Der Abzug von 93,2 Mio. US-Dollar aus Ledger-Wallets: die kritische Schwachstelle in der Lieferkette und eine Warnung für die Self-Custody-Philosophie

Innerhalb weniger Tage wurden 93,2 Millionen US-Dollar aus 315 Wallets auf 6 Blockchains abgezogen. Davon fror Tether dringend 10 Millionen US-Dollar für die Ermittlungen ein. Im Zentrum dieses Sturms steht diesmal weder eine gehackte Börse noch eine angegriffene Cross-Chain-Bridge, sondern die Ledger-Cold-Wallet – ein Gerät, das Millionen von Krypto-Anlegern als den sichersten „Offline-Tresor“ betrachten.

Der Angreifer musste weder die Verschlüsselung knacken noch eine Zero-Day-Schwachstelle ausnutzen. Er verkaufte den Nutzern einfach einen Ledger, in den bereits ab Werk ein LTE-Implantat eingebaut war.

Dieser Vorfall markiert den gefährlichsten Wendepunkt für die Hardware-Wallet-Branche seit Jahren: Der Kampf findet nicht mehr auf Firmware- oder Seed-Phrase-Ebene statt, sondern in der Vertriebsphase – dort, wo das Vertrauen gestohlen wird, noch bevor das Gerät überhaupt eingeschaltet wird.

1. Zeitstrahl & technische Analyse: Wenn der „autorisierte Händler“ zur Achillesferse wird

Entwicklung des Vorfalls (9.10.–13.10.2026)

• 9.10.2026: Nutzer in Südostasien (vor allem in Indonesien, Malaysia und auf den Philippinen) meldeten gleichzeitig, dass ihnen Geld aus Ledger-Wallets gestohlen worden war, die sie über den autorisierten Händler CryptoBilis gekauft hatten. Ledger leitete umgehend eine dringende Untersuchung ein.

  
  

• 10.10.2026: Ledger bestätigte, dass die betroffenen Geräte ein nicht autorisiertes Implantat enthielten. CryptoBilis erklärte, den Verkauf und Versand sämtlicher Hardware-Wallet-Marken in Südostasien vorübergehend einzustellen. Außerdem schloss das Unternehmen seine Filialen, um die Abläufe gemeinsam mit unabhängigen Experten zu überprüfen.

  
  

• 11.10.2026: Ledger veröffentlichte ein 72-Stunden-Update und erklärte, „alle bestätigten Fälle beträfen Geräte, die von CryptoBilis verkauft wurden“; der Direktvertrieb des Unternehmens sei nicht betroffen. Am selben Tag fror Tether 10 Millionen USDT ein, die mit dem Diebstahl in Verbindung standen.

  
  

• 12.10.2026: Das Ledger-Donjon-Team veröffentlichte einen technischen Bericht: Das Implantat nutzt einen Mikrocontroller, um die auf dem Bildschirm angezeigten 24 Wörter der Seed-Phrase während der Einrichtung auszulesen. Anschließend überträgt es die Daten über LTE und eine eingebettete eSIM an den Server des Angreifers.

  
  

  • Besonders gefährlich: Das Implantat greift den Sicherheitschip (Secure Element) nicht an und verändert keine Transaktionen. Das Gerät funktioniert weiterhin normal, sodass Nutzer nicht bemerken, dass ihre Seed-Phrase bereits im allerersten Moment gestohlen wurde.

    
    

• 13.10.2026 (globaler Dominoeffekt):

  
  

  • MediaMarktSaturn (Europas größte Elektronikhandelskette) nimmt sämtliche Ledger-Produkte aus den Regalen.

    
    

  • Trezor nimmt CryptoBilis vorsorglich aus seinem Netz autorisierter Händler.

    
    

  • OneKey beendet die Autorisierung von CryptoBilis, nimmt keine neuen Händler mehr auf und bietet den kostenlosen Ersatz von OneKey-Geräten an, die zwischen dem 1.3. und dem 12.10.2026 bei CryptoBilis gekauft wurden.

    
    

  • Ledger fordert autorisierte Händler auf, den Verkauf in sieben asiatischen Märkten einzustellen.

    
    

Hinweis: Ledger hat den endgültigen Gesamtschaden bislang nicht bestätigt. Der tatsächliche Betrag könnte deutlich über der ursprünglichen Schätzung liegen.

Geldwäscheflüsse – das Wettrennen zwischen Dieben und Ermittlern

Laut einer On-Chain-Analyse von YFarmX verfolgt der Angreifer eine der ausgefeiltesten Geldwäschemethoden: Er nutzt die Unterschiede zwischen Stablecoins, die eingefroren werden können, und solchen, bei denen dies nicht möglich ist, und kombiniert Mixer mit geschützten Pools.

2. Aufteilung der Verantwortung & branchenweite Reaktionen

Argumentation von Ledger vs. Einwände aus der Community

KriteriumArgumentation von LedgerEinwände aus der Community / von ExpertenBetroffener UmfangLedger erklärt, der Vorfall beschränke sich auf CryptoBilis; der Direktvertrieb sei weiterhin sicher.CryptoBilis ist ein offizieller autorisierter Händler, der auf der Ledger-Website gelistet ist. Ledger muss für Produkte verantwortlich sein, die über den eigenen Vertriebskanal verkauft werden.Möglichkeit der SelbsterkennungNutzer werden aufgefordert, ihre Geräte zu überprüfen und nur über offizielle Kanäle zu kaufen.Nutzer können manipulierte Hardware nicht selbst erkennen, da das Implantat den Sicherheitschip nicht beeinträchtigt und Transaktionen weiterhin gültig sind.Geografische AusweitungLedger erklärt, außerhalb Asiens seien keine Fälle bekannt.Es gibt bereits Berichte von Nutzern in Europa (etwa vom X-Konto Johannes), die ein LTE-Modul in einer bei MediaMarkt gekauften Ledger-Wallet entdeckt haben.

