OneKey-Gründer und CEO Yishi Wang hat angekündigt, dass das „Händlernetzwerk des Herstellers von Hardware-Wallets deutlich verkleinert wird“. Vorausgegangen sei eine umfassende Überprüfung der zuvor zertifizierten Händler. Händler mit „nicht verifizierbaren Geschäftseinheiten oder unklaren wirtschaftlich Berechtigten“ würden ihre Zulassung verlieren und von der offiziellen Website entfernt.

Yishi sagte außerdem, OneKey habe CryptoBilis die Zulassung als Händler seiner Geräte entzogen.

Die Warnung folgt auf Berichte, wonach eine der von dem südostasiatischen Wiederverkäufer CryptoBilis verkauften Ledger-Wallets ein nicht autorisiertes Hardware-Implantat enthalten haben soll. Die Ermittlungen zu einem Krypto-Diebstahl mit inzwischen auf 86 bis 93 Millionen US-Dollar geschätztem Schaden dauern an.

Was hat Ledger zum Hack der CryptoBilis-Wallets gesagt?

Ein Update vom 10. Oktober auf der Support-Seite von Ledger bestätigte, dass CryptoBilis bis zum Abschluss der Untersuchung keine Produkte des Hardware-Wallet-Herstellers verkaufen wird. Die Erklärung erfolgte, nachdem Ledger mitgeteilt hatte, dass sich auf dem Gerät mindestens „eines der betroffenen Nutzer ein nicht autorisierter Hardware-Implantat“ befand.

Ledger betonte, dass die eigenen Systeme und direkten Vertriebskanäle nicht betroffen seien, und wies darauf hin, dass alle offengelegten Geräte auf CryptoBilis zurückzuführen seien.

Ledger rät allen, die Wallets bei dem südostasiatischen Wiederverkäufer gekauft haben, noch nicht eingerichtete Geräte nicht zu initialisieren. Wer sie bereits eingerichtet hat, sollte seine Guthaben auf Wallets übertragen, die direkt von Ledger ausgegeben und nicht bei Wiederverkäufern gekauft wurden.

Sicherheitsanalysten schätzen bislang, dass bei etwa 300 Ledger-Wallets Kryptowährungen im geschätzten Wert von 86 bis 93 Millionen US-Dollar abgezogen wurden.

Warum Käufer von OneKey und SafePal nervös sind

Bislang wurden Diebstähle nur bei Ledger-Wallets gemeldet, doch die Sicherheitsbedenken haben sich auch auf Kunden anderer Wallet-Hersteller ausgeweitet. CryptoBilis führt sich als autorisierter Wiederverkäufer von Ledger-, Trezor-, OneKey-, Tangem-, SafePal-, imKey- und weiteren Wallets in Malaysia auf und ist auch in Indonesien und auf den Philippinen tätig.

OneKey-Gründer und CEO Yishi Wang versuchte, die Panik auf X zu dämpfen. Er schrieb: „Wir haben die Zulassung von CryptoBilis beendet; das Unternehmen ist kein autorisierter OneKey-Händler mehr.“

Yishi erläuterte außerdem OneKeys dreistufige Reaktion, um die Risiken jetzt einzudämmen und eine weitere Eskalation zu verhindern.

• Schritt eins: OneKey nimmt seit der Erklärung vom 12. Oktober keine neuen Händler mehr auf.

• Schritt zwei: Alle bestehenden Händler, auch bereits zertifizierte, werden einer erneuten Prüfung unterzogen. Händlern mit „nicht überprüfbaren Geschäftseinheiten oder unklaren wirtschaftlich Berechtigten“ wird ihre Zulassung entzogen. OneKey wird die vollständige Liste der zugelassenen Händler auf der offiziellen Website veröffentlichen.

• Schritt drei: Nutzer, die zwischen dem 1. März 2026 und dem 12. Oktober OneKey-Geräte bei CryptoBilis gekauft haben, haben Anspruch auf einen kostenlosen Ersatz. Auch Nutzer, die ihre Geräte bereits aktiviert oder verwendet haben, können sie kostenlos ersetzen lassen.

Laut Yishi wählte OneKey den 1. März als Stichtag, weil der ursprüngliche Mitgründer von CryptoBilis öffentlich erklärt hatte, dass die Übergabe der operativen Leitung des Unternehmens im März abgeschlossen worden sei, nachdem es Anfang des Jahres übernommen worden war.

Die einzige öffentlich bekannt gewordene Sicherheitslücke bei OneKey-Hardware stammt aus dem Jahr 2023. Damals extrahierte die Sicherheitsfirma Unciphered bei einem Laborangriff den Seed eines Geräts. OneKey schloss die Sicherheitslücke, zahlte eine Prämie und erklärte, dass keine Nutzer betroffen gewesen seien.

Wem gehört CryptoBilis jetzt?

Aktuelle Unternehmensunterlagen deuten auf einen Kontrollwechsel beim malaysischen Wiederverkäufer vor dem mutmaßlichen Angriff auf die Lieferkette hin. Die ehemaligen Mitgründer von CryptoBilis erklärten auf LinkedIn, sie hätten das Unternehmen im März an neue Eigentümer übergeben. Berichten zufolge ging das Eigentum an eine als Jiaming identifizierte Person chinesischer Staatsangehörigkeit über.

Bisher gibt es keine bestätigten Berichte, die einen Zusammenhang zwischen den neuen Eigentümern und diesem Sicherheitsvorfall herstellen.

Bislang haben im Jahr 2026 sechs Hardware-Wallet-Marken Sicherheitsprobleme offengelegt. Galaxy Research bezifferte die Verluste im Coldcard-Fall auf über 115 Millionen US-Dollar. Der Vorfall bei Ledger Anfang Oktober ist der zweite Fall, bei dem Guthaben verloren gingen.

Cryptopolitan berichtete letzte Woche über den BasedApp-Datenschutzverstoß, bei dem KYC-Daten von Kunden offengelegt wurden.

Wenn Sie das hier lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie es mit unserem Newsletter.