Ledger visste om angrep måneder før millioner forsvant

Varslet lenge før krisen ble offentlig

Hardware-hackeren Joe Grand hevder han identifiserte identiske LTE-implantater på åtte Ledger Nano X-enheter kjøpt fra sørøstasiatiske markedsplasser allerede i august 2025, og at han varslet Ledger om funnene i mars 2026, ifølge opplysninger gjengitt av Bitcoinist. Det var flere måneder før den brede forsyningskjede-attacken ble kjent for offentligheten i oktober 2026.

Det er viktig å understreke at tvisten først og fremst dreier seg om kommunikasjon og produktdistribusjon — ikke om bevis for at Ledgers underliggende kryptografi ble brutt. Ledger møter nå spørsmål om hvordan selskapet håndterte tidlige advarsler etter at rapporter om kryptotyverier begynte å dukke opp.

Hva skjedde egentlig i oktober

Mellom 9. og 14. oktober 2026 ble mellom 300 og 470 kryptolommebøker tømt samtidig på tvers av TRON, Bitcoin, Ethereum og Solana. Uavhengig on-chain-etterforskning fra blant andre Bitquery har anslått de samlede tapene til mellom 86 og 102 millioner dollar. Tether skal ha frosset rundt 10 millioner dollar i USDT knyttet til de mistenkte adressene.

Angrepsvektoren var fysisk: Aktørene limte inn et ekstra kretskort med LTE-modem, eSIM og antenne under dekselet på enhetene — i hovedsak Nano X, men rapporter har senere også nevnt Flex-modellen. Implantatet fanget opp gjenopprettingsfrasen på 24 ord direkte fra skjermkretsene idet den ble vist under oppsett, og sendte den ukrypterte frasen videre over mobilnettet.

Dette er kjernen i det tekniske problemet: Ledgers proprietære "Genuine Check" bekrefter at selve Secure Element-brikken (en STMicroelectronics ST33) er ekte og kjører signert fastvare. Fordi implantatet kun avlyttet skjermledningene uten å røre selve brikken, besto de manipulerte enhetene alle offisielle autentiseringsrutiner.

Sporet til én forhandler

De kompromitterte enhetene ble først sporet til CryptoBilis, en autorisert forhandler i Malaysia, Indonesia og Filippinene som nylig hadde skiftet eier. Senere rapporter har også funnet manipulerte enheter solgt gjennom den europeiske elektronikkjeden MediaMarkt og en butikk ved Singapore Changi flyplass.

Det bør nevnes at Joe Grands påstander så langt bygger på hans egne undersøkelser og uttalelser til journalister, og at Ledger ikke har bekreftet den fulle tidslinjen offentlig i kildematerialet vi har tilgjengelig. Saken bør derfor leses som en pågående tvist om ansvar og varslingsrutiner, ikke som en endelig fastslått kjensgjerning.

Bransjen reagerer

Krisen har satt fart i en bredere omstilling blant produsenter av hardware-lommebøker. Trezors driftssjef Danny Sanders kunngjorde 13. oktober at selskapet vil avslutte kontrakter med utvalgte tredjepartsforhandlere innen 1. januar 2027, og beskrev grepet som en forebyggende forsterkning av sikkerheten i distribusjonskjeden.

OneKey gikk enda lenger: konsernsjef Yishi Wang kunngjorde samme dag at selskapet kutter 95 prosent av sine autoriserte forhandlere, stanser all ekstern distribusjon midlertidig, og tilbyr gratis erstatningsenheter til kunder som kjøpte produkter via CryptoBilis mellom mars og oktober 2026.

Konkurrenten Tangem, som bruker en forseglet, skjermløs korttype uten mulighet for fastvareoppdatering, har pekt på sin konstruksjon som et strukturelt forsvar mot nettopp denne typen fysisk manipulasjon. Selskapet oppgir å ha produsert over 6 millioner enheter innen utgangen av 2026.

Dette er ikke første gang Ledger havner i søkelyset. I 2020 ble en kundedatabase med navn og postadresser til rundt 272.000–292.000 kunder lekket, noe som i 2021 ble fulgt av fysiske phishing-forsendelser med falske erstatningsenheter. I desember 2023 ble selskapets programvarebibliotek Connect Kit kompromittert via en NPM-konto, noe som førte til et tyveri på rundt 600.000 dollar.

Kryptografisk verifisering av selve sikkerhetsbrikken kan ikke garantere at perifer maskinvare som skjerm og kretsbaner ikke er avlyttet.

Hva betyr dette for brukere

For norske og nordiske kryptoinvestorer som bruker hardware-lommebøker, er det viktigste rådet som kommer frem av saken: kjøp alltid direkte fra produsenten eller offisielt autoriserte kanaler, og vær skeptisk til enheter kjøpt via tredjepartsmarkedsplasser eller gjenselgere med uklar opprinnelse. Saken illustrerer også at selv solid kryptografi i selve brikken ikke beskytter mot fysisk manipulasjon av omkringliggende komponenter som skjerm og kretskort.

Ledger er kontaktet av flere medier for kommentar om Joe Grands påstander og tidslinjen for varslingen, men har foreløpig ikke gitt et fullstendig offentlig svar på alle detaljene i saken.