Ledger-wallet med skjult eSIM: Sådan kunne krypto stjæles

Hvad skete der i sagen om Ledger-wallet og eSIM?

Sikkerhedsforskere har dokumenteret ændrede Ledger Nano X-enheder med ekstra hardware indbygget. Implantatet sidder inde i en ellers ægte wallet. Det overvåger de data, der sendes fra secure element-chippen til OLED-skærmen, når enheden under opsætningen viser den 24 ord lange gendannelsesfrase.

Det skjulte printkort kan genskabe ordene ud fra skærmdataene, gemme dem og sende dem videre til en angriber via mobilnettet. Senere versioner indeholder angiveligt et modem, en antenne og et indbygget SIM. eSIM'et fungerer derfor som implantatets kommunikationskanal. Det er ikke en legitim Ledger-funktion.

Ledger oplyste den 9. oktober 2026, at virksomheden undersøgte meldinger om stjålne midler knyttet til enheder solgt gennem CryptoBilis, en autoriseret forhandler i dele af Sydøstasien. Ledger bad forhandleren om at standse salg og forsendelser. Virksomheden sagde samtidig, at den på det tidspunkt ikke havde modtaget tilsvarende meldinger om enheder købt direkte hos Ledger.

Hvordan kan en ægte hardware-wallet være kompromitteret?

En hardware-wallet opbevarer normalt sine private nøgler i en hærdet secure element-chip. Chippen kan oprette nøgler og underskrive transaktioner uden at udlevere hemmeligheden. Men under opsætningen skal enheden vise gendannelsesordene én gang. Derfor sendes visuelle data videre til skærmen.

Det rapporterede implantat angriber denne forbindelse i stedet for at bryde secure element-chippen. Forskere hos Tibane Labs beskriver flere generationer af den manipulerede enhed. De tidlige eksemplarer havde tydelige ledninger og et mindre erstatningsbatteri. Nyere versioner bruger specialfremstillede fleksible printkort, farvetilpassede belægninger, afskrabede komponentmærkninger og mobildele skjult under skærmen.

Angrebet er farligt, fordi flere almindelige kontroller stadig kan se betryggende ud:

• Secure element-chippen kan være ægte, så en softwarebaseret ægthedskontrol kan blive godkendt.
• Enheden kan starte, oplade, oprette forbindelse og underskrive transaktioner som normalt.
• Emballagen og det udvendige kabinet behøver ikke vise tydelige tegn på indgreb.
• Implantatet har sin egen mobilforbindelse og behøver derfor hverken offerets telefon eller Wi-Fi.

Hvad gør eSIM-kortet – og hvad gør det ikke?

Udtrykket »eSIM-kryptotyveri« kan give et forkert indtryk. I denne sag ser det indbyggede SIM ud til at være en komponent i uautoriseret overvågningshardware. Det giver implantatet en diskret vej til at sende opsnappede data via LTE-, LTE-M- eller NB-IoT-netværk.

Det er ikke det samme som SIM-swap. Ved et SIM-swap overtager en kriminel offerets mobilnummer for at opsnappe opkald eller koder sendt via sms. Her erstatter det skjulte eSIM ikke ejerens telefonlinje. Det tilhører implantatet og fungerer uafhængigt.

Sagen adskiller sig også fra risikoen ved en usikker rejse-eSIM-app, profil eller proxy-tjeneste. Den særskilte trusselstype gennemgår vi i vores guide til risici ved gratis eSIM-proxyer og kodetyveri.

Hvem bør handle med det samme?

Den tydeligste officielle advarsel gjaldt personer, der for nylig havde handlet hos CryptoBilis. Kunder, som havde købt en Ledger-enhed hos forhandleren inden for den angivne periode på 90 dage, blev bedt om ikke at sætte den op. Kunder, der allerede havde initialiseret enheden, blev rådet til at flytte deres aktiver til en ny enhed med en helt ny gendannelsesfrase.

Danske ejere bør også være ekstra forsigtige, hvis en wallet er købt via en markedspladssælger, en ukendt importør, en forhandler med uklare ejerforhold eller brugt. Forskerne fik adgang til nyere eksemplarer med implantater gennem tredjepartskanaler i Japan, blandt andet via en annonce på en almindelig markedsplads. De fastslog dog ikke, at disse eksemplarer stammede fra CryptoBilis.

Hvad skal du gøre, hvis din Ledger kan være ramt?

Hvis købsstedet matcher advarslen, eller du har en konkret grund til at mistænke manipulation, bør du betragte enhver gendannelsesfrase, der er blevet vist på enheden, som muligvis kompromitteret. Problemet løses ikke ved at nulstille den samme wallet og genbruge de samme ord.

