Ledger onderzoekt diefstal van ruim $86 miljoen na ontdekking gemanipuleerde hardware wallets

Hardware wallet fabrikant Ledger onderzoekt berichten over de diefstal van meer dan $86 miljoen aan crypto bij klanten in Zuidoost Azië. De slachtoffers zouden hun apparaten hebben gekocht bij CryptoBilis, een officiële reseller van Ledger. Onderzoek naar een aangepast apparaat laat zien hoe criminelen mogelijk toegang krijgen tot geheime herstelzinnen, zonder dat de gebruikelijke controle van Ledger iets verdachts ontdekt. Ledger vraagt de verkoper inmiddels om alle verkopen en verzendingen tijdelijk stop te zetten.

Verborgen chip kan herstelzinnen onderscheppen

De zaak komt aan het licht wanneer Mark Karpelès, bekend van de voormalige Bitcoin exchange Mt. Gox, een aangepaste Ledger Nano X onderzoekt.

In het apparaat, afkomstig uit Maleisië, ontdekt hij een extra printplaat achter het scherm. Deze bevat volgens zijn bevindingen een LTE modem en een eSIM.

De constructie is bijzonder gevaarlijk. Wanneer een gebruiker een nieuwe wallet instelt, verschijnen de 24 woorden van de herstelzin op het scherm. De verborgen elektronica zou deze informatie kunnen onderscheppen en via een mobiele verbinding doorsturen.

Met die woorden kan een aanvaller de wallet op een ander apparaat herstellen en toegang krijgen tot de crypto.

De normale echtheidscontrole van Ledger hoeft zo’n aanpassing niet te herkennen, omdat de originele beveiligingschip intact blijft. Het apparaat kan daardoor authentiek lijken terwijl er extra hardware in zit.

x.com

Miljoenen verdwijnen na opvallende overname

De aandacht richt zich vervolgens op CryptoBilis, een winkel die al jaren hardware wallets verkoopt in onder meer Maleisië, Indonesië en de Filipijnen.

Volgens de gedeelde onderzoeksinformatie staat het bedrijf sinds minstens 2022 geregistreerd als officiële Ledger reseller.

Dit voorjaar verkopen de oorspronkelijke eigenaren de onderneming. De overname zou gepaard gaan met een geheimhoudingsovereenkomst die openbaarmaking tot 19 oktober verbiedt.

In augustus verschijnt volgens de aangehaalde bedrijfsgegevens een nieuwe eigenaar uit de Chinese provincie Heilongjiang, met 100% van de aandelen.

Een rechtstreeks verband tussen deze eigendomsoverdracht en de gemanipuleerde apparaten is echter niet aangetoond.

Kort nadat de ontdekking van Karpelès bekend wordt, vinden grote cryptotransacties plaats. Volgens de gedeelde blockchainanalyse verdwijnen onder meer 203 BTC en ongeveer $58 miljoen aan USDT via Tron.

De totale schade wordt geschat op meer dan $86 miljoen. Een afzonderlijke berekening komt zelfs rond $91 miljoen uit. Deze bedragen zijn nog niet onafhankelijk bevestigd en Ledger noemt in zijn verklaring geen definitief schadebedrag.

Ledger waarschuwt klanten van CryptoBilis

Ledger bevestigt dat het bedrijf meldingen van verdwenen cryptofondsen onderzoekt bij klanten die apparaten via CryptoBilis kopen.

Als voorzorgsmaatregel vraagt Ledger de reseller om alle verkopen en verzendingen stil te leggen.

Klanten die in de afgelopen 90 dagen een apparaat bij CryptoBilis kopen en dit nog niet instellen, krijgen het advies voorlopig te wachten.

Wie het apparaat al gebruikt, krijgt het advies om crypto over te zetten naar een nieuwe wallet met een volledig nieuwe herstelzin, aangemaakt op een betrouwbaar apparaat.

x.com

Vooralsnog wijst de beschikbare informatie op een mogelijk probleem met apparaten uit het verkoopkanaal van deze reseller, niet op een hack van de beveiligingssystemen van Ledger zelf.

De zaak roept wel vragen op over het toezicht op officiële verkooppartners. Een winkel kan jarenlang betrouwbaar opereren, maar na een eigendomsoverdracht onder andere controle komen.

Of Ledger op de hoogte is van de vermeende overname en hoe de aangepaste apparaten precies bij klanten terechtkomen, is nog onduidelijk. Het onderzoek moet daar meer duidelijkheid over geven.