Ledger kreeg maanden eerder meldingen over mogelijke gevaren, zeggen onderzoekers
Ledger kreeg volgens beveiligingsonderzoekers maanden vóór de recente onrust al meldingen over fysiek gemanipuleerde hardwarewallets. Joe Grand zegt dat hij het bedrijf op 4 maart waarschuwde over een implantaat in een Nano X.
Daarmee verschuift de zaak van techniek naar tijdlijn. Ledger heeft inmiddels uitgelegd hoe de aanval werkte, maar nog niet publiek opgehelderd wat het precies met die eerdere meldingen deed.
Grand onderzocht echte Nano X met verborgen elektronica
Beveiligingsonderzoeker Joe Grand documenteert op zijn eigen onderzoekspagina een daadwerkelijk aangetroffen hardware-implantaat in een Ledger Nano X.
Het apparaat was volgens Grand in augustus 2025 via Lazada Thailand gekocht.
Hij zegt Ledger op 4 maart 2026 over zijn bevindingen te hebben geïnformeerd. Het bedrijf zou de melding hebben erkend en hebben aangegeven intern onderzoek te doen.
Grand richt zijn kritiek niet alleen op de technische reactie.
Zijn vraag is waarom gebruikers daarna niet breder werden gewaarschuwd voor het risico van fysiek gewijzigde apparaten.
Karpelès wijst op nog eerdere signalen
Ook voormalig Mt. Gox-topman Mark Karpelès zegt dat Ledger vóór maart signalen kreeg.
Volgens hem kent hij minstens twee personen die vanaf december 2025 contact met het bedrijf opnamen over vermoedelijk gemanipuleerde apparaten.
Karpelès stelt dat hij daarna geen openbare waarschuwing van Ledger heeft gezien die rechtstreeks op die meldingen volgde.
Die verklaringen leveren nog geen volledige reconstructie op.
Daarvoor zijn onder meer de oorspronkelijke correspondentie, Ledger's interne beoordeling en de technische overeenkomsten tussen de verschillende apparaten nodig.
Maar ze maken de timing wel relevant.
Implantaat onderschept herstelwoorden bij het scherm
Grands technische onderzoek laat zien waarom zo'n melding zwaar kan wegen.
Het implantaat voegt elektronica toe aan een echte Ledger en luistert mee met de communicatie naar het scherm.
Daarmee kan het herkennen welke letters en woorden tijdens de eerste installatie worden weergegeven.
Juist daar verschijnt de geheime herstelzin van de wallet.
Volgens Grands analyse kan het implantaat die informatie opslaan en via een mobiele verbinding doorsturen.
De gebruiker hoeft daarbij niet direct iets afwijkends te zien.
Wie de herstelzin heeft, heeft de macht over de wallet
De herstelwoorden zijn niet zomaar een wachtwoord voor één apparaat.
Ze vormen de basis waarmee toegang tot de private keys opnieuw kan worden opgebouwd.
Wie de volledige herstelzin buitmaakt, kan de wallet daardoor elders herstellen en vervolgens transacties ondertekenen.
Bij Bitcoin of andere crypto hoeft de aanvaller het oorspronkelijke Ledger-apparaat daarna niet meer te bezitten.
Dat maakt deze aanval anders dan een apparaat dat simpelweg niet werkt.
De hardware kan voor de eigenaar normaal lijken te functioneren terwijl toegevoegde elektronica tijdens de installatie juist het gevoeligste geheim opvangt.
Ledger bevestigt fysieke manipulatie in distributieketen
Ledger beschreef op 15 oktober in zijn officiële reactie een vergelijkbare aanvalsmethode.
Volgens het bedrijf kochten criminelen echte Ledger-apparaten, openden deze en voegden verborgen onderdelen toe die herstelwoorden tijdens de installatie konden onderscheppen.
Daarna werden de apparaten opnieuw via verkopers in Zuidoost-Azië aangeboden.
Ledger stelt dat zijn Secure Element, besturingssysteem en servers niet werden gekraakt.
Volgens het bedrijf vond de manipulatie plaats nadat de betrokken apparaten zijn eigen controle hadden verlaten.
