Ledger wallet gehackt? Hoe het gebeurt en wat u moet doen

Bent u hier omdat er geld uit uw wallet is verdwenen, of omdat u over een ‘Ledger-hack’ hebt gelezen en niet zeker weet wat dat voor uw situatie betekent? Dit artikel behandelt beide. Het onderscheid tussen gedocumenteerde incidenten, hoe hardware wallets daadwerkelijk worden gecompromitteerd en wat uw opties nu zijn, bepaalt wat u vervolgens moet doen.

Kan een Ledger-hardwarewallet worden gehackt?

Niet op afstand, en niet zoals de meeste mensen denken. Een Ledger apparaat bewaart privésleutels in een Secure Element-chip: een manipulatiebestendig onderdeel, gecertificeerd op EAL5+, dat sleutelgegevens niet vrijgeeft, zelfs niet bij directe fysieke aanvallen. Er is geen gedocumenteerd geval van iemand die op afstand privésleutels uit een Ledger apparaat haalde en direct via de hardware geld leegtrok. Wanneer mensen zeggen dat een Ledger is ‘gehackt’, beschrijven ze bijna altijd iets anders: een phishingpagina, een blootgestelde herstelzin of een kwaadaardige goedkeuringsprompt. Dat onderscheid is belangrijk, omdat het aangeeft waar de werkelijke zwakte zat.

Wat de eigen beveiligingsincidenten van Ledger echt inhielden

In juli 2020 werd de e-commerce- en marketingdatabase van Ledger gecompromitteerd door een aanvaller die een API-sleutel misbruikte. Ongeveer 272.000 klanten hadden hun naam, e-mailadres, telefoonnummer en in sommige gevallen postadres blootgesteld. Er werden geen privésleutels, geen herstelzinnen, geen wallet-data en geen geld blootgesteld. Het lek zat op de servers van het bedrijf, niet op apparaatniveau.

Wat volgde, was een aanhoudende en goed gefinancierde phishingcampagne die deze gelekte gegevens gebruikte. Gerichte e-mails met echte klantnamen, overtuigende nep-Ledger-websites en vervalste supportcontacten waren allemaal bedoeld om herstelzinnen te bemachtigen van Ledger-gebruikers die dachten dat het contact legitiem was. De meeste gevallen die worden omschreven als ‘mijn Ledger is gehackt’ gaan terug op die campagne, niet op een compromittering van de hardware zelf.

In december 2023 werd Ledgers Connect Kit – een JavaScript-bibliotheek die veel DeFi-applicaties gebruiken om verbinding te maken met hardware wallets – gecompromitteerd via een supply chain-aanval op de toegangsgegevens van een voormalig medewerker. De aanvaller injecteerde kwaadaardige code die gebruikers ertoe aanzette frauduleuze transacties via hun wallets goed te keuren. Dit was een aanval op de softwarelaag die de browserinterface trof, niet het beveiligingsmodel van het Ledger apparaat. Gebruikers die de verzoeken goedkeurden, verloren geld; gebruikers die dat niet deden, bleven buiten schot.

Hoe Ledger wallets daadwerkelijk worden gecompromitteerd

Phishing en neppe apps

Phishing is veruit de meest voorkomende oorzaak. Nep-e-mails, neppe Ledger Live-downloadpagina's en neppe supportaccounts op Reddit en Telegram vragen allemaal om uw herstelzin van 24 woorden, onder het mom van een firmware-update, accountverificatie of beveiligingsmelding. Zodra iemand die 24 woorden heeft, heeft hij de wallet: hij kan elke privésleutel opnieuw genereren en elk account leegtrekken, meestal binnen enkele minuten. Hoe elke vorm van phishing werkt en hoe de waarschuwingssignalen eruitzien, staat hier uitgebreid uitgelegd.

Nagebootste apparaten

Nagebootste hardware is een minder vaak voorkomend maar gedocumenteerd risico. Gemanipuleerde apparaten die er van buiten identiek uitzien aan een echte Ledger kunnen worden geleverd met een herstelzin die de aanvaller al kent; elke munt die naar die wallet wordt gestuurd, is onmiddellijk voor hem beschikbaar. Sommige nepartikelen zeggen dat u een zin moet gebruiken die op een kaart in de doos staat, in plaats van een nieuwe te genereren. Een echte Ledger genereert tijdens de eerste installatie altijd een verse, willekeurige zin. Koop alleen bij ledger.com of een officieel vermelde erkende verkoper en voer vóór het storten van tegoed de genuine check uit.

