senn-techLedger-Wallets mit Spion-Platine: Was zum Hardware-Implantat belegt ist und wie man Geräte sicher kauft
Am 9. Oktober 2026 hat Ledger eine Untersuchung zu geleerten Wallets in Südostasien eröffnet, am 10. Oktober bestätigte das Unternehmen, dass mindestens ein betroffenes Gerät ein unautorisiertes Hardware-Implantat enthielt. Seitdem sind mehrere Forschungsberichte, Kaufbelege und Schadenszahlen erschienen, die sich teils widersprechen. Dieser Beitrag trennt, was belegt ist, und fragt, was daraus für den Kauf von Sicherheitshardware folgt. Eigene Messungen haben wir dazu nicht gemacht, alles beruht auf den Quellen unten.
Was das Implantat tut
Zwei Forschungsberichte beschreiben es unabhängig voneinander: der von Grand Idea Studio (zuerst im Frühjahr veröffentlicht) und der von Tibane Labs. Unter dem Display sitzt eine Zusatzplatine. Sie trägt einen Mikrocontroller, bei einer Variante einen ST STM32G431KBU6, dazu Antenne, LTE-Chip und eSIM. Sie liest den Bildschirminhalt und die Tastendrücke und schickt die Wiederherstellungsphrase per LTE an einen Server. Nach Zetter laufen die gestohlenen Phrasen auf Server in einem Hongkonger Rechenzentrum von Alibaba, mindestens 90 Implantate sendeten im Juni dorthin, die wahre Zahl dürfte höher sein.
Der eigentliche Sicherheitschip bleibt unangetastet. Deshalb besteht die Prüfung „Genuine Check", die Ledger anbietet. Sie prüft den echten Chip und sieht eine zusätzliche Platine nicht.
Wie sich Ware erkennen lässt
Die erste Generation hatte von Hand gelötete Drähte, die beim Öffnen sichtbar waren. Spätere Varianten nutzen eine laminierte Flexplatine, schwarz beschichtet, mit abgekratzten Typnummern und einer kleineren Batterie, damit Platz entsteht. Als deutlichstes Merkmal nennt Zetter eine dünne Antenne am oberen Rand der Platine, auf der beim fortgeschrittensten Modell die Kennung „AC-A2016-NANO-V1.1" gedruckt ist, ein Hinweis auf Serienfertigung. BleepingComputer erwähnt als weiteres Indiz, dass manipulierte Geräte für etwa den halben Preis verkauft wurden. Ein Gewichtstest oder eine Anleitung zum Öffnen steht in keiner der gelesenen Quellen.
Die Schadenszahlen und warum sie nicht übereinstimmen
Die drei Zahlen sind wachsende Zählungen desselben Falls und keine Widersprüche zwischen Fällen. Nach heise hat Tether Beträge von rund 10 Millionen Dollar in USDT eingefroren, der Rest steht dem Angreifer zur Verfügung. Die Zahl betroffener Geräte nennt keine Quelle, und die Wallet-Zahl zählt Konten. Die großen Abflüsse erfolgten nach heise Anfang Oktober, teils automatisiert: 25 TRON-Wallets wurden in drei Sekunden freigegeben, USDT im Wert von 29 Millionen Dollar waren nach sechs Sekunden weg. Davor hatte der Angreifer rund zwei Wochen lang mit kleinen Überweisungen getestet.
Wie die Geräte in den Handel kamen
Ledger nennt als Quelle aller bestätigten Fälle den Händler CryptoBilis in Malaysia, Indonesien und auf den Philippinen, und hat ihn am 9. Oktober gebeten, den Verkauf einzustellen. Die Berichte nennen mehr Wege: Zwei Nano X aus MediaMarkt-Filialen in Deutschland, laut einem Käufer von einem österreichischen Zwischenhändler und damit nicht über CryptoBilis, dazu Marktplatzverkäufer auf Lazada und Amazon, ein Flex aus einem Laden am Flughafen Singapur und ein weiteres aus einem Automaten. MediaMarkt Saturn hat den Verkauf von Ledger-Wallets nach heise vorerst eingestellt. Ledger sagt, die eigenen Systeme und der Direktvertrieb seien nicht betroffen, und nennt als mögliche Ursache Händler, die Ware außerhalb der Kanäle beschafften oder Retouren wieder verkauften. Zetter berichtet, dass CryptoBilis im März den Besitzer wechselte, ohne es öffentlich zu machen. Dass jemand bei CryptoBilis hinter den Implantaten steckt, schließt die Quelle ausdrücklich nicht ein: Es gebe dafür keinen Beleg.
Der betroffene Zeitraum ist länger als Ledgers Warnung. Ledger rät, Geräte nicht zu benutzen, die in den letzten 90 Tagen bei CryptoBilis gekauft wurden. Nach heise erhielten rund 40 Prozent der geleerten Wallets ihre erste Einzahlung aber vor mehr als 90 Tagen, einige schon 2024 oder 2025, und Grand Idea Studio zeigte ein manipuliertes Gerät schon im Mai. Nach Help Net Security erhielten mehr als 80 Prozent der von Bitquery verfolgten Wallets ihre erste Einzahlung im Juni oder später. Beide Aussagen gehören zusammen: Das Zeitfenster der Warnung deckt nicht alles ab.
