Op 13 oktober kondigde Ledger-CEO Pascal Gauthier aan dat Ledger zijn controles op directe verkoop en wederverkopers, de herkomst en overdracht van apparaten en de detectie van fysieke manipulatie zou herzien. Hij vroeg ook onderzoekers en andere leveranciers om mee te werken. De aankondiging volgde op de bevestiging van een ongeautoriseerd onderdeel in één via CryptoBilis verkochte hardwarewallet. Gauthier Ledger
Wat Ledger over het onderdeel bevestigde
Ledger dateert de gemelde leegloop van wallets op 9 oktober 2026. Op 10 oktober bevestigde het bedrijf een ongeautoriseerd onderdeel in één getroffen signer. Volgens Ledger Donjon, het beveiligingsteam van Ledger, las het afzonderlijke onderdeel de herstelzin van 24 woorden van het scherm tijdens de configuratie. Het decodeerde de woorden en verstuurde ze via LTE met een geconfigureerde eSIM. Een herstelzin kan toegang geven tot de bijbehorende wallet. Ledger
Ledger zei dat dit onderdeel het Secure Element en het besturingssysteem niet wijzigde en transacties of handtekeningen niet aanpaste. Dat is de beschrijving van Ledger van het onderzochte onderdeel.
In de update van 13 oktober zei Ledger dat alle verliezen die het aan het incident had gekoppeld, betrekking hadden op apparaten die via CryptoBilis waren verkocht. Het bedrijf had toen geen verlies vastgesteld dat verband hield met een elders gekochte signer. Ledger zei ook dat het het totale verlies en het aantal getroffen gebruikers niet had vastgesteld.
Wat CryptoBilis-kopers volgens Ledger moeten doen
Ledger adviseerde kopers om een ongebruikte CryptoBilis-signer niet te initialiseren. Wie het apparaat al had ingesteld, moest de assets snel overzetten naar een nieuwe signer met een nieuwe herstelzin. Voer geen herstelzin in op een CryptoBilis-signer en herstel er ook geen wallet mee.
Een op 11 oktober gedeelde screenshot van Ledgers resellerlijst vermeldt CryptoBilis onder Maleisië met de status ‘Sales temporarily paused’. Ledger
Ledger zei dat kopers een verdachte signer niet naar iemand moesten opsturen voordat ze contact hadden gehad met Ledger Support of de lokale politie. Wie geld had verloren, moest eerst met de politie overleggen voordat het apparaat werd geopend. Ledger
