Wie plaatst backdoors in Ledger crypto-wallets?

Auteur: Kim Zetter Datum: 13 oktober 2026

Gecompromitteerde leveringsketens

Nadat walletmaker Ledger afgelopen vrijdag aankondigde dat een backdoor in een handvol wallets in Zuidoost-Azië dieven in staat stelde om ongeveer 102 miljoen dollar aan crypto te kapen, is er nieuws binnengekomen over andere Ledger-wallets in Duitsland die ook implantaten bevatten.

De hardware-implantaten werden oorspronkelijk gevonden in een onbekend aantal Ledger Nano X-wallets die werden verkocht door CryptoBilis, een geautoriseerde wederverkoper in Maleisië. Ledger verklaarde dat de implantaten waren gevonden in een beperkt aantal apparaten, die allemaal door dezelfde verkoper waren geleverd.

Een eigenaar van een Ledger-apparaat in Europa heeft sindsdien echter aangegeven dat hij een implantaat vond in een Nano X die hij in augustus kocht bij een grote Europese elektronica-keten, en een tweede in een apparaat dat hij afgelopen weekend bij een andere winkel van dezelfde keten kocht. Hij gelooft dat dit erop wijst dat de leveringsketen van Ledger is gecompromitteerd.

Sindsdien hebben gebruikers en onderzoekers ook melding gemaakt van implantaten in Ledger Flex- en Ledger Stax-apparaten, twee van de nieuwere modellen van Ledger die worden gebruikt voor het veilig opslaan van sleutels.

Een verschuiving in tactiek

Implantaten in Ledger-wallets zijn niet voor het eerst ontdekt. De bekende hardware-hacker Joe Grand vond eerder dit jaar implantaten in verschillende Nano X-wallets en bracht Ledger hier in maart van op de hoogte. Dit roept vragen op over de urgentie waarmee Ledger het probleem heeft aangepakt. Veel van de recent ontdekte implantaten lijken geavanceerdere iteraties te zijn van de versies die Grand vond.

De implantaten die Grand ontdekte, zaten in wallets die werden verkocht door niet-geautoriseerde online verkopers die vaak kortstondig actief waren. De implantaten bij CryptoBilis en de Europese elektronicaketen wijzen er echter op dat de aanvallers hun tactiek hebben gewijzigd en nu doelbewust wallets compromitteren die door geautoriseerde wederverkopers worden verkocht.

Hoewel Ledger en concurrent Trezor gebruikers al jaren adviseren om wallets alleen via hun eigen websites of geautoriseerde wederverkopers te kopen, tonen de recente incidenten aan dat aanvallers juist deze kanalen targeten om te profiteren van het vertrouwen van de klant en een bredere distributie te bereiken. Volgens Grand en andere onderzoekers zijn de aanvallers bovendien vaardiger en systematischer geworden, waardoor de implantaten moeilijker te detecteren zijn.

De financiële impact

Het is onduidelijk hoe lang de implantaten al in de verkochte apparaten zaten, maar vorige week leidde een gecoördineerde heist tot de diefstal van miljoenen dollars. Volgens het blockchain-onderzoeksbedrijf Bitquery werd er alleen al bij gecompromitteerde CryptoBilis-apparaten crypto gestolen van ongeveer 315 accounts, met een huidige waarde van circa 102 miljoen dollar. De gestolen fondsen omvatten Bitcoin, Ethereum, Tron en andere cryptocuromen.

Sommige fondsen zijn naar verluidt bevroren in de accounts waar de dieven ze naartoe hebben overgemaakt, en andere fondsen lijken in accounts te staan die zijn gemarkeerd voor fraude. Het is onduidelijk of er ook fondsen zijn gestolen van Ledger-eigenaren die hun apparaten via andere verkopers hebben gekocht.

Reacties van Ledger en wederverkopers

Ledger, gevestigd in Frankrijk, schreef in een verklaring op X dat het CryptoBilis heeft gevraagd alle verkopen en verzendingen van Ledger-apparaten te staken tot er een onderzoek kan worden uitgevoerd. CryptoBilis, dat geautoriseerd is om wallets te verkopen in Maleisië, Indonesië en de Filipijnen, verklaarde op zijn website dat het meewerkt aan het onderzoek.

Ondertussen meldde een gebruiker genaamd Johannes op X dat hij een Ledger Nano X met een implantaat had gekocht bij een MediaMarkt-winkel. MediaMarkt is de Duitse tegenhanger van BestBuy en heeft 1.000 winkels in tien Europese landen; het bedrijf staat geregistreerd als geautoriseerde wederverkoper in Oostenrijk, Duitsland, Spanje en Turkije. Johannes kocht het apparaat in augustus in Duitsland, maar haalde het pas afgelopen weekend uit elkaar na berichten over de implantaten. Hij plaatste foto's van een antenne en een implantaat in zijn apparaat, maar gaf aan dat er geen crypto van hem was gestolen.

Ledger suggereerde in een update op X dat het probleem zou kunnen voortkomen uit het feit dat geautoriseerde wederverkopers wallets betrekken uit illegitieme bronnen of wallets herverkopen die door klanten zijn geretourneerd nadat ze waren gecompromitteerd. Ledger schreef: "We herinneren onze geautoriseerde wederverkopers en distributeurs eraan om producten alleen via geautoriseerde kanalen te betrekken en nooit geretourneerde producten opnieuw in de voorraad op te nemen."

Johannes, die maandag een tweede wallet bij een andere MediaMarkt kocht en ook daarin een implantaat vond, denkt echter dat de leveringsketen van Ledger zelf is gecompromitteerd. Een medewerker van MediaMarkt vertelde hem dat de apparaten nieuw waren en dat retouren worden teruggestuurd naar Ledger, niet worden doorverkocht. Ledger verklaarde op X dat er momenteel "geen aanwijzing is dat de beveiligingsinfrastructuur, systemen of diensten van Ledger zijn gecompromitteerd."

