Wer Bitcoin oder andere Kryptowährungen mit einer Hardware-Wallet von Ledger verwaltet, sollte derzeit besonders auf die Herkunft seines Geräts achten. Die separaten Geräte speichern die privaten Zugangsschlüssel und gelten als besonders sichere Form der Verwahrung. Doch Angreifer sollen Ledger-Wallets nun mit zusätzlicher Technik manipuliert haben, um sensible Zugangsdaten abzufangen und Kryptowährungen zu stehlen.

Nachdem zunächst Vorfälle aus Südostasien bekannt geworden waren, gibt es inzwischen auch einen Verdachtsfall in Deutschland. Ein Kunde berichtet, zusätzliche elektronische Bauteile in bei Mediamarkt gekauften Ledger-Geräten entdeckt zu haben. MediamarktSaturn hat den Verkauf der Produkte daraufhin vorsorglich in Filialen und online ausgesetzt. Darüber berichten unter anderem die Fachmedien „BTC-ECHO“ und „The Block“. Der deutsche Fall wird noch untersucht. Vermögensverluste wurden in diesem Zusammenhang bislang nicht gemeldet.

Bitte beachten:

Aktien, Immobilien und andere Investments sind grundsätzlich mit einem Risiko verbunden. Auch ein Totalverlust des eingesetzten Kapitals kann nicht ausgeschlossen werden. Ebenso können Kredite eine erhebliche finanzielle Belastung darstellen. Verbraucher sollten ihre finanzielle Situation sorgfältig prüfen und alle Kosten gründlich durchrechnen. Die veröffentlichten Artikel, Daten und Prognosen sind keine Aufforderung zum Kauf oder Verkauf von Wertpapieren oder Rechten und ersetzen keine fachliche Beratung.

Ledger fordert Verkaufsstopp in sieben asiatischen Märkten

Inzwischen hat Ledger weitere Händler und Vertriebspartner aufgefordert, den Verkauf seiner Geräte vorübergehend einzustellen, wie eine Mitteilung des Herstellers auf der sozialen Plattform „X“ bestätigt. Demnach betrifft dies Indonesien, Singapur, Thailand, die Philippinen, Vietnam, Malaysia und Hongkong. Nach Angaben der Branchenmedien geht es vorrangig um manipulierte Hardware-Wallets, die über den Händler „CryptoBilis“ verkauft wurden. An welcher Stelle des Vertriebswegs die Geräte verändert wurden und wer dafür verantwortlich ist, bleibt bislang offen.

Laut der Stellungnahme auf „X“ beschränken sich die bestätigten Vorfälle bisher auf Südostasien. Einen Diebstahl im Zusammenhang mit einem anderswo gekauften Gerät habe Ledger bislang nicht nachweisen können. Der Hersteller sieht zudem keine Hinweise darauf, dass seine eigene Infrastruktur, seine Systeme, Dienstleistungen oder der Direktvertrieb kompromittiert wurden.

Manipulierte Ledger-Wallets sollen Wiederherstellungswörter auslesen

Anstatt die Sicherheitssoftware der Wallets zu knacken, manipulierten die Angreifer die Geräte selbst. Bei mindestens einem untersuchten Gerät wurde eine zusätzliche elektronische Komponente im Inneren entdeckt. Diese konnte Informationen vom Display auslesen. Im Visier standen die sogenannten Wiederherstellungswörter, auch Recovery Phrase oder Seed Phrase genannt. Dabei handelt es sich üblicherweise um eine Folge von 24 Wörtern, mit denen sich der Zugriff auf eine Krypto-Wallet wiederherstellen lässt.

Cyberangriff
Manipulierte Ledger-Wallets sollen die Wiederherstellungswörter auslesen.© Fabian Sommer/dpa | Fabian Sommer

Wer diese Wörter kennt, kann die entsprechenden Kryptowährungen auch auf einem anderen Gerät verwalten und übertragen, ohne die ursprüngliche Hardware-Wallet zu besitzen. Demnach konnte das eingeschleuste Modul die Wiederherstellungswörter während der Einrichtung erfassen und über eine integrierte eSIM per Mobilfunk an die Angreifer übermitteln. Der eigentliche Sicherheitschip der Ledger-Geräte musste dafür nicht manipuliert werden.

