Offlineplånboken som ringde hem sina egna nycklar

Den 9 oktober 2026 lämnade nästan 5 miljoner dollar tre bitcoinadresser på en gång. Pengarna hade legat på hårdvaruplånböcker från Ledger , enheter som finns av ett enda skäl: att hindra kryptonycklar från att någonsin komma i kontakt med internet. Med största sannolikhet försvann de genom ett SIM-kort som någon hade gömt i höljet.

Det märkligaste är inte beloppet. Pengarnas ägare var själv en bedragare. Analysföretaget Chainalysis kallade honom ett av stöldvågens största offer och spårade varifrån hans 60 bitcoin kom. Han betalade folk för att skriva falska recensioner och krävde sedan en avgift innan han betalade ut det de tjänat. Den 22 september flyttade han vinsten till tre Ledger-adresser. Den 9 oktober tog någon annan dem.

Chainalysis säger inte var bedragaren köpte sina enheter. Men samma dag inledde Ledger en utredning av förluster som köpare i Sydostasien rapporterat. Den 10 oktober bekräftade företaget att en främmande komponent hittats i ett offers plånbok, och den 13:e förklarade det exakt vad man funnit: en extra mikrokontroller och ett mobilmodem med eSIM, ett SIM-kort lött direkt på kretskortet. En enhet som byggts för att leva offline gick i smyg ut på nätet och skickade iväg sina egna nycklar.

Tjugofyra ord på en skärm

En hårdvaruplånbok ser ut som ett USB-minne med en liten skärm och ett par knappar. Inuti finns ett säkert chip som lagrar den hemliga nyckeln och signerar överföringar på egen hand. Din dator eller telefon lämnar bara över en förberedd transaktion och får tillbaka den signerad. Nyckeln lämnar aldrig chipet, så skadlig kod på datorn kommer inte åt den.

Systemet har en nödutgång som det inte kan vara utan. Plånböcker försvinner och krossas. För det fallet visar enheten vid första installationen 24 ord på skärmen, och ägaren skriver av dem på papper.

Plånbokens huvudhemlighet syns i klartext bara vid sällsynta tillfällen. Oftast är det vid första installationen, när orden dyker upp på skärmen, och mer sällan vid återställning, när de skrivs in igen. Attacken är byggd kring det första av dessa tillfällen.

En telefon inuti plånboken

Den 13 oktober beskrev Ledgers säkerhetsteam, Ledger Donjon, hur implantatet fungerar. En mikrokontroller i höljet bevakar vad som visas på displayen, avkodar seed-orden och skickar dem över LTE, vanligt mobilt internet, precis som i en telefon. Den låter det säkra chipet och firmware vara och ändrar varken transaktioner eller signaturer. Plånboken märker ingenting. Den fortsätter troget att vakta sin nyckel, medan de 24 orden som kan återskapa nyckeln för länge sedan ligger i främlingars händer.

Därför är den officiella äkthetskontrollen värdelös här. Enligt Ledger kan funktionen Genuine Check inte upptäcka tillagda komponenter så länge det ursprungliga säkra chipet sitter kvar. Den kontrollerar chipet. Inte dess grannar.

Det här var inga hobbyister. I den första varianten hittade forskare vid Tibane Labs en STM32-mikrokontroller, ett eSIM på 2 gånger 2 millimeter och en skärmad radiomodul. För att få plats hade det ursprungliga batteriet bytts mot ett mindre som drev både plånboken och “spionen”. I den andra varianten var chipmarkeringarna bortskrapade, och kortet låg gömt under displayen där det normalt sitter en skumgummiplatta. Det var ett flexibelt kretskort tillverkat i serier, fabriksmässigt, inte något som lötts för hand vid ett köksbord.

En butik med rätt skylt på dörren

Ledger kopplar varje bekräftad förlust till en enda säljare, CryptoBilis, en malaysisk återförsäljare. Det var ingen slumpmässig loppmarknadssäljare: den 9 oktober stod den uppförd som officiell Ledger-återförsäljare i Indonesien, Malaysia och Filippinerna. Utredningen har ännu inte fastställt vem som öppnade lådorna eller var, på vägen från fabriken eller i ett lager.

Men historien stannade inte i Asien. I Tyskland köpte en vanlig kund en plånbok på MediaMarkt, en stor elektronikkedja, och hittade en “spion” inuti. Han förlorade inga pengar, och kedjan drog tillbaka Ledger från sina butiker och sin webbplats. Mark Karpelès, tidigare chef för börsen Mt. Gox, skrev att han hittat ett implantat i en Ledger Flex som köpts i en butik på Singapores flygplats, även om Ledger inte bekräftade något samband mellan den enheten och CryptoBilis. Ledger själv bad säljare i sex sydostasiatiska länder och Hongkong att ta plånböckerna från hyllorna tills kontrollerna är klara.