De rol van onderzoekers en de timing van de heist

Toen Joe Grand Ledger in maart informeerde over de implantaten, beloofde het bedrijf onderzoek te doen naar de daders. Volgens Grand ontving hij maandenlang geen update, totdat iemand bij Ledger hem vertelde dat er geen bewijs was dat de implantaten waren gebruikt om crypto te stelen.

In april en mei publiceerde Grand zijn bevindingen online en gaf hij presentaties op conferenties. Mark Karpelès, voormalig CEO van de beurs Mt. Gox, zag dit onderzoek en kocht zelf Ledger-wallets om te zien of hij ook implantaten kon vinden. Hij vond geavanceerdere versies van het implantaat dat Grand had ontdekt en publiceerde zijn bevindingen vorige maand.

De bekendheid van Karpelès zorgde ervoor dat de informatie over de implantaten zich snel verspreidde in de cryptogemeenschap. Dit kan de reden zijn dat de heists vorige week plaatsvonden; de aanvallers hebben mogelijk gewacht tot ze voldoende wallets met grote saldi hadden verzameld, maar besloten nu snel toe te slaan voordat eigenaren hun fondsen konden veiligstellen.

Technische evolutie van de backdoors

Joe Grand begon in augustus 2025 met het onderzoeken van Ledger-wallets nadat iemand op Reddit meldde dat er vreemde elektronica in een Nano X zat, gekocht via een online marktplaats in Thailand.

Hoe het implantaat werkt

Grand ontdekte een extra printplaat, een antenne, een LTE-module en een eSIM. Het implantaat steelt de recovery seeds van geïnfecteerde wallets en verzendt deze naar de aanvallers. Wanneer de eigenaar het apparaat initialiseert en een willekeurige seed phrase genereert, kopieert het implantaat elk teken dat naar het scherm wordt gestuurd. Vervolgens gebruikt het de LTE-module en eSIM om via een nabijgelegen zendmast de seed naar de hackers te verzenden.

De drie generaties implantaten

Mark Karpelès stelde vast dat de implantaten in de loop van de tijd zijn geëvolueerd:

1. Eerste generatie (Prototype): Bestond uit een bundel handgesoldeerde draden die verbonden waren met het scherm van de Nano. Deze waren voor iedereen die het apparaat opende direct zichtbaar.
2. Tweede generatie: Maakte gebruik van een oranje-kleurige, transparante, op maat gemaakte flexibele printplaat die plat over de originele printplaat was gelamineerd. Om ruimte te maken, was de originele batterij vervangen door een kleinere. Deze versies dateren naar schatting van december 2025 of later.
3. Derde generatie: De meest geavanceerde versie. De flexibele printplaat was nu zwart gecoat om op te gaan in de originele printplaat van Ledger. Onderdelennummers waren verwijderd en de originele batterij paste weer. Het enige kenmerk was een dunne zwarte antenne langs de bovenrand van de printplaat. Op de antenne stond het nummer AC-A2016-NANO-V1.1 gedrukt, wat suggereert dat dit een serieproductie is en geen hobbyproject.

Wie zit er achter de aanval?

Er is online discussie ontstaan over de eigenaren van CryptoBilis. De medeoprichter Arravind Prabu ontkende de beschuldigingen en onthulde dat zijn bedrijf begin dit jaar is overgenomen. Hij stelde dat hij en zijn medeoprichter in maart alle toegang tot systemen en management hadden opgegeven. De overname werd echter niet publiekelijk bekendgemaakt vanwege een NDA (geheimhoudingsverklaring) die liep tot medio oktober 2026.

Een anonieme onderzoeker in Japan, die ook met Grand en Ledger heeft gecommuniceerd, deed interessante ontdekkingen. Hij kocht tien Nano X-apparaten via onbevoegde verkopers (waaronder vanuit Maleisië, Thailand en Osaka) en vond in alle apparaten implantaten, variërend in complexiteit.

Door gegevens uit de eSIM's en de firmware van de microcontrollers te analyseren, kon hij de verzending van de gestolen seed-data traceren naar servers in Hong Kong. Deze servers bevinden zich in een datacentrum dat wordt beheerd door Alibaba. In juni communiceerden minstens 90 geïnfecteerde apparaten met deze servers, al wordt vermoed dat het werkelijke aantal veel hoger ligt.

Uitbreiding naar Ledger Flex en Stax

Hoewel de meeste gecompromitteerde apparaten Nano X-modellen waren, zijn er aanwijzingen dat de aanvallers zijn overgestapt op de Ledger Flex en Ledger Stax. Op X verschenen beelden van een gecompromitteerde Stax, en de onderzoeker in Japan meldde dat hij ook implantaten vond in twee Ledger Flex-apparaten. Hij merkte op dat sommige online verkopers in juli of augustus plotseling stopten met het aanbieden van de Nano X en overstapten op de Flex, wat suggereert dat er een specifiek implantaat voor dat model is ontwikkeld.

Impact op de concurrentie: Trezor

Naar aanleiding van de implantaten bij Ledger heeft SatoshiLabs, het Tsjechische bedrijf achter Trezor-wallets, aangekondigd de lijst met goedgekeurde wederverkopers drastisch te inkorten als preventieve maatregel. Danny Sanders, Chief Commercial Officer van Trezor, verklaarde dat er geen enkel bewijs is dat Trezor-apparaten zijn gecompromitteerd.

Hardware-hacker Joe Grand spreekt dit echter tegen. Hij beweert dat hij implantaten heeft gevonden in twee Trezor-apparaten en dit in augustus aan het bedrijf heeft gemeld.