Hardware-implantaat in Ledger in Zuidoost-Azië: wat we weten en hoe je je coins beschermt

Op 10 oktober 2026 bevestigde Ledger dat een apparaat dat via een wederverkoper in Zuidoost-Azië was verkocht een onbevoegd hardware-implantaat bevatte, nadat klanten leeggehaalde wallets ter waarde van tientallen miljoenen dollars hadden gemeld. De zaak ontwikkelt zich nog, dus dit artikel scheidt wat bevestigd is van wat alleen beweerd wordt, en legt uit wat je moet doen als je een Ledger of een andere hardware wallet hebt.

Het korte antwoord

Dit lijkt een zaak van gemanipuleerde apparaten in de toeleveringsketen, geen hack van Ledger. Klanten die bij één wederverkoper, CryptoBilis, kochten, zagen hun wallets vanaf 9 oktober leeggehaald worden. Ledger vroeg de wederverkoper te stoppen met verkopen en bevestigde daarna een hardware-implantaat in een getroffen apparaat.

Als je niet bij die wederverkoper hebt gekocht, wijst niets in de openbare meldingen erop dat je apparaat risico loopt. Als je dat wel deed, stel het apparaat dan niet in, en als je dat al hebt gedaan, verplaats je coins dan naar een nieuwe wallet met een nieuwe herstelzin.

Hoe de zaak zich ontwikkelde

De eerste meldingen kwamen op 9 oktober 2026. Klanten in Zuidoost-Azië beschreven wallets die kort na de installatie werden leeggehaald, en on-chain-analisten begonnen het gestolen geld te volgen. Ledger zei een specifiek probleem rond de wederverkoper CryptoBilis te onderzoeken en vroeg hem alle verkoop en verzending van Ledger-apparaten te pauzeren.

CryptoBilis staat te boek als Ledger-wederverkoper voor Indonesië, Maleisië en de Filipijnen en verkoopt ook hardware wallets van andere makers. Mark Karpelès, de voormalige leider van Mt. Gox, beweerde openbaar dat apparaten van de wederverkoper gemanipuleerd waren en spyware bevatten.

Op 10 oktober plaatste Ledger een update waarin een onbevoegd hardware-implantaat in het apparaat van een getroffen gebruiker werd bevestigd. De wederverkoper schortte de verkoop van hardware wallets op tot het onderzoek is afgerond, en Ledger zei samen te werken met de autoriteiten en bedankte de beveiligingsgroep SEAL 911 voor de hulp.

Wat bevestigd is en wat niet

Zo’n zaak gaat snel en geruchten reizen sneller dan feiten. Dit zijn de punten die Ledger of meerdere onafhankelijke bronnen ondersteunen.

• Ledger onderzocht de wederverkoper en vroeg hem te stoppen met verkopen. Ledger zei dit zelf, en de wederverkoper schortte later de verkoop van hardware wallets op.
• Ledger bevestigde een onbevoegd hardware-implantaat in een getroffen apparaat. Het heeft niet gezegd om welk model het ging, hoe het onderdeel is geïnstalleerd of of het iets naar buiten stuurde.
• Ledger zegt dat er geen aanwijzingen zijn dat de eigen systemen zijn gecompromitteerd. Het werkt aan extra maatregelen tegen manipulatie.
• Grote bedragen verlieten in korte tijd veel wallets. Meerdere analisten volgden de beweging over Bitcoin, Ethereum en TRON, ook al verschillen hun totalen.

Andere punten zijn nog open, en wie ze als feit presenteert, gokt.

• Of het implantaat elke diefstal verklaart. Ledger heeft het ene bevestigde apparaat niet aan alle verliezen gekoppeld.
• Hoeveel apparaten en klanten zijn getroffen. Er bestaat geen officieel aantal.
• Wie het deed. Er is geen groep, arrestatie of inbeslagname gemeld.
• Of de wederverkoper het wist. Of hij slachtoffer, nalatige schakel of betrokken was, is niet vastgesteld en we gaan niet gokken.

Hoe een hardware-implantaat een herstelzin kan stelen

Een hardware wallet bewaart je sleutels in een beveiligde chip, maar de herstelzin moet toch nog tot je ogen komen. Tijdens de installatie toont het apparaat 24 woorden op het scherm en schrijf jij ze op. Alles wat op dat moment de datalijnen van het scherm kan meelezen, kan ook de woorden lezen, zonder de beveiligde chip ooit aan te raken.