Reaktionen konkurrierender Branchenunternehmen

1. Trezor: CryptoBilis vorsorglich aus dem Vertriebsnetz genommen, obwohl bislang keine manipulierten Trezor-Geräte entdeckt wurden.

   
   

2. OneKey: Händlervertrag mit CryptoBilis beendet, Ausbau des Vertriebsnetzes vorübergehend ausgesetzt und eine kostenlose Ersatzgerätregelung für betroffene Nutzer eingeführt.

   
   

3. Vergleich mit dem Vorfall im April 2026: Damals handelte es sich um eine Phishing-Kampagne über eine gefälschte Ledger-Live-App (Schaden von etwa 9,5 Mio. US-Dollar), bei der Nutzer ihre Seed-Phrase selbst eingeben mussten. Diesmal drang der Angreifer direkt in die physische Lieferkette ein und griff die Schlüssel automatisch ab, ohne dass die Nutzer einen Fehler machten.

   
   

3. Analyse aus Trading- und Marktperspektive (Trading Angle)

Auswirkungen auf die Marktstimmung

Der Vorfall zieht zwar nicht unmittelbar Liquidität aus DEX- oder CEX-Pools ab, versetzt dem Vertrauen in Self-Custody (die eigenständige Verwahrung von Vermögenswerten) jedoch einen schweren Schlag. Kapital dürfte sich tendenziell in zwei Richtungen verlagern:

• Wechsel zu Custodial-Lösungen: große Kryptobörsen (CEX), ETF-Anbieter oder institutionelle Verwahrdienste mit Versicherungsschutz.

  
  

• Wechsel zu Self-Custody-Lösungen der nächsten Generation: Multi-Signature-Wallets (Multisig), MPC-Lösungen (Multi-Party Computation) oder nicht betroffene Hardware-Wallet-Marken.

  
  

Auswirkungen auf damit verbundene Vermögenswerte und Token

• USDT & USDC: Circle könnte 3,28 Millionen USDC einfrieren; Tether hat bereits 10 Millionen USDT eingefroren. Die markierten Wallets in den nächsten 24–48 Stunden genau beobachten.

  
  

• USDD: Die Übertragung von 15 Millionen USDT durch den Angreifer zu USDD legt eine Geldwäsche-Lücke bei dezentralisierten Stablecoins ohne Blacklist-Funktion offen.

  
  

• ETH & BTC: Die gestohlenen 15.475 ETH und 203 BTC könnten Verkaufsdruck erzeugen, falls sie über Börsen ohne KYC-Anforderungen oder dezentrale Bridges veräußert werden.

  
  

• ZEC (Zcash): Das Handelsvolumen von Zcash könnte stark ansteigen, da der Coin beim Geldwäscheprozess als zwischengeschaltete Anonymisierungsschicht dient.

  
  

On-Chain-Indikatoren & zu beobachtende Szenarien

1. Wichtige Indikatoren: Neue Einfrierungen durch Tether/Circle, die bei Tornado Cash eingezahlte ETH-Menge und Binances Reaktion auf die eingezahlten 4,23 Millionen USDT.

   
   

2. Basisszenario (hohe Wahrscheinlichkeit): Ledger weitet den Rückruf auf weitere Produkte aus; rechtlicher Druck zwingt das Unternehmen, einen umfassenden Entschädigungsmechanismus offenzulegen.

   
   

3. Negativszenario: Berichte über implantierte Chips in Europa werden offiziell bestätigt und lösen einen Ausverkauf von Token aus, die mit dem Self-Custody-Ökosystem verbunden sind, sowie einen Abzug von Vermögen aus Cold Wallets.

   
   

Quellen

• CoinDesk: Ledger erklärt, die Fälle bei CryptoBilis seien begrenzt, während bis zu 93 Millionen US-Dollar nachverfolgt und 10 Millionen US-Dollar eingefroren werden

  
  

• Cointelegraph: Ledger erläutert LTE-fähige Spionageimplantate in von CryptoBilis verkauften Wallets

  
  

• Decrypt: Ledger entdeckt LTE-Implantat, das bei mutmaßlichem Wallet-Abfluss Wiederherstellungsphrasen gestohlen hat

  
  

• The Block: Ledger bestätigt Hardware-Implantate in Geräten des CryptoBilis-Wiederverkäufers, während MediaMarkt den Verkauf aussetzt

  
  

• The Defiant: Trezor verkleinert sein Wiederverkäufernetz nach Vorfällen in der Hardware-Wallet-Lieferkette

  
  

💡 Haftungsausschluss: Dieser Artikel fasst Finanzmedienberichte und Informationen aus öffentlich zugänglicher Marktbeobachtung zu unabhängigen Recherchezwecken zusammen (DYOR). Der Kryptomarkt ist sehr volatil. Die hier dargestellten Analysen stellen weder eine Anlageberatung noch eine Empfehlung für Finanztransaktionen dar.

#CryptoNews #BinanceSquare #MarketUpdate #Ledger #Security #BlockchainSecurity