Ledger noemt het daarom een aanval op de distributieketen en geen kraak van zijn interne systemen.
Genuine Check sluit zo'n implantaat niet automatisch uit
Daar zit een lastige beveiligingsgrens.
Ledger gebruikt een Genuine Check om te controleren of een apparaat een authentieke Secure Element bevat.
Maar het bedrijf legt in zijn eigen veiligheidsadvies voor kopers uit dat zo'n controle fysieke toevoegingen niet noodzakelijk kan herkennen wanneer de oorspronkelijke beveiligingschip intact blijft.
Een apparaat kan dus cryptografisch echt zijn én later fysiek zijn aangepast.
Dat verklaart waarom alleen een succesvolle softwarecontrole deze specifieke aanval niet volledig uitsluit.
De aanval richt zich niet op het vervangen van Ledger's beveiligingschip, maar op het toevoegen van hardware die gevoelige informatie onderweg onderschept.
Ledger controleerde winkels en magazijnen
In zijn reactie zegt Ledger een groot onderzoek te hebben uitgevoerd.
Teams kochten apparaten in winkels om ze fysiek te openen en onderzochten ook exemplaren uit magazijnen.
Volgens het bedrijf waren alle onderzochte apparaten schoon.
Ledger vroeg daarnaast erkende verkopers en distributeurs in Zuidoost-Azië en Hongkong tijdelijk de verkoop stil te leggen.
Ook werden de regels voor verkooppunten aangescherpt.
Retourapparaten mogen volgens Ledger nooit opnieuw worden verkocht, zelfs wanneer de verpakking ongeopend lijkt.
Nieuwe voorraad moet achter de balie blijven tot het moment van verkoop.
Verkopers moeten vreemde meldingen sneller doorgeven
Ledger voegt daarnaast een nieuwe meldplicht toe aan zijn distributieregels.
Erkende verkopers moeten ongebruikelijke klantmeldingen rond apparaten snel aan het bedrijf doorgeven.
Dat is relevant voor de discussie over de eerdere signalen.
Wanneer losse meldingen de eerste aanwijzing voor fysieke manipulatie vormen, bepaalt de escalatie daarvan hoe snel patronen zichtbaar worden.
Eén defect apparaat kan een incident zijn.
Meerdere vergelijkbare vondsten uit verschillende momenten of verkooppunten kunnen op een breder probleem wijzen.
Precies waar die grens bij Ledger werd bereikt, is uit de openbare reactie niet af te leiden.
Een eerdere melding bewijst niet dat alle latere gevallen bekend waren
Daar moet de beschuldiging begrensd blijven.
Dat Grand in maart een implantaat onderzocht, bewijst niet dat Ledger toen al wist van iedere gemanipuleerde wallet die maanden later werd ontdekt.
Ook is op basis van de openbare stukken niet vastgesteld dat alle apparaten door exact dezelfde groep, verkoper of technische productielijn werden aangepast.
Een vroege vondst kan bovendien verschillen van een latere aanval in schaal of uitvoering.
Daarom is de stelling dat Ledger de volledige latere operatie al kende niet onderbouwd.
De open vraag is wanneer losse signalen een patroon werden
De nieuwe tijdlijn roept wel een concretere vraag op.
Welke technische kenmerken van de meldingen uit december, maart en de latere gevallen kwamen overeen?
Wanneer wist Ledger dat het niet langer om één geïsoleerd gemanipuleerd apparaat ging?
En welke drempel hanteerde het bedrijf om klanten, distributeurs en verkopers breder te waarschuwen?
Ledger's verklaring van 15 oktober legt uitgebreid uit wat de onderneming ná de recente ontdekking deed.
Ze geeft geen volledige tijdlijn van eerdere ontvangen meldingen en interne beoordelingen.
Daar zit nu het ontbrekende stuk.
De aanvalstechniek is steeds beter gedocumenteerd. De volgende vraag gaat niet meer alleen over wat criminelen in de hardware stopten, maar over wanneer genoeg informatie op tafel lag om gebruikers daarvoor publiek te waarschuwen.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