Dit is het mechanisme dat beveiligingsonderzoekers voor deze zaak hebben beschreven: een kleine microcontroller die op het display is aangesloten, de getoonde tekens vastlegt en via een mobiele verbinding naar buiten stuurt. Karpelès toonde beelden van een apparaat met een klein onderdeel verborgen onder het schermgebied. Ledger heeft deze technische details niet bevestigd, lees ze dus als een werkhypothese.

Dezelfde logica verklaart waarom een aanvaller het apparaat eerder nodig heeft dan jij. Heb je de zin zelf gegenereerd op een onaangeroerd apparaat, dan zou een later toegevoegd implantaat niets nieuws kunnen vastleggen. Het risico zit in het moment van installatie, daarom is een gemanipuleerd exemplaar veel gevaarlijker dan een schoon gekocht exemplaar dat op een plank blijft liggen.

Hoe de binnenkant van een Ledger Nano X eruit hoort te zien

Een onaangeroerde Ledger Nano X heeft niets onder zijn scherm. Het apparaat heeft twee kanten: de componentenzijde, met de hoofdchip, de usb-c-poort en de accu-aansluiting, en de schermzijde, die alleen het oled-display en de connector ervan draagt. De twee foto’s hieronder tonen ter referentie een ongewijzigd, geopend apparaat.

Vergelijk dat nu met de schermzijde van een gemanipuleerd exemplaar. Met het display opgetild komen drie onderdelen tevoorschijn waar een onaangeroerd apparaat alleen een vlak oppervlak heeft: links een chip, in het midden een Nordic nRF9151-cellulaire module en rechts een tweede chip naast de displayconnector. De opdruk van beide chips lijkt weggeslepen, dus we hebben ze gemarkeerd op positie en op basis van het diagram van Tibane Labs hieronder, niet op wat erop gedrukt staat.

Onderzoekers beschrijven bij een gemanipuleerd apparaat een ander beeld: til je het scherm op, dan zit er een extra printplaat onder. Het diagram hieronder noemt het artikel van Tibane Labs en demontagefoto’s van gebruikers als bron en labelt onder het display een eSIM, een Nordic nRF9151-cellulaire module en een tweede microcontroller, met een coaxiale antennekabel langs de rand. Het is een vertaalde en geannoteerde samenvatting, lees de plaatsing van de onderdelen dus als indicatief en niet als officiële demontage.

De foto hieronder werd gedeeld als de Europese vondst. Hij toont een geopende Nano X, met rode draden die aan de beveiligingsprint van de accu zijn gesoldeerd, een zwarte coaxkabel die eindigt op een gesoldeerd vlakje op de behuizing en wat lijkt op een tweede printplaat onder de hoofdprint. Ook het label op de accu wijkt af van het referentieapparaat hierboven, wat op zichzelf niets bewijst. We kunnen niet nagaan wie de foto wanneer heeft gemaakt, en Ledger heeft er niet op gereageerd.

Hoeveel er is buitgemaakt

Er is geen officieel totaal. Onafhankelijke analisten telden het gestolen geld on-chain, en hun cijfers verschillen omdat ze wallets anders groeperen en de activa op andere momenten waarderen.

Het grootste deel van de waarde verplaatste zich via Ethereum, TRON en Bitcoin, waarbij Bitquery ook BNB Chain en Polygon noemt. Een deel van de gestolen Tether is bevroren, en trackingbedrijven melden dat een deel van de Ether naar mixingdiensten ging, wat terughalen elk uur moeilijker maakt.

De melding uit Europa

Iemand meldde op sociale media dat een paar weken geleden bij een Europese wederverkoper gekochte Ledger een vergelijkbaar implantaat bevatte. De post beschreef ongewone bedrading die een normaal apparaat niet heeft, en zei dat er geen geld uit was gestolen.

Dit is het zwakste deel van het verhaal. Er werd geen wederverkoper of land genoemd, geen foto is door Ledger of door ons geverifieerd en Ledger heeft niet gereageerd. Als het standhoudt, zou het probleem niet beperkt zijn tot Zuidoost-Azië, dus het verdient aandacht zonder als vaststaand te worden behandeld.

Als je een Ledger hebt: wat je nu moet doen

De stappen hangen af van waar het apparaat vandaan komt en volgen Ledgers eigen gepubliceerde advies.

Verplaats het geld rustig en in volgorde: stuur eerst een klein testbedrag, controleer dat het aankomt en verplaats dan de rest. Doe het vanaf een schone computer en negeer elke link in een bericht dat je tot haast maant.

