Ledger-wallet met verborgen chip: Coolblue, Bol, MediaMarkt stoppen

Wie deze week een Ledger-cryptowallet wil kopen bij Coolblue, Bol of MediaMarkt, vindt hem niet meer. De grote Nederlandse en Belgische winkels hebben de hardware wallets tijdelijk uit hun assortiment gehaald. Aanleiding is een fraudezaak waarbij criminelen echte Ledger-apparaten na de verkoop openmaakten en er een verborgen chip in plaatsten. Die chip onderschept de 24 herstelwoorden die tijdens het instellen op het scherm verschijnen, en daarmee kunnen de daders de wallet leeghalen.

Ledger zelf bevestigde op 10 oktober dat in minstens één apparaat van een gedupeerde gebruiker "een niet-geautoriseerd hardware-implantaat" zat. Volgens de fabrikant gaat het in alle bevestigde gevallen om wallets die zijn verkocht via CryptoBilis, een Zuidoost-Aziatische tussenhandelaar.

Wat is er precies gebeurd?

Een hardware wallet is een klein apparaat dat de sleutels van uw cryptomunten offline bewaart. Wie hem instelt, krijgt een herstelzin (seed phrase) van 24 woorden te zien. Met die woorden kan iedereen de wallet op een ander apparaat terugzetten. Daarom is die zin het belangrijkste geheim van de eigenaar.

Bij de gemanipuleerde exemplaren las een extra chip in de behuizing mee wat er op het scherm stond en welke knoppen werden ingedrukt. De herstelwoorden gingen vervolgens via een eigen mobiele verbinding (LTE met een eSIM) naar de aanvallers. Belangrijk: de beveiligingschip van Ledger, het besturingssysteem en de servers van het bedrijf zijn volgens Ledger niet gehackt. Het probleem zat in de keten tussen fabriek en koper.

Eigen overzicht op basis van Ledger (via CoinDesk en BleepingComputer), Security.nl, Bright en HLN.

Hoeveel geld is er gestolen?

Een exact bedrag is er nog niet. Onderzoekers die de transacties op de blockchain volgen, kwamen begin vorige week uit op 86 tot 93 miljoen dollar uit meer dan 300 wallets, verspreid over onder meer Bitcoin, Ethereum en Tron. Latere berichten in Nederlandse media spreken van ruim 102 miljoen dollar. Het onderzoek loopt nog, dus dat bedrag kan veranderen.

Ledger-CEO Pascal Gauthier liet op 13 oktober weten dat hij het onderzoek met zijn directieteam zelf leidt:

Volgens Nederlandse cryptomedia heeft Ledger de verkoop inmiddels ook bij andere verkopers in Zuidoost-Azië en Hongkong stilgelegd en de controle op distributeurs aangescherpt.

Wat doen Coolblue, Bol en MediaMarkt?

MediaMarkt was in Nederland en België de eerste die ingreep. De keten haalde alle Ledger-wallets uit de schappen en uit de webshop. Volgens Bright werden ze niet door MediaMarkt zelf ingekocht, maar via externe verkopers op het eigen marktplaatsplatform aangeboden. MediaMarkt zegt geen meldingen te hebben gekregen van gedupeerden in Nederland of België en ziet geen reden voor een officiële terugroepactie.

Coolblue, Bol en Amac volgden. Ook zij hebben naar eigen zeggen geen verdachte apparaten in hun voorraad aangetroffen, maar houden de verkoop voorlopig stil. Op X circuleren wel claims van kopers die in Europa een afwijkend apparaat zouden hebben gevonden; die zijn tot nu toe niet door Ledger of de winkels bevestigd. Ledger heeft geen diefstallen bevestigd met apparaten die buiten Zuidoost-Azië zijn gekocht.

Eerder dit jaar zagen we al hoe aanvallers via een omweg bij cryptotegoeden kwamen, bijvoorbeeld bij de hack bij beurs Bitget. Nieuw aan deze zaak is dat de aanval niet via software of een website liep, maar fysiek in het apparaat zat.

Heeft u een Ledger? Dit kunt u nu doen

Ledger geeft zelf de volgende adviezen. Ze gelden in de eerste plaats voor wie bij CryptoBilis kocht, maar zijn ook nuttig als u niet zeker weet waar uw apparaat vandaan komt:

1. Nog niet ingesteld? Begin dan niet met het instellen als het apparaat uit een onbekend of twijfelachtig verkoopkanaal komt.
2. Al in gebruik? Overweeg uw tegoeden over te zetten naar een nieuw Ledger-apparaat dat u rechtstreeks bij Ledger koopt, met een nieuwe herstelzin. Gebruik de oude zin daarna niet meer.
3. Twijfel? Neem contact op met de officiële Ledger-klantenservice via ledger.com, nooit via links in e-mails of berichten.
4. Gedupeerd? Doe aangifte bij de politie en meld het bij Ledger.

Heeft u onlangs online een Ledger gekocht bij een Nederlandse of Belgische winkel en vertrouwt u het niet? MediaMarkt wijst op het herroepingsrecht: bij online aankopen kunt u het product doorgaans binnen 14 dagen terugsturen. Let op dat oplichters zo'n incident vaak misbruiken met nep-mails "namens Ledger". Ledger vraagt nooit om uw 24 woorden.

Veelgestelde vragen

Is mijn Ledger getroffen door deze aanval?

Alle bevestigde gevallen gaan om apparaten die via CryptoBilis in Zuidoost-Azië zijn verkocht. Ledger heeft geen gevallen bevestigd met apparaten uit andere kanalen. Kocht u rechtstreeks bij Ledger, dan is er volgens de fabrikant geen aanwijzing voor een probleem.

Waarom stoppen Coolblue, Bol en MediaMarkt dan met de verkoop?

Uit voorzorg. De winkels hebben zelf geen gemanipuleerde exemplaren gevonden, maar willen geen risico lopen zolang niet duidelijk is waar de apparaten zijn opengemaakt.

Welke Ledger-modellen zijn gemanipuleerd?

Ledger heeft niet officieel gezegd welke modellen het betreft. In berichten worden verschillende modellen genoemd, maar dat is niet bevestigd.

Is er een terugroepactie in Nederland of België?

Nee. MediaMarkt zegt geen reden te zien voor een officiële terugroepactie. Wie twijfelt, kan het herroepingsrecht gebruiken of contact opnemen met Ledger.

Kan ik nog veilig een hardware wallet kopen?

Koop bij voorkeur rechtstreeks bij de fabrikant en controleer bij het uitpakken of de verpakking ongeschonden is. Gebruik nooit een apparaat waarop al een herstelzin staat of waarbij een zin is meegeleverd.

Afbeelding: Ledger (officiële productafbeelding, niet een gemanipuleerd apparaat)