Ledger rät CryptoBilis-Käufern zu Vorsicht bei Wallets

Ledger untersucht gemeldete Verluste bei Kunden in Südostasien, die ihre Hardware-Wallets beim Wiederverkäufer CryptoBilis gekauft haben. Die bisher bekannten Hinweise betreffen diesen Vertriebskanal, belegen aber weder eine globale Sicherheitslücke bei Ledger noch eine bestätigte Manipulation der Geräte.

Der On-Chain-Ermittler Specter beziffert verdächtige Abflüsse auf mehr als 86 Millionen US-Dollar. Ledger hat diese Summe nicht bestätigt; auch Ursache, Zahl der betroffenen Kunden und die vollständige Zuordnung der Gelder zu CryptoBilis sind weiter offen.

Welche Warnung Ledger ausgesprochen hat

Ledger bat CryptoBilis vorsorglich, Verkäufe und Lieferungen von Ledger-Geräten bis zum Abschluss der Untersuchung auszusetzen. Die Mitteilung des Unternehmens erfolgte am Freitag, dem 9. Oktober 2026.

Kunden, die innerhalb der 90 Tage vor der Warnung bei CryptoBilis gekauft haben und ihr Gerät noch nicht eingerichtet hatten, sollten dies laut Ledger zunächst nicht tun. Wer das Gerät bereits verwendet, sollte erwägen, Vermögenswerte auf einen neuen Ledger-Signer zu übertragen und dafür eine neue Seed Phrase anzulegen.

Specter verfolgte nach eigenen Angaben Zuflüsse von Hunderten mutmaßlichen Opfer-Wallets über Ethereum, Tron und Bitcoin. Von dem Ermittler geteilte Arkham-Daten wiesen knapp 87 Millionen US-Dollar an markierten Adressen aus: darunter rund 42 Millionen US-Dollar in ETH, 17,6 Millionen in BTC und 16,5 Millionen in USDT.

Diese Beträge sind eine On-Chain-Schätzung und keine von Ledger bestätigte Schadenssumme. Ebenso ist unklar, ob sämtliche erfassten Abflüsse auf Käufe bei CryptoBilis zurückgehen. Die Blockchain-Forensik kann Geldflüsse sichtbar machen, aber allein nicht beweisen, dass alle markierten Adressen auf dieselbe Ursache zurückzuführen sind. Auch bei früheren Sicherheitsvorfällen standen die Verfolgung gestohlener Gelder über mehrere Blockchains und die Abgrenzung einzelner Abflüsse im Zentrum.

Ursache und Sicherheitsrisiko sind nicht geklärt

Hardware-Wallets sind darauf ausgelegt, private Schlüssel offline zu halten. Das schützt jedoch nicht automatisch vor einem Risiko, das bereits vor der Übergabe des Geräts entsteht: Wäre etwa eine Wiederherstellungsphrase schon einem Angreifer bekannt, könnten darüber gesicherte Gelder gefährdet sein.

Eine solche Manipulation ist im Fall CryptoBilis bislang nicht bestätigt. Ledger hat nach den vorliegenden Angaben weder eine technische Ursache benannt noch erklärt, wie viele Kunden betroffen sind. Der Händlerbezug ist damit ein wichtiger Ermittlungsansatz, aber noch keine abschließende Erklärung.

Ledger begründete die Pause bei Verkauf und Versand als Vorsichtsmaßnahme während der laufenden Untersuchung. Der pseudonyme Ermittler Specter stellte seinerseits die Gesamtschätzung von mehr als 86 Millionen US-Dollar und die Zuflüsse von Hunderten mutmaßlichen Opfer-Wallets heraus.

Bloomberg berichtete unter Berufung auf einen Ledger-Sprecher, es habe keine Meldungen zu direkt bei Ledger gekauften Geräten oder zu Infrastruktur, Systemen und Diensten des Unternehmens gegeben. Das grenzt den bisherigen Berichtsstand ein, beweist aber weder, dass Ledgers Systeme als Ursache ausgeschlossen sind, noch, wie es zu den Verlusten kam.

Die Schadenssumme bleibt vorläufig

Für Käufer im genannten 90-Tage-Fenster sind vorerst die konkreten Vorsichtsmaßnahmen entscheidend: noch nicht eingerichtete Geräte nicht in Betrieb nehmen und bei bereits eingerichteten Wallets einen Umzug auf einen neuen Signer mit neuer Seed Phrase erwägen. Eine neue Phrase sollte dabei eigenständig erzeugt und sicher verwahrt werden.

Offen bleiben die technische Ursache, die Zahl der Betroffenen und der Anteil der verdächtigen Adressen, der tatsächlich mit CryptoBilis verbunden ist. Bis diese Fragen geklärt sind, lässt sich aus der On-Chain-Schätzung kein bestätigter Gesamtschaden ableiten.

Der Fall ereignet sich in einer Phase mehrerer großer Sicherheitsvorfälle im Kryptosektor. In der zugrunde liegenden Berichterstattung wurden unter anderem ein Bitget-Hack mit rund 387 Millionen US-Dollar, ein Drift-Exploit über 285 Millionen und ein Vorfall bei der Liquid-Sidechain über 320 Millionen US-Dollar genannt. Diese Ereignisse sind separate Fälle und dürfen nicht mit den mutmaßlichen CryptoBilis-Verlusten zusammengerechnet werden.