Sind alle Ledger-Wallets unsicher?

Nach bisherigem Kenntnisstand sind nicht alle Ledger-Geräte betroffen. Der Hersteller gibt an, dass bislang keine Manipulationen an Geräten aus dem eigenen Direktvertrieb festgestellt wurden. Auch Hinweise auf eine allgemeine Sicherheitslücke in der Firmware oder im Sicherheitschip gibt es demnach nicht.

Auch interessant

Der Vorfall macht jedoch ein grundsätzliches Problem bei Hardware-Wallets deutlich: Selbst technisch sichere Geräte können manipuliert werden, wenn Angreifer vor dem Verkauf physischen Zugriff darauf haben. Problematisch ist dabei, dass eine übliche Echtheitsprüfung zusätzliche Spionagehardware nicht unbedingt erkennt. Denn das Gerät kann weiterhin mit der unveränderten Originalsoftware funktionieren.

Was Besitzer einer Ledger-Wallet jetzt beachten sollten

Wer bereits eine Ledger-Wallet besitzt, muss nicht automatisch davon ausgehen, dass seine Kryptowährungen gefährdet sind. Dennoch sollten Nutzer einige Vorsichtsmaßnahmen beachten.

  1. Herkunft überprüfen: Vorsicht ist vor allem bei Wallets geboten, die über Drittanbieter gekauft wurden. Für Geräte des Händlers CryptoBilis hat Ledger eine Sicherheitswarnung veröffentlicht.
  2. Unbenutzte Geräte vorerst nicht einrichten: Wer möglicherweise ein betroffenes Gerät besitzt, sollte es zunächst nicht initialisieren und weitere Informationen des Herstellers abwarten.
  3. Kryptowährungen gegebenenfalls übertragen: Besteht ein konkreter Manipulationsverdacht und wurde die Wallet bereits eingerichtet, sollten die Kryptowährungen auf eine vertrauenswürdige, neu eingerichtete Wallet übertragen werden. Dafür ist eine vollständig neue Wiederherstellungsphrase erforderlich.
  4. Wiederherstellungswörter geheim halten: Die Recovery Phrase sollte niemals auf Webseiten eingegeben oder an vermeintliche Support-Mitarbeiter weitergegeben werden. Auch bei Warnmeldungen und Nachrichten, die zum Anklicken von Links auffordern, ist Vorsicht geboten.
  5. Informationen des Herstellers verfolgen: Ledger untersucht die Vorfälle weiter und will unter anderem die Sicherheitskontrollen innerhalb der eigenen Vertriebskette überprüfen.

Kryptowährung: Sicherheitsvorfall wirft Fragen auf

Der Fall zeigt, dass auch Hardware-Wallets keinen absoluten Schutz bieten. Offenbar wurde nicht die eigentliche Verschlüsselung oder Sicherheitsarchitektur überwunden. Stattdessen nutzten die Angreifer eine Schwachstelle außerhalb der digitalen Schutzmechanismen: die Lieferkette.

Für Verbraucher ist das problematisch, weil sich eine professionell manipulierte Wallet von außen kaum erkennen lässt. Wie viele Geräte tatsächlich betroffen sind und ob auch weitere Händler oder Kunden in Europa gefährdet sein könnten, müssen die laufenden Untersuchungen zeigen.

Quellen:

Ledger (@Ledger): „72 hour update on reseller CryptoBilis incident“, in: X, 11. Oktober 2026. Online verfügbar, zuletzt abgerufen am 14. Oktober 2026.

Ledger (@Ledger): „Update zum Sicherheitsvorfall beim Händler CryptoBilis“, in: X, 13. Oktober 2026, zuletzt abgerufen am 14. Oktober 2026.

„Ledger confirms hardware implant in CryptoBilis reseller units as MediaMarkt suspends sales in Europe“, in: The Block, 13. Oktober 2026, aktualisiert am 13. Oktober 2026. Online verfügbar, zuletzt abgerufen am 14. Oktober 2026.

„Ledger bestätigt manipulierte Hardware-Wallet“, in: BTC-ECHO, 13. Oktober 2026. Online verfügbar, zuletzt abgerufen am 14. Oktober 2026.