Die Polizei in Singapur entdeckte in einigen im Einzelhandel gekauften Ledger-Kryptowallets im Stadtstaat schädliche Hardware-Komponenten.
Seit dem 10. September wurden mindestens zwei Fälle gemeldet, bei denen Verluste von rund 3,5 Millionen S$ beziehungsweise etwa 2,7 Millionen US-Dollar entstanden.
Laut SPF könnten die Komponenten Wiederherstellungsphrasen und Schlüssel auslesen
Die Singapore Police Force wies am Mittwoch in einer Warnung auf die Geräte hin. Erste Ermittlungen ergaben, dass einige Komponenten dazu verwendet werden könnten, Wiederherstellungsphrasen oder private Schlüssel auszulesen.
Unbefugte könnten dann die Wallets öffnen und ohne Wissen oder Zustimmung der Eigentümer Vermögenswerte transferieren. In der Warnung wurden keine Geschäfte genannt.
Die Polizei steht mit Ledger in Kontakt, das die betroffenen Fälle untersucht. Die eigenen Ermittlungen der Polizei dauern an.
Der Hinweis der Singapore Police Force zu manipulierten Ledger-Hardware-Wallets, veröffentlicht am 28. Oktober 2026 auf ihrer Website.
Die Polizei warnte Nutzer davor, Wiederherstellungsphrasen einzugeben oder Transaktionen auf Geräten durchzuführen, bei denen sie eine mögliche Manipulation vermuten.
Die Polizei warnte außerdem davor, Schlüssel oder Seed-Phrasen an irgendjemanden weiterzugeben, auch nicht an Personen, die sich als Wallet-Anbieter, Börsen oder Polizisten ausgeben.
Die Meldungen gingen dem CryptoBilis-Warnhinweis vom 9. Oktober um etwa einen Monat voraus
Die erste Meldung aus Singapur wurde etwa einen Monat vor der öffentlichen Bekanntgabe des größeren Vorfalls am 9. Oktober eingereicht. Ledger forderte an diesem Tag dazu auf, den Verkauf und Versand von CryptoBilis einzustellen, einem autorisierten Wiederverkäufer in Indonesien, Malaysia und den Philippinen.
Cryptopolitan berichtete damals, dass angeblich Bitcoin, Ethereum und Tron im Wert von mehr als 86 Millionen US-Dollar aus den vom Geschäft verkauften Wallets gestohlen worden seien. Ledger hat diese Summe nicht bestätigt.
Ledger erklärte am 10. Oktober, auf dem Gerät eines Kunden ein nicht autorisiertes Hardware-Implantat entdeckt zu haben. Der im Gehäuse des Nano X versteckte Chip las während der Einrichtung die 24 Wörter umfassende Wiederherstellungsphrase vom Bildschirm ab und übertrug sie über eine integrierte SIM-Karte per LTE.
Das Sicherheitsteam Donjon von Ledger erklärte, der Chip habe das Secure Element, das Betriebssystem und den Signiervorgang nicht beeinträchtigt. Deshalb löste er auch nie den Authentizitätstest „Genuine Check“ des Unternehmens aus.
In den darauffolgenden Tagen kamen zwei Meldungen aus Singapur ans Licht. Der ehemalige Geschäftsführer von Mt. Gox, Mark Karpelès, sagte, er habe am Flughafen von Singapur einen Ledger Flex mit einem Spionage-Implantat gekauft.
Ein Besitzer sagte, ein bei dem örtlichen IT-Händler Challenger gekauftes Gerät sei manipuliert gewesen; Ledger habe später ein Ersatzgerät geschickt. Ledger forderte Händler in Indonesien, Singapur, Thailand, den Philippinen, Vietnam, Malaysia und Hongkong am 13. Oktober auf, den Verkauf seiner Produkte auszusetzen.
In einem Beitrag vom 28. Oktober erklärte Ledger, alle bestätigten Verluste beträfen Geräte, die über eine begrenzte Zahl von Wiederverkäufern verkauft worden seien. Das Unternehmen hat keinen Abfluss von Geldern im Zusammenhang mit einem außerhalb Südostasiens gekauften Gerät bestätigt und sieht keine Anzeichen dafür, dass seine Infrastruktur, Systeme oder sein Direktvertriebskanal kompromittiert wurden.
„Die online kursierenden Zahlen stammen von Dritten und wurden von Ledger nicht vollständig überprüft“, erklärte Ledger am 22. Oktober.
Ledgers längerfristige Lösung ist das Atom, ein Gerät für 849 US-Dollar, das das Unternehmen am 15. Oktober bei seiner Veranstaltung Op3n in Paris vorgestellt hat. Das Atom wird frühestens im Sommer 2027 ausgeliefert. Die Schutzmaßnahmen gegen Manipulationen werden nicht nachträglich in bereits im Umlauf befindliche Nano-, Flex- und Stax-Geräte eingebaut.
Die klügsten Köpfe der Kryptobranche lesen bereits unseren Newsletter. Möchtest du dazugehören? Mach mit.