De aanvallers hoefden Ledgers software of beveiligde chip niet te kraken. Een extra onderdeel in het apparaat onderschepte de herstelwoorden terwijl die op het scherm verschenen.
Meer dan 20.000 Nederlanders ontvangen ons cryptonieuws via WhatsApp. Sluit je gratis aan.
In het kort:
- Een verborgen chip las de 24 herstelwoorden af tijdens de installatie.
- De woorden werden via een ingebouwde eSIM en een mobiel LTE-netwerk doorgestuurd.
- Kopers bij CryptoBilis moeten een nieuw apparaat met een volledig nieuwe herstelzin gebruiken.
Verborgen chip keek mee met het scherm
Volgens een onderzoeksupdate van Ledger zat de kwaadaardige module in de behuizing van het apparaat. Een kleine computerchip herkende en ontcijferde de woorden die tijdens de eerste installatie op het scherm werden getoond. Daarna verstuurde de module de gegevens via een eigen eSIM over het mobiele netwerk.
Update from Ledger Donjon on the CryptoBilis investigation 🔽@DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…
— Ledger (@Ledger) October 13, 2026
Daardoor was geen internetverbinding via de telefoon of computer van het slachtoffer nodig. Het apparaat kon aan de buitenkant normaal lijken en gewoon transacties ondertekenen. De aanval richtte zich namelijk niet op het beveiligde onderdeel waarin de privésleutels worden gemaakt, maar op de verbinding met het scherm.
Ledger spreekt daarom van een aanval op de toeleveringsketen: de apparaten zijn aangepast voordat ze bij de klant terechtkwamen. Het bedrijf zegt dat zijn eigen software, interne systemen en rechtstreekse verkoopkanalen niet zijn getroffen.
Tot dusver zijn alle door Ledger bevestigde verliezen verbonden aan apparaten die via CryptoBilis zijn verkocht.
Herstelzin geeft volledige toegang
De 24 woorden vormen de hoofdsleutel van een crypto wallet. Wie de herstelzin bezit, kan dezelfde wallet op een ander apparaat openen en de cryptomunten verplaatsen. De fysieke Ledger hoeft daarvoor niet meer in handen van de aanvaller te zijn.
Dat verklaart waarom slachtoffers niets verdachts hoefden te zien tijdens het gebruik. De echte Ledger-chip maakte een geldige, willekeurige herstelzin aan, maar het verborgen onderdeel keek mee op het enige moment dat die zin leesbaar in beeld kwam. Ledger heeft het totale aantal slachtoffers en het gestolen bedrag niet bevestigd.
CryptoBilis-kopers moeten nieuwe woorden maken
CryptoBilis heeft de verkoop van Ledger-apparaten stopgezet. Klanten die daar een apparaat kochten maar het nog niet installeerden, krijgen het advies dit niet alsnog te doen.
Wie het apparaat al gebruikt, moet de cryptomunten verplaatsen naar een nieuw apparaat met een nieuw aangemaakte herstelzin. De oude 24 woorden opnieuw gebruiken maakt die stap zinloos.
In Europa haalde MediaMarkt Ledger-wallets uit de verkoop na de eerste meldingen. Ledger zegt nog meldingen over mogelijke aanpassingen bij andere apparaten en verkooppunten te onderzoeken. Vooralsnog heeft het bedrijf geen diefstal bevestigd bij een apparaat dat via een ander kanaal is gekocht.