1. Stop med at bruge den mistænkelige enhed. Initialisér den ikke, gendan ikke en frase på den, og godkend ikke flere transaktioner.
2. Anskaf en betroet erstatning. Køb direkte hos producenten, eller følg Ledgers officielle vejledning om ombytning.
3. Opret en helt ny gendannelsesfrase på betroet hardware. Importér aldrig den gamle frase.
4. Flyt aktiverne forsigtigt. Begynd med en lille testoverførsel, kontrollér modtageradressen på den betroede enhed, og flyt derefter resten.
5. Bevar beviserne. Gem wallet, æske, kvittering, sælgeroplysninger, serienummer og forsendelsesdokumentation.
6. Kontakt Ledger Support via den officielle supportside. Brug ikke supportlinks fra uopfordrede beskeder.
7. Anmeld et eventuelt tyveri. Kontakt hurtigt den relevante kryptobørs, den lokale cyberkriminalitetsmyndighed og en kvalificeret blockchain-efterforsker.

Kan du selv opdage det skjulte implantat?

Ikke på en pålidelig måde. Tidligere versioner havde et ændret batteri og synlige, håndloddede ledninger. Det nyeste dokumenterede eksemplar beholdt angiveligt det originale batteri og skjulte et sortbelagt fleksibelt printkort under skærmen. En tynd antenneledning var et af de få synlige spor, efter at kabinettet var blevet åbnet.

Hvis du åbner en wallet, kan du beskadige den, ødelægge beviser, skabe risiko omkring batteriet og gøre en support- eller garantisag vanskeligere. Et normalt ydre, korrekt emballage og en bestået ægthedskontrol kan ikke udelukke ekstra hardware, hvis selve secure element-chippen stadig er ægte.

Gør sagen rejse-eSIM'er usikre?

Nej. Et almindeligt rejse-eSIM er et digitalt mobilabonnement, der installeres på en kompatibel telefon. Den skadelige komponent i denne sag er et indbygget SIM, som er loddet ind i uautoriseret hardware. Teknologierne bruger en beslægtet standard for mobilforbindelse, men de har forskellige formål og risikomodeller.

Når du vælger mobildata til en rejse fra Danmark, bør du bruge en kendt udbyder, installere profilen via de officielle instruktioner, beskytte udbyderkontoen med stærk godkendelse og undgå tjenester, der beder om gendannelsesord til en wallet. En rejse-eSIM-udbyder har aldrig brug for din seed phrase.

Vores aktuelle udvalg af etablerede eSIM-udbydere kan hjælpe dig med at sammenligne legitime løsninger til mobildata på rejsen. Det erstatter ikke et sikkerhedstjek af din hardware-wallet.

Hvad ændrer angrebet for sikkerheden i hardware-wallets?

Den vigtigste lære er, at »ægte chip« ikke altid betyder »umanipuleret enhed«. Secure element-chips er fortsat værdifulde, men de indgår i et større fysisk system med skærm, strømførende forbindelser, knapper, kommunikationsbusser og en forsyningskæde.

Køb så vidt muligt direkte hos producenten. Opret kun din seed phrase på hardware, du har tillid til. Opbevar gendannelsesfrasen offline. Kontrollér transaktionsoplysningerne på enhedens skærm. Ved større beholdninger kan du overveje at sprede risikoen mellem wallets købt gennem uafhængige kanaler eller bruge en omhyggeligt konfigureret multisignatur-løsning.

Det er samtidig vigtigt at være præcis om det, vi endnu ikke ved. Forskerne har demonstreret fungerende mobilimplantater og dokumenteret stadig mere professionelle konstruktioner. Ledger har anerkendt meldinger om tyveri knyttet til en forhandler. De offentlige beviser har dog endnu ikke fastlagt hele distributionskæden, det samlede antal berørte wallets eller et endeligt bekræftet tabsbeløb.

Ofte stillede spørgsmål

Har Ledger selv tilføjet et eSIM til Nano X?

Nej. Det omtalte eSIM er en del af uautoriseret implantathardware, der er føjet til ægte Nano X-enheder. Det er ikke en standardfunktion i enheden.

Kan implantatet bestå Ledgers kontrol af, om enheden er ægte?

Ja, ifølge forskerne kan det ske, fordi secure element-chippen stadig er ægte. Implantatet overvåger forbindelsen til skærmen i stedet for at erstatte sikkerhedschippen.

Kan implantatet stjæle gendannelsesfrasen uden internet fra ejeren?

Det indeholder angiveligt sit eget mobilmodem, en antenne og et indbygget SIM. Derfor kan det sende de opsnappede ord uden at bruge ejerens telefon, Wi-Fi eller computerforbindelse.

Bør alle Ledger-ejere straks flytte deres krypto?

Nej, der er ikke udsendt en generel advarsel for alle enheder. Hurtig handling er især relevant for kunder, der er omfattet af Ledgers forhandleradvarsel, og for personer med en konkret grund til at mistænke en usikker salgskanal eller fysisk manipulation.

Er det nok at nulstille den mistænkelige wallet?

Nej. Hvis den gamle frase kan være blevet opsnappet, bliver ordene ikke hemmelige igen ved at nulstille den samme enhed. Opret en ny frase på betroet hardware, og flyt aktiverne til adresser, der er afledt af den.