesen Märkten betrifft.
Ledger hält daran fest, dass seine Infrastruktur, seine Dienste, interne Systeme und der Direktvertriebskanal weiterhin sicher nutzbar sind. Das ist die Position des Unternehmens. Die bislang beschriebene, bestätigte Manipulation betrifft Geräte, die über CryptoBilis vertrieben wurden.
Außerdem berichten Nutzer, Wallets bei dem Technikhändler Metapod an einem Flughafen in Singapur und über MediaMarkt in Europa gekauft zu haben, die manipuliert gewesen seien. Ledger hat diese Angaben nicht bestätigt. MediaMarkt bezieht Ledger-Geräte über die Aqipa GmbH und hat das Produkt nach den Berichten aus den Regalen genommen.
Trezor verkleinert vorsorglich sein Wiederverkäufernetz
Trezor erklärte, es habe keine Hinweise darauf gefunden, dass die eigenen Wallets kompromittiert wurden. Das Unternehmen plant dennoch, sein Wiederverkäufernetz zu verkleinern, einen aktualisierten rechtlichen Rahmen einzuführen und die Aufsicht darüber zu verstärken, wie Geräte beschafft, gelagert und behandelt werden.
Laut einem Schreiben an betroffene Verkäufer enden die entsprechenden Partnerschaften mit Wiederverkäufern am 1. Januar 2027, wenn ihre Berechtigung zum Verkauf von Trezor-Geräten widerrufen wird.
Für Ledger-Kunden ist der Kaufkanal inzwischen ein entscheidender Teil der Einschätzung des eigenen Risikos. Geräte, deren Herkunft von CryptoBilis bestätigt ist, fallen unter den identifizierten Vorfall. Berichte über andere Verkäufer bleiben dagegen unbestätigt. Die eingebaute Integritätsprüfung von Ledger allein kann das von Donjon beschriebene Implantat nicht ausschließen.
