Ledger-aanval verspreid zich mogelijk naar Europa: ‘zoveel dingen fout hier’

De Ledger-aanval die eerder Zuidoost-Azië trof, steekt mogelijk ook in Europa de kop op. Een koper zegt dat zijn nieuwe hardwarewallet van een grote elektronicaketen gemanipuleerd is. Dat gebeurt net nadat het bedrijf uit Frankrijk dit weekend toegaf dat er met apparaten is geknoeid.

En de manier waarop de aanvallers bij die verkoper binnenkwamen, roept steeds meer vragen op.

Ledger bevestigt verborgen implantaat

Ledger heeft zaterdagavond bevestigd dat in het apparaat van een gedupeerde klant een ongeautoriseerd hardware-implantaat zat. Vrijdag onderzocht de fabrikant nog de situatie toen de onrust op sociale media toenam.

Een hardwarewallet is een klein apparaatje, vaak niet groter dan een usb-stick, dat de toegang tot je crypto offline bewaart. De munten zelf staan op de blockchain, maar de sleutel om erbij te komen zit in het kastje.

Die sleutel valt terug te voeren op de herstelzin: een reeks van 24 woorden die het apparaat bij de eerste installatie aanmaakt. De koper schrijft die zin op papier, als reservesleutel voor als het apparaat kwijtraakt of kapotgaat.

Juist daar zit het risico. Wie de herstelzin kent, kan op elk ander apparaat je wallet openen en leeghalen, zonder dat hij je hardwarewallet ooit in handen heeft.

Het implantaat zou precies die zin kunnen uitlezen op het moment dat het apparaat hem aanmaakt. Dat verklaart waarom gedupeerden zeggen dat hun herstelzin veilig lag en ze geen verdachte transacties hebben goedgekeurd.

Het apparaat slaagt daarbij gewoon voor de echtheidscontrole die Ledger via zijn eigen app uitvoert. Voor de koper lijkt alles dus in orde, terwijl iemand anders al meekijkt.

Onderzoeksbureau Bitquery schat de schade inmiddels op zo’n 93 miljoen dollar, verdeeld over 311 wallets. Vrijdag ging het nog om ruim 86 miljoen dollar. Gemiddeld is dat bijna 300.000 dollar per wallet.

Ledger bevestigt die cijfers niet en noemt het aantal getroffen apparaten beperkt. Volgens het bedrijf zijn zijn eigen systemen niet gekraakt.

Gemanipuleerde Ledger bij MediaMarkt

X-gebruiker Johannes deelde foto’s van een Ledger die hij twee weken geleden bij MediaMarkt zou hebben gekocht. Er zat een implantaat in dat lijkt op een eerdere versie van het Aziatische exemplaar, maar er is nog geen geld verdwenen.

Johannes ziet daar twee verklaringen voor. “Of het apparaat werkte niet, of ze wachtten op een breder gebruik van de gemanipuleerde apparaten”, schreef hij.

Mark Karpeles, oud-topman van de omgevallen cryptobeurs Mt. Gox, hielp de Aziatische zaak aan het licht te brengen. Volgens hem staat op de antenne dat het om de “Euraziatische versie” gaat.

Dat wijst op aparte versies voor regio’s met verschillende mobiele frequenties. Ledger heeft niet bevestigd dat het Europese apparaat bij dezelfde aanval hoort. Op X twijfelen sommigen zelfs of het wel om een echte Ledger-printplaat gaat.

Ledger-aanval leidt naar Aziatische verkoper

Het spoor leidt voorlopig naar CryptoBilis, een officiële Ledger-verkoper in Indonesië, Maleisië en de Filipijnen. Die kreeg onlangs een nieuwe eigenaar.

Changpeng Zhao, medeoprichter en oud-topman van cryptobeurs Binance, legt een link met die overname. Volgens hem zouden de hackers de verkoper zelf hebben gekocht.

“Wat nog gekker is, is dat de hackers de wederverkoper blijkbaar hebben gekocht en hen een geheimhoudingsovereenkomst hebben laten tekenen om hun mond te houden. Zoveel dingen fout hier…”, schreef hij op X.

Zo’n overeenkomst verbiedt partijen informatie naar buiten te brengen. Zhao zegt niet waar hij dit vandaan heeft en Ledger heeft de claim niet bevestigd.

Wie de afgelopen negentig dagen bij CryptoBilis kocht, krijgt van Ledger het advies zijn crypto over te zetten naar een nieuwe Ledger met een nieuwe herstelzin. Als het MediaMarkt-exemplaar echt gemanipuleerd blijkt, raakt de Ledger-hack ook kopers dichter bij huis.