Ledger-schade geschat op $91 miljoen bij CryptoBilis

Galaxy Research becijfert de schade van de Ledger-supplychainexploit op $91 miljoen bij ongeveer 477 slachtofferadressen, volgens een update die op 17 oktober via het Telegram-kanaal van CoinMarketCap werd gedeeld. Dat is een on-chain schatting, geen definitief verliescijfer: de uitgewerkte berichtgeving over het incident noemt voor dezelfde Galaxy-telling ongeveer 477 adressen en andere trackers komen op andere totalen uit.

Aanval liep via de distributieketen

Het incident betreft volgens Ledger geen hack van de eigen systemen, maar gemanipuleerde hardware die via reseller CryptoBilis werd verkocht. Ledger zegt dat alle bevestigde gevallen met die reseller verband houden en dat de interne systemen en rechtstreekse verkoop via de eigen website niet zijn getroffen.

Op 9 oktober zagen on-chain onderzoekers gecoördineerde leegmaakacties bij wallets op Bitcoin, Ethereum-gerelateerde netwerken en Tron. De beschreven implantaten bevatten extra hardware waarmee de recovery phrase tijdens het instellen kon worden uitgelezen en verstuurd. Het secure element, de chip die de beveiliging van het apparaat ondersteunt, bleef volgens de berichtgeving intact. Daardoor kon de manipulatie buiten de controle vallen van Ledger Genuine Check, dat de echtheid van die chip controleert.

De meldingen over het implantaat en de reactie van Ledger staan centraal in eerdere berichtgeving over het hardware-implantaat in Ledger-wallets. De precieze herkomst en omvang van de gemanipuleerde apparaten zijn nog niet volledig vastgesteld.

Meerdere tellingen, geen definitief totaal

De verschillende on-chain schattingen gebruiken niet noodzakelijk dezelfde adressen of analysemethode. De uitgewerkte bron noemt voor Galaxy ongeveer $91 miljoen bij 477 adressen, terwijl Bitquery circa $93,2 miljoen uit 315 wallets rapporteerde en YFarmX de schade op $94,5 miljoen schatte.

In de Galaxy-verdeling die de bron beschrijft, ging het om ongeveer $64,5 miljoen aan USDT op Tron, $17,7 miljoen aan bitcoin en $8,8 miljoen op Ethereum en verwante netwerken. De verschillende aantallen adressen zijn dus niet zonder meer tegenstrijdige tellingen van exact dezelfde groep slachtoffers. Ledger heeft zelf geen totaalbedrag aan verliezen gepubliceerd.

Volgens dezelfde bron heeft Tether ongeveer $10 miljoen aan gestolen USDT bevroren. Daarnaast zou circa $5,35 miljoen aan USDC mogelijk nog kunnen worden bevroren; dat is geen bevestiging dat dit bedrag daadwerkelijk wordt teruggehaald. De gebeurtenis heeft ook geleid tot tijdelijke verkoopstops voor Ledger-wallets in Aziatische markten.

Gebruikers die een apparaat via CryptoBilis of een reseller kochten waarvan de herkomst niet te controleren is, krijgen in de berichtgeving het advies een ongebruikt apparaat niet te initialiseren. Is het apparaat al gebruikt, dan is de aanbevolen stap overstappen naar een nieuw apparaat en een nieuwe recovery phrase, en de tegoeden verplaatsen zonder de oude phrase opnieuw in te voeren.

Ledger en andere aanbieders passen maatregelen aan

Ledger bevestigde dat in een getroffen apparaat een ongeautoriseerd hardware-implantaat was aangetroffen. Het bedrijf zegt dat het aantal getroffen apparaten beperkt lijkt, werkt mee met autoriteiten en vroeg distributeurs in Indonesië, Singapore, Thailand, de Filipijnen, Vietnam, Maleisië en Hongkong de verkoop tijdelijk op te schorten.

Ook stelde Ledger volgens de bron strengere verkoopregels in: apparaten mogen niet meer op toonbanken of in winkelschappen liggen en geretourneerde producten mogen niet opnieuw worden verkocht. CryptoBilis schortte de verkoop van hardware wallets op tijdens het onderzoek. Trezor meldde geen aanwijzingen voor gemanipuleerde apparaten van het eigen merk en verwijderde CryptoBilis uit voorzorg uit de lijst met erkende resellers.

On-chain onderzoekers kunnen de adressen en geldstromen nog verder in kaart brengen, waardoor de schattingen veranderen. De belangrijkste openstaande punten zijn of Ledger meer duidelijkheid geeft over de aantallen en de distributieketen, en welk deel van de bevroren stablecoins daadwerkelijk kan worden teruggewonnen.