Ledger onderzoekt verdwenen crypto en laat CryptoBilis verkoop pauzeren

Ledger heeft wederverkoper CryptoBilis gevraagd alle verkoop en verzending van zijn hardwarewallets tijdelijk te stoppen. De fabrikant onderzoekt meldingen van verdwenen cryptovaluta bij klanten in Zuidoost-Azië.

De maatregel geldt nadrukkelijk niet voor alle Ledger-apparaten. De waarschuwing richt zich op mensen die in de afgelopen negentig dagen via CryptoBilis een apparaat kochten.

Wie zo’n Ledger nog niet heeft ingesteld, krijgt het advies daarmee voorlopig te wachten.

Klanten die hun apparaat al gebruiken, moeten volgens Ledger overwegen hun crypto te verplaatsen. Daarvoor is een nieuw apparaat met een nieuwe herstelzin nodig.

Zo’n herstelzin geeft uiteindelijk toegang tot de tegoeden in een wallet. Als iemand anders die woorden kent, kan die persoon de wallet in veel gevallen herstellen en de munten verplaatsen.

Ledger zegt het onderzoek voort te zetten en klanten over nieuwe bevindingen te informeren.

CryptoBilis verkoopt Ledger-producten in onder meer Indonesië, Maleisië en de Filipijnen. Het bedrijf staat bij Ledger vermeld als officiële wederverkoper.

Dat maakt de zaak gevoelig. Kopers van een hardwarewallet vertrouwen er juist op dat het apparaat veilig bij hen aankomt en privésleutels buiten bereik van aanvallers houdt.

Bij self-custody blijven sleutels voor bijvoorbeeld Bitcoin en Ethereum onder controle van de gebruiker. Een probleem vóór of tijdens levering zou daarom een heel andere aanvalsvector zijn dan een normale online hack.

Of daarvan bij CryptoBilis daadwerkelijk sprake is, staat nog niet vast.

Ledger heeft nog niet geconcludeerd waardoor de gemelde verliezen zijn ontstaan. Er is ook geen bevestiging dat verkochte apparaten zijn aangepast, vervangen of op een andere manier zijn gecompromitteerd.

Dat onderscheid is belangrijk. Een reeks verdwenen tegoeden bij klanten van dezelfde verkoper kan aanleiding geven tot onderzoek, maar bewijst nog geen aanval op de leveringsketen.

Ook is er geen aanwijzing dat de beveiliging van alle Ledger-apparaten is doorbroken.

Blockchainonderzoekers hebben adressen gevolgd die mogelijk met de gemelde diefstallen samenhangen. Sommige schattingen lopen op tot meer dan 86 miljoen dollar aan crypto.

Ledger heeft dat bedrag niet bevestigd.

Bij zulke berekeningen kunnen onderzoekers verschillende adressen en transacties meetellen. Ook kan onduidelijk zijn hoeveel afzonderlijke slachtoffers achter geldstromen op de blockchain zitten.

Een hoog on-chain bedrag is daarom nog geen definitieve schadestaat.

Voor gebruikers buiten deze groep verandert de melding vooralsnog niets. Ledger heeft geen algemene oproep gedaan om bestaande apparaten niet meer te gebruiken of tegoeden massaal te verplaatsen.

De directe waarschuwing geldt voor recente CryptoBilis-kopers.

Daarmee draait het onderzoek nu om een concrete vraag: wat gebeurde er tussen verkoop, levering, installatie en het verdwijnen van de tegoeden?

Zolang Ledger dat niet heeft vastgesteld, blijft een gemanipuleerd apparaat een mogelijke verklaring en geen bewezen oorzaak.