Ledger bestätigt LTE-Implantat in CryptoBilis-Geräten; MediaMarkt stoppt Verkauf in Europa

Ein Implantat in über CryptoBilis verkauften Ledger-Geräten liest die 24-Wort-Wiederherstellungsphrase aus. MediaMarkt Saturn stoppt den Verkauf in Europa.

Ledger hat bestätigt, dass in über den Händler CryptoBilis verkauften Hardware-Wallets ein unbefugtes Hardware-Implantat sitzt, das beim Einrichten die 24-Wort-Wiederherstellungsphrase ausliest und über ein Mobilfunksignal verschickt. Das teilte Ledgers Sicherheitsteam Donjon am 13. Oktober in einem Beitrag auf X mit.

So arbeitet das Implantat

Laut der Analyse von Ledgers Sicherheitsteam Donjon sitzt die zusätzliche Komponente im Gehäuse. Während der Einrichtung zeigt das Gerät die 24-Wort-Wiederherstellungsphrase auf dem Bildschirm an; erkennt das Implantat diese Ansichten, dekodiert ein Mikrocontroller die Wörter und sendet sie über eine eingebaute eSIM per LTE weiter. Wer die Phrase besitzt, kann die zugehörige Wallet vollständig entleeren.

Ledger betont, das Implantat habe weder den Secure Element Chip verändert noch das Betriebssystem angepasst, und es ändere weder Transaktionen noch Signaturen. Auch gebe es keine Anzeichen, dass Infrastruktur oder Dienste des Unternehmens kompromittiert sind.

Angaben im Umlauf, wonach der Schaden mehr als 86 Millionen Dollar über Bitcoin, Ethereum und Tron betragen könnte, stammen von Onchain-Recherchen. Ledger hat diese Summe nicht bestätigt. Bestätigt sind laut Ledger bislang nur Verluste bei Geräten aus dem CryptoBilis-Verkauf; einen Abfluss bei anderweitig gekauften Geräten hat das Unternehmen nicht verifiziert.

MediaMarkt Saturn stoppt den Verkauf in Europa

Am selben Tag stellte MediaMarkt Saturn, in Abstimmung mit Ledger, den Verkauf von Ledger-Geräten in seinen Filialen und online ein. Auslöser war ein Kunde in Deutschland, der ein Implantat gemeldet hatte; bei diesem Fall wurde kein Geldverlust gemeldet. Ein Sprecher der MediaMarktSaturn Retail Group sagte, die Gruppe habe alle betroffenen Produkte aus ihren Geschäften und Onlineplattformen entfernt und stehe mit dem Hersteller im Kontakt.

Ein Nutzer hatte zuvor auf X berichtet, er habe zwei Geräte in unterschiedlichen MediaMarkt-Filialen gekauft und in beiden unautorisierte Kabel und Mobilfunkmodule gefunden. Nach seinen Angaben stammte die Ware laut Lagerunterlagen vom Distributeur Aqipa GmbH. Diese, wie auch ein Bericht über ein mit Spyware versehenes Gerät aus einem Flughafenkauf in Singapur, sind von Ledger nicht bestätigt.

Reaktionen in der Branche

CryptoBilis hat auf Aufforderung von Ledger den Verkauf von Ledger-Geräten eingestellt, während das Sicherheitsteam die eingeschickte Hardware untersucht. Trezor hat den Händler vorsorglich von seiner Liste gestrichen, sagt aber, es gebe keine Hinweise auf betroffene eigene Geräte. Im Rahmen des Plans benachrichtigte Reseller verlieren zum 1. Januar 2027 die Zulassung und erhalten kein neues Gerät, dürfen aber die Restbestände bis dahin verkaufen. OneKey hat CryptoBilis die Zulassung entzogen und bietet für über diesen Händler gekaufte Geräte zwischen dem 1. März und dem 13. Oktober 2026 kostenlose Austauschgeräte an.

Ledger rät Käufern von CryptoBilis-Geräten, ein noch nicht eingerichtetes Gerät nicht einzurichten und den Kontakt zu Ledger Support zu suchen; wer es bereits eingerichtet hat, soll seine Vermögenswerte umgehend auf ein neues Gerät mit neuer Wiederherstellungsphrase übertragen.