Ingen vet hur mycket som stulits totalt. Enligt forskarna som kallar sig tanuki42 och Specter gick mellan 72 miljoner och över 86 miljoner dollar till misstänkta adresser. Ledger säger rakt ut att siffrorna kommer från tredje part och att företaget inte har verifierat dem. Tether ger ut digitala dollar, så kallade stablecoins, och kan frysa sina egna mynt på någon annans adress. Företaget frös tillgångar för 10 miljoner dollar kopplade till stölden. Än så länge är det den enda nämnda summan som någon lyckats stoppa på vägen.

En nyckel som inte går att byta

Hos Ledger missade äkthetskontrollen ett extra kretskort. Hos Keystone, en annan tillverkare av hårdvaruplånböcker, stal tjuvarna själva nyckeln bakom en sådan kontroll. Den 20 oktober tog sig en angripare in på företagets webbplats via en brist i ett dataövervakningsverktyg från tredje part. Keystone uppgav att uppgifter om nästan 26 000 köpare från 2024 till 2026 exponerats: namn, kontaktuppgifter, leveransadresser och orderinnehåll. Seed-fraser och plånboksnycklar påverkades enligt företaget inte.

En lista över hemadresser till människor som köpt en enhet för att förvara krypto är farlig i sig. I Frankrike dyker rånare redan upp hemma hos sådana människor , och de hämtar sina tips från just den här sortens läckta databaser. Vissa av posterna borde inte ha funnits alls. Enligt Keystones egen policy skulle de raderas efter 180 dagar, men det automatiska raderingsverktyget gick sönder. Ingen märkte det. “Vi misslyckades med att uppfylla vårt åtagande att radera kunduppgifter i tid, och vi tar ansvar för det misslyckandet”, skrev företaget.

Den andra förlusten är värre. Angriparen tog också en nyckel som byggs in i varje enhet på fabriken så att den kan bevisa sin äkthet vid en onlinekontroll. Den nyckeln går inte att byta i plånböcker som redan tillverkats. Det betyder att en förfalskning som bär den skulle klara just den kontroll som är till för att fånga den.

Keystone beslutade att förstöra 18 835 osålda enheter, pausade leveranserna och gjorde om webbshopen till förhandsbeställningar. Plånböcker som levererats före den 20 oktober går att använda om de klarar autentiseringen, säger företaget. Den som fått en plånbok efter det datumet bör först låta kontrollera den ytterligare. Keystone varnar också för att man aldrig kommer att skicka meddelanden där kunder uppmanas lämna tillbaka en enhet eller flytta sina tillgångar: sådana meddelanden kommer från bedragare.

En kedja du måste lita på

Tillverkarna reagerar olika. Trezor hittade inga manipulerade enheter bland sina egna, men från och med den 1 januari 2027 krymper man sitt återförsäljarnät, och vissa butiker förlorar rätten att sälja plånböckerna. OneKey bröt med CryptoBilis som partner och byter kostnadsfritt ut sina egna plånböcker som köpts där mellan den 1 mars och den 13 oktober 2026.

Ledger råder människor att inte installera CryptoBilis-enheter alls. De som redan har en bör flytta sina tillgångar till en ny plånbok med en ny seed-fras och aldrig skriva in de gamla orden på en misstänkt enhet. Ledger säger att dess egna servrar och direktförsäljning inte komprometterades, och inget har hittills motsagt det. Därav den mest praktiska lärdomen: tryggast är att köpa direkt från tillverkaren och aldrig installera en plånbok av oklart ursprung.

Mycket är fortfarande okänt. Antalet offer har inte redovisats, och den som lödde kretskorten har inte hittats. Det är inte heller klart hur långt de manipulerade enheterna spridit sig utanför en enda säljare.

Changpeng Zhao, medgrundare av Binance, skrev samma dag som de första rapporterna kom att självförvaring innebär extra ansvar. Men CryptoBilis kunder hade köpt sina plånböcker av en officiell säljare, och ingen aktsamhet i världen hade låtit dem upptäcka ett kort gömt under skärmen.

Hårdvaruplånboken lovade sin ägare att hen inte längre skulle behöva lita på en börs eller en bank. Oktober visade att förtroendet inte försvann utan bara flyttade: nu måste du lita på fabriken, lagret, butiken och kuriren som höll i lådan långt innan du gjorde det.