Die Ledger Hardware-Wallet Manipulation bei einem Wiederverkäufer in Südostasien führte nach Schätzungen zu Verlusten von über 86 Mio. US-Dollar. Der Hersteller bestätigte den Vorfall am 9. Oktober 2026, nannte aber keine Schadenssumme.
Ledger bestätigt unautorisierte Hardware-Manipulation
Ledger hat am 9. Oktober 2026 bestätigt, dass nach einer Ledger Hardware-Wallet Manipulation bei einem Wiederverkäufer in Südostasien Gelder abgeflossen sind, Schätzungen zufolge mehr als 86 Mio. US-Dollar. Betroffen sind Kunden, die ihre Geräte über den Händler CryptoBilis bezogen haben. Der Hersteller stuft den Vorfall als auf diesen einen Händler und dessen regionalen Markt begrenzt ein.
Als Vorsichtsmaßnahme forderte Ledger CryptoBilis auf, Verkauf und Versand zu stoppen. Käufer der vergangenen 90 Tage sollen ihre Geräte nicht einrichten. Wer ein Gerät bereits eingerichtet hat, soll die Guthaben auf ein neues Gerät mit neuer Wiederherstellungsphrase übertragen.
Ledger Hardware-Wallet: Verluste könnten 86 Mio. US-Dollar übersteigen
Die Summe stammt nicht von Ledger. Der Onchain-Ermittler Specter beziffert die Abflüsse auf mehr als 86 Mio. US-Dollar, verteilt auf Bitcoin, Ethereum und Tron. Der Forscher tanuki42 kommt auf über 72 Mio. US-Dollar.
Der Hersteller hat keine der beiden Zahlen bestätigt. Die Schätzungen zur Ledger Hardware-Wallet Manipulation beruhen auf Analysen Dritter und sind nicht unabhängig geprüft. Offen ist auch, wie viele Kunden betroffen sind und ob jede Transaktion der Schätzung tatsächlich einen CryptoBilis-Käufer betrifft.
Manipulierte Geräte über einen einzelnen Wiederverkäufer
Berichten zufolge liest ein Implantat im Gerät die Wiederherstellungsphrase aus. Der frühere Mt.-Gox-Chef Mark Karpelès spricht von Spyware in Geräten des Wiederverkäufers. Die Sicherheitsforscherin Taylor Monahan sieht dagegen keine Anzeichen für eine Zero-Day-Schwachstelle.
Ob die Ledger Hardware-Wallet Manipulation bei der Herstellung, auf dem Transportweg oder im Handel erfolgte, hat Ledger nicht dargelegt. Der Angriffsweg gilt damit als unbestätigt.
Ein Gerät, das vor der Einrichtung verändert wurde, schützt den privaten Schlüssel nicht, unabhängig von der Qualität der Hardware. Wer Geräte über Dritthändler bezieht, trägt ein Gegenparteirisiko in der Lieferkette, das der Hersteller nur begrenzt kontrolliert. Das Bitcoin-Protokoll selbst ist von dem Vorfall nicht betroffen.
Offen bleiben Ursache, Opferzahl und tatsächliche Schadenshöhe. Konkrete Folgen gibt es bisher nur für Käufer der vergangenen 90 Tage, die Ledger zum Geräte- und Schlüsselwechsel auffordert.
Wir berichteten über Sicherheitsrisiken bei der Verwahrung von Bitcoin.