Was für den Kauf von Sicherheitshardware folgt
Das gilt für Hardware-Wallets, aber ebenso für Sicherheitsschlüssel, Smartcard-Leser und Token, die in Firmen zum Einsatz kommen.
- Sicherheitshardware nur direkt beim Hersteller oder über dessen Händlerverzeichnis kaufen. Marktplatzverkäufer, Flughafenläden und Automaten gehören nicht dazu. Ledger rät dasselbe.
- Ein ungewöhnlich niedriger Preis ist ein Warnzeichen. BleepingComputer nennt ihn als Indiz.
- Verpackung und Gerät prüfen, soweit das möglich ist. Eine zusätzliche Antenne oder abgekratzte Bauteilnummern sind Merkmale der bekannten Varianten, aber kein Beweis für die Abwesenheit eines Implantats.
- Eine Wiederherstellungsphrase nie auf einem Gerät erzeugen, dessen Herkunft nicht klar ist. Wer ein Gerät eines betroffenen Händlers benutzt hat, folgt Ledgers Rat: nicht initialisieren, oder Vermögen auf ein neues Gerät mit neuer Phrase verschieben, gekauft beim Hersteller.
- Betrüger nutzen den Vorfall aus. Ledger sagt, es frage nie nach der Wiederherstellungsphrase, weder per Anruf noch per Nachricht.
Was Foren sagen
Die Meldung von BleepingComputer lief auf Hacker News mit 793 Punkten und 510 Kommentaren (Thread), Zetters Recherche mit 129 Punkten und 159 Kommentaren (Thread). Wir haben die Threads nicht ausgewertet und geben keine Aussagen daraus wieder. Zur Technik der Implantate sind die Berichte von Grand Idea Studio und Tibane Labs die belastbaren Quellen.
So haben wir geprüft
Wir haben am 16. Oktober 2026 die Berichte von Help Net Security, heise, BleepingComputer und Zetter gelesen und die Zahlen gegeneinander gelegt. Ledgers eigene Support-Seite und die beiden Forschungsberichte haben wir nicht vollständig gelesen, sie sind unten verlinkt. Abweichungen: Help Net Security und Tom's Hardware nennen 93 Millionen Dollar, heise und Zetter 102 Millionen, jeweils nach Bitquery mit unterschiedlichem Stichtag. Welche Modelle betroffen sind, wird unterschiedlich angegeben: BleepingComputer spricht von Ledger X, heise von mehreren Modellen, Zetter nennt Nano X und zwei Flex, die Stax-Funde sind laut Zetter nicht bestätigt.
Weiterführende Quellen
Forschungsberichte
- Grand Idea Studio, Reverse Engineering a Ledger Nano X Hardware Implant
- Tibane Labs, Ledger Nano X: the spy implant, 11.10.2026
Unabhängige Berichte
- Help Net Security, Hidden implant in Ledger hardware wallets linked to $93M theft, 12.10.2026
- heise online, Verwanzte Krypto-Wallets von Ledger: Problem größer als gedacht, 15.10.2026
- BleepingComputer, Ledger confirms spy chip implant behind wallet crypto thefts, 12.10.2026
- Zetter Zero Day, Who Is Planting Backdoors in Ledger Crypto Wallets?, 14.10.2026
- Cointelegraph, Ledger confirms unauthorized hardware implant, says losses may exceed $86M
Hersteller
- Ledger Support auf X, Mitteilung zum Implantat, 12.10.2026
Community
- Hacker News, 793 Punkte und 510 Kommentare: news.ycombinator.com/item?id=50054092
- Hacker News, 129 Punkte und 159 Kommentare: news.ycombinator.com/item?id=50084838
Wie funktioniert das Implantat?+
Nach den Berichten sitzt eine kleine Zusatzplatine mit Mikrocontroller, Antenne, LTE-Chip und eSIM unter dem Display. Sie liest Bildschirminhalt und Tastendrücke mit und schickt die Wiederherstellungsphrase an den Angreifer. Der echte Sicherheitschip des Geräts bleibt dabei unverändert, deshalb besteht der Genuine Check von Ledger.
Wie hoch ist der Schaden?+
Das hängt von Quelle und Stichtag ab. Cointelegraph nennt mehr als 86 Millionen Dollar nach einem Ermittler, Help Net Security und Tom's Hardware 93 Millionen nach Bitquery, heise und Zetter rund 102 Millionen für den 13. Oktober aus 315 bis 324 Wallets. Es sind drei Zählungen desselben Falls zu verschiedenen Zeitpunkten, keine unabhängigen Fälle.
Betrifft das nur Käufe bei CryptoBilis?+
Ledger nennt CryptoBilis, einen Händler in Südostasien. Berichte nennen aber auch zwei Nano X aus MediaMarkt-Filialen in Deutschland, Marktplatzverkäufer und einen Laden am Flughafen Singapur. Ob das eine Lieferkettenfrage ist oder Händler zurückgegebene Ware wieder verkauften, ist nicht bewiesen.