Ledger-Wallet mit eSIM-Implantat: Das ist passiert

Was ist beim Ledger-Wallet-Diebstahl mit eSIM passiert?

Sicherheitsforscher haben manipulierte Ledger-Nano