Waarom miners dit aangaat

De volledige opbrengst van een miner komt op een adres terecht, en dat adres komt uit een wallet. Pool-uitbetalingen, solo-blockbeloningen en huurinkomsten gaan allemaal naar het adres dat je de pool geeft. Als de zin achter dat adres bij de installatie is vastgelegd, is elke toekomstige uitbetaling van iemand anders.

Miners kopen hardware ook bij wederverkopers, precies het soort kanaal dat hier faalde. De les geldt voor een ASIC net zo goed als voor een wallet: de goedkoopste of handigste verkoper is niet altijd de veilige.

Zo koop en installeer je een hardware wallet veilig

Geen van deze stappen is ingewikkeld, en samen hadden ze bijna elke hier beschreven diefstal voorkomen.

• Koop bij de fabrikant of een officiële wederverkoper. Open de eigen site van de fabrikant en volg de link naar de lijst met wederverkopers, nooit een link uit een advertentie of bericht.
• Inspecteer de doos en het apparaat. Let op verbroken zegels, sporen van lijm of gereedschap, een apparaat dat al is ingesteld, of een kaartje waar al woorden op staan.
• Genereer de zin zelf. Een zin die op een kaartje, in een pdf of in een bericht kwam, is nooit alleen van jou, dus weiger elk apparaat dat met zo’n zin aankomt.
• Schrijf de zin eenmalig op papier, uit het zicht van camera’s. Fotografeer hem nooit, typ hem niet in een telefoon en sla hem niet op in een cloudnotitie.
• Stuur een klein testbedrag voordat je het echte bedrag verstuurt. Bevestig het adres ook op het scherm van het apparaat, niet alleen op je computer.
• Verdeel grotere bedragen. Gebruik voor grote bedragen meer dan één wallet, zodat één storing niet alles meeneemt.

Dezelfde zorg geldt als je mininghardware koopt. Onze koopgids legt uit hoe je een verkoper beoordeelt, en de verkopersspagina’s laten zien wie op deze site is geverifieerd. Koopgids voor ASIC-miners: wat je controleert voordat je betaalt · Geverifieerde verkopers van ASIC-miners

De oplichting die de krantenkoppen volgt

Elk incident als dit brengt een tweede golf van nep-hulp. Onderzoekers hebben al gewaarschuwd voor nepadvertenties in zoekmachines, nepmigratie-apps en berichten die beloven gestolen geld te herstellen tegen betaling.

• Ledger vraagt je nooit om je herstelzin van 24 woorden, niet per bericht, telefoontje, formulier of app.
• Support neemt nooit als eerste contact met je op. Ga zelf naar de officiële site en typ het adres met de hand in.
• Een herstelservice die vooraf betaling of toegang tot je wallet vraagt, is een tweede diefstal.
• Download walletsoftware alleen van de officiële site van de fabrikant en controleer het adres twee keer.

Eerdere Ledger-incidenten, ter context

Dit is niet Ledgers eerste beveiligingskop, maar het is een ander soort probleem dan de eerdere.

• December 2023: een kwaadaardige softwarebibliotheek. Een gecompromitteerde release van Ledgers Connect Kit werd een paar uur gebruikt om wallets leeg te halen voordat ze werd vervangen.
• Januari 2026: een lek bij een betaalpartner. Een inbreuk bij de partner Global-e legde bestelgegevens van Ledger-klanten bloot. Betaalgegevens en herstelzinnen waren niet getroffen, maar er volgde phishing.
• Oktober 2026: gemanipuleerde apparaten in één verkoopkanaal. De huidige zaak gaat om fysieke aanpassing voordat het apparaat de klant bereikt.

Deze artikelen en pagina’s gaan dieper in op wallets, pools en veilige installaties. ASIC-miner instellen: stroom, netwerk, pool en koeling stap voor stap · Bitcoin mining pools uitgelegd: de grootste pools, fees en uitbetalingsmethoden · Is solo mining het waard? De eerlijke Bitcoin-kansen in 2026 · Crypto mining pools · Bitcoin mining calculator

Onder aan de streep

Een hardware wallet is net zo betrouwbaar als de weg die hij heeft afgelegd om bij je te komen. De Ledger-zaak laat zien dat een echt merk toch aangepast kan aankomen via een zwakke schakel in de verkoopketen.

Koop rechtstreeks, maak je eigen zin, test met kleine bedragen en negeer iedereen die ongevraagd hulp aanbiedt. Heb je gekocht bij de wederverkoper uit dit verhaal, verplaats je coins dan nu en volg alleen de officiële instructies van Ledger.