Ledger bevestigt alleen diefstallen bij CryptoBilis, melding uit Europa nog open
Ledger zegt dat alle bevestigde diefstallen sinds het incident van 9 oktober te maken hebben met hardware wallets die CryptoBilis verkocht. Een Europese koper meldt op X een gemanipuleerd apparaat uit een winkel, maar Ledger heeft dat niet bevestigd. Wie bij CryptoBilis kocht, moet het apparaat niet meer gebruiken.
Ledger schreef dat zondag in een update op X:
"Het aantal getroffen apparaten is beperkt." Ledger
Ledger zegt dat zijn systemen en directe verkoop niet zijn getroffen. Het bedrijf werkt samen met de autoriteiten en neemt contact op met gedupeerden.
Ledger maakt hardware wallets: kastjes die de sleutels van je crypto offline bewaren. In apparaten van CryptoBilis zat een verborgen onderdeel waarmee aanvallers de herstelzin konden uitlezen. Dat zijn de 24 woorden waarmee je een wallet terugzet; wie ze kent, kan het geld weghalen. CryptoBilis heeft bevestigd dat het geen hardware wallets meer verkoopt.
Melding uit Europese winkel nog niet bevestigd
X-gebruiker Johannes plaatste zondag foto's van een opengemaakte Ledger met extra draadjes erin. Volgens het bericht kocht de gebruiker het apparaat een paar weken eerder bij een officiële Ledger-verkoper in Europa. Cointelegraph meldt dat het om MediaMarkt gaat, een keten die ook in Nederland winkels heeft. Van dit apparaat is geen geld gestolen.
Mark Karpelès, oud-topman van Mt. Gox, deed mee aan het onderzoek naar de apparaten uit Azië. Op de antenne van het Europese exemplaar staat volgens hem in het Chinees "Euraziatische versie", dus er kunnen meer exemplaren in omloop zijn. Ledger heeft niet bevestigd dat het om dezelfde aanval gaat.
Johannes raadt kopers die niet rechtstreeks in de webwinkel van Ledger kochten aan om niet alleen te vertrouwen op de echtheidscontrole in de software, die moet nagaan of het apparaat echt is. De apparaten van CryptoBilis kwamen door die controle heen.
Schatting van de schade loopt op
Beveiligingsbedrijf Yfarmx schat de schade nu op 93,4 miljoen dollar, verdeeld over 471 adressen. Eerder schatte een onderzoeker de schade op ruim 86 miljoen dollar. Ledger heeft geen van beide bedragen bevestigd.
Wat Ledger kopers aanraadt
Heb je een ongebruikt apparaat van CryptoBilis, zet het dan niet aan. Gebruik je het al, maak dan een nieuwe herstelzin aan op een apparaat dat rechtstreeks van Ledger komt en zet je crypto daarheen over. Ledger raadt ook af om bij niet-erkende verkopers te kopen.
Oplichters proberen zulke incidenten te misbruiken. Ledger belt nooit, stuurt geen privéberichten en vraagt nooit om je 24 woorden. Vragen kunnen via de supportpagina op de officiële site van Ledger.