Ledger-implant roept vragen op over Europese retailers
Ledger onderzoekt meldingen van gemanipuleerde hardware wallets in Europa, terwijl de discussie verschuift naar retailers als MediaMarkt en de rol van distributeur Aqipa.
Korte samenvatting
- Ledger ligt onder vuur nadat gebruikers meldingen deden van gemanipuleerde apparaten in Europa, terwijl het bedrijf vooral reseller CryptoBilis noemde.
- Het implantaat zou tijdens de installatie de recovery phrase van het scherm lezen en via een mobiele verbinding doorsturen.
- Ledger vraagt gedupeerden contact op te nemen met Support en aangifte te doen, maar gaf geen informatie over schadevergoeding of totale verliezen.
Ledger ligt onder vuur nadat het bedrijf in een update opnieuw vooral wees naar reseller CryptoBilis. Tegelijk meldden gebruikers binnen enkele minuten dat ook in Europa gemanipuleerde apparaten opdoken. De discussie gaat niet alleen over waar de tamperende signers zijn verkocht, maar ook over wie de schade moet dragen als een implantaat de recovery phrase tijdens de setup kan onderscheppen.
CryptoBilis blijft centraal
Volgens Ledger Donjon, het interne securityteam van Ledger, leest het implantaat de recovery phrase van het scherm tijdens de installatie en stuurt het de 24 woorden vervolgens via een mobiele verbinding door. Ledger zegt dat het meldingen over implantaten in andere signers en op andere locaties onderzoekt, maar noemde in de update geen andere retailer dan CryptoBilis.
Juist die stilte leidde tot kritiek. In reacties wezen gebruikers op MediaMarkt, een grote Europese elektronicaketen, en op andere mogelijke verkoopkanalen in Europa. Een gebruiker zei dat ook zijn tweede apparaat uit een andere MediaMarkt-winkel dezelfde extra kabels en een cellulair onderdeel had. Hij deelde daar een unboxingvideo bij en zei dat de voorraad via distributeur Aqipa was geleverd. In een eerdere melding zei Ledger al dat het een ongeautoriseerd hardware-implantaat in een via CryptoBilis verkocht apparaat had gevonden en samenwerkte met autoriteiten.
Vraag over schadevergoeding
Ledger vraagt gedupeerde gebruikers om Support te benaderen zodat hun zaak kan worden meegenomen, en om aangifte te doen bij de politie. Over vergoeding van verloren geld zei het bedrijf in de update niets. Ook is nog niet bevestigd hoeveel gebruikers geld kwijt zijn geraakt of wat de totale schade is.
Een trader zou volgens de melding $6,6 miljoen (€5,9 miljoen) aan Bitcoin hebben verloren na aankoop via de reseller. Dat maakt de zaak extra gevoelig, zeker omdat Ledger’s Genuine Check wel de security chip controleert, maar niet elk onderdeel rond het apparaat. Daardoor kan een verborgen spy chip in sommige gevallen alsnog door de test komen. Eerder werd ook al gemeld dat een verborgen spy chip in een verzegelde Ledger-wallet de hardware security onder druk zette.
Waarom dit ook Europa raakt
De zaak past in een bredere reeks supply chain-aanvallen op hardware wallets. Voor Europese crypto-gebruikers is vooral relevant dat de discussie nu niet alleen over één reseller gaat, maar ook over de herkomst van apparaten in de winkelketen. Ledger waarschuwt daarnaast dat het nooit belt, direct berichten stuurt of om een recovery phrase vraagt, wat de kans op extra misbruik rond dit soort incidenten verkleint.
