De doos was verzegeld. Het plastic omhulsel was perfect. Maar binnenin zat in de Ledger hardware wallet een klein printplaatje dat ontworpen was om het wachtwoord en de crypto van de eigenaar te stelen. Dit zegt voormalig Mt. Gox-baas Mark Karpelès.
Karpelès, die de exchange leidde die in 2014 instortte, zegt dat de spionagesoftware achter het scherm zat, waar eigenlijk vulling had moeten zitten. Het printplaatje had een antenne en een kleine SIM-kaart, waarmee de 24-woorden herstelzin van de wallet verstuurd kon worden.
Die woorden zijn genoeg om de crypto-wallet op afstand leeg te maken. Een aanvaller hoeft het apparaat nooit meer aan te raken.
Ledger’s veiligheidscontrole kan het spionagechipje missen
Ledger’s Genuine Check bevestigt dat een apparaat een echte beveiligingschip bevat. Maar deze kan niet elke fysieke aanpassing rondom die chip detecteren. Dit is een beperking die Ledger zelf erkent in haar eigen richtlijnen.
Een gemanipuleerde wallet kan daardoor de controle doorstaan terwijl er stiekem een verborgen onderdeel het scherm volgt.
Deze ontdekking komt terwijl Ledger onderzoek doet naar meldingen van lege wallets bij de Maleisische reseller CryptoBilis. Ledger heeft het bedrijf gevraagd om te stoppen met de verkoop en verzending van apparaten.
On-chain onderzoekers schatten de verliezen eerst op meer dan $86 miljoen.
Een latere Bitquery-analyse kwam uit op $92,9 miljoen verspreid over 311 wallets. Ledger heeft deze bedragen niet bevestigd. Eén slachtoffer verloor naar verluidt 80 Bitcoin.
Karpelès zegt dat zijn apparaat bij een andere verkoper vandaan kwam. Ledger heeft (nog) niet vastgesteld dat gemanipuleerde hardware de oorzaak is van de CryptoBilis-verliezen.
Maar wie is verantwoordelijk?
Sommigen geven de kopers de schuld.
Toch raadt Ledger zelf geautoriseerde resellers aan, zoals de officiële winkels op Amazon, Shopee, en Lazada.
Een hardware wallet zou ervoor moeten zorgen dat je niemand hoeft te vertrouwen met je geld. Maar als je er één koopt via een tussenpersoon, vertrouw je toch op een vreemde die het apparaat zelf heeft in handen gehad.
Voor iedereen die zijn spaargeld toevertrouwt aan zo’n klein apparaatje is dit een waarschuwing die moeilijk te negeren is.