Blootgestelde herstelzin

Blootgestelde herstelzin omvat alles waardoor uw 24 woorden zichtbaar werden voor iemand anders: een foto op een later gecompromitteerde telefoon, woorden die in een verbonden apparaat zijn getypt, een back-up in e-mail of cloudopslag, of een zin die op een nepsite is ingevoerd. De zin hoeft niet in realtime te worden gestolen; hij kan maanden of jaren later worden gevonden en gebruikt. Hoe u een herstelzin in de toekomst veilig bewaart, staat hier uitgelegd.

Kwaadaardige transactiegoedkeuringen

Het Connect Kit-incident van december 2023 liet een vierde route zien: een aanvaller die uw sleutels niet kan aanraken, kan u toch leegtrekken als hij u zover krijgt dat u een frauduleuze transactie goedkeurt. Kwaadaardige dApps, neppe goedkeuringsverzoeken en gecompromitteerde wallet-connect-bibliotheken kunnen aannemelijk ogende transacties tonen die bij ondertekening een account leegtrekken. Het apparaat blijft veilig; de goedkeuring is het aanvalsoppervlak. Controleer elke handtekening op het scherm van het apparaat zelf, niet in het browservenster, en onderteken nooit een transactie die u niet volledig herkent.

Als er geld is verdwenen: wat u nu meteen moet doen

Stort geen extra geld in de gecompromitteerde wallet: alles wat u stuurt, wordt net zo snel leeggehaald als het vorige saldo, omdat aanvallers adressen meestal automatisch volgen. Als andere wallets dezelfde herstelzin gebruiken, verplaats dat geld dan onmiddellijk naar een nieuwe wallet met een volledig verse zin, vóór al het andere.

Documenteer alles vóór u handelt: transactiehashes, tijdstempels, walletadressen en alle e-mails, URL's of berichten waarmee u contact had vóór het geld verdween. Wetshandhaving onderzoekt cryptodiefstal steeds vaker, en deze documentatie maakt een zaak behandelbaar. In de VS doet u aangifte bij de IC3 via ic3.gov; in andere landen is de lokale eenheid voor financieel misdrijf of cybercriminaliteit het startpunt.

Kan gestolen crypto worden teruggehaald?

Blockchaintransacties zijn naar hun aard onomkeerbaar. Zodra geld een wallet verlaat, is het onder controle van de ontvanger en kan geen enkele dienst het terugdraaien. Wat blockchain-forensisch onderzoek wel kan doen, is traceren waar het geld naartoe ging: transacties zijn openbaar en wetshandhaving kan soms geld bevriezen dat bij een meewerkende dienst ligt. Traceren is niet hetzelfde als terugkrijgen, en wie tegen een vooruitbetaling gegarandeerd terugkrijgen van gestolen geld belooft, voert hersteloplichting – waardoor het slachtoffer opnieuw wordt gedupeerd.

Cryptoherstel doet geen diefstal- of fraudezaken. Onze focus is technisch toegangsherstel: mensen die hun crypto nog bezitten, maar er niet meer bij kunnen vanwege een vergeten pincode, ontbrekende woorden in een herstelzin, een ongeldige herstelzin of een beschadigde back-up. Gaat het bij u om verloren toegang en niet om diefstal, herstel dan de toegang tot uw Ledger wallet. Zijn uw geld door een derde gestolen, dan is de juiste weg aangifte doen bij de wetshandhaving en, bij aanzienlijke bedragen, een gespecialiseerd blockchain-forensisch bureau inschakelen.

FAQ: Ledger-hack

Is Ledger ooit gehackt?

De e-commerce-database van Ledger werd in 2020 gecompromitteerd, waarbij klantcontactgegevens op straat kwamen te liggen, en in 2023 werd een Ledger-bibliotheek (Connect Kit) gecompromitteerd. Geen enkel incident stelde privésleutels of herstelzinnen van de Ledger apparaten zelf bloot.

Kan een Ledger op afstand worden gehackt?

Er is geen gedocumenteerd geval van iemand die op afstand privésleutels uit een Ledger apparaat haalde. Echte compromitteringen verlopen via phishing, blootgestelde zinnen, nagebootste apparaten of frauduleuze transactiegoedkeuringen – niet via de hardware.

Mijn Ledger is ‘gehackt’ – wat moet ik eerst doen?

Verplaats onmiddellijk al het resterende geld uit elke wallet die deze herstelzin gebruikt naar een nieuwe wallet met een nieuwe zin. Documenteer daarna transactiehashes en tijdstempels en doe aangifte bij het juiste wetshandhavingskanaal. Stort geen extra geld in de gecompromitteerde wallet.

Kan een herstelzin uit een Ledger apparaat worden gestolen?

Nee. De Secure Element geeft de zin niet vrij en geen enkele gedocumenteerde aanval heeft hem uit de hardware gehaald. De zin loopt risico op papier, in foto's, in de cloud en in phishingformulieren – niet binnen het apparaat.