Hardware-Implantate in von CryptoBilis verkauften Ledger-Geräten

Am 9. Oktober 2026 begann Ledger, Guthabenverluste zu untersuchen, die von Personen gemeldet wurden, die Geräte bei CryptoBilis, einem Händler in Südostasien, gekauft hatten, und forderte den Händler auf, Verkauf und Versand einzustellen. Am 13. Oktober beschrieb Ledgers Sicherheitsteam Donjon, was es in einem betroffenen Gerät gefunden hatte: eine im Gehäuse versteckte separate Schaltung, die während der Einrichtung die Wiederherstellungsphrase vom Bildschirm ablas und sie über LTE mittels einer eSIM nach außen sendete.

Laut Ledger veränderte das Implantat weder das Secure Element noch das Betriebssystem, Transaktionen oder Signaturen, und es gibt keine Hinweise darauf, dass Ledgers eigene Systeme kompromittiert wurden. Ledgers Support-Dokumentation weist darauf hin, dass der Genuine Check eine zusätzlich eingebaute Komponente nicht erkennen kann, wenn das originale Secure Element intakt ist. Jeder bestätigte Verlust betraf ein von CryptoBilis verkauftes Gerät. MediaMarkt Saturn setzte den Verkauf von Ledger-Geräten in Europa aus, nachdem ein Kunde in Deutschland ein manipuliertes Gerät gemeldet hatte.

In seiner Stellungnahme vom 15. Oktober bezeichnete Ledger den Vorfall als lokal begrenzten Angriff auf den Vertrieb und nicht als systemischen Lieferkettenangriff, forderte seine autorisierten Händler und Distributoren auf, den Verkauf in Südostasien und Hongkong auszusetzen, und erklärte, dass alle Geräte, die es zur Überprüfung in Geschäften gekauft und geöffnet habe, auch in Deutschland, unauffällig gewesen seien. Ledger hat nicht veröffentlicht, wie viele Geräte oder Nutzer betroffen waren.

Was Ledger empfiehlt:

• Kaufen Sie direkt bei Ledger oder bei einem Händler auf Ledgers Liste autorisierter Händler.
• Richten Sie kein bei CryptoBilis gekauftes Gerät ein. Falls Sie dies bereits getan haben, übertragen Sie Ihre Vermögenswerte auf ein neues Gerät mit einer neu erzeugten Wiederherstellungsphrase.
• Wenn Sie Guthaben verloren haben, wenden Sie sich an die Strafverfolgungsbehörden, bevor Sie das Gerät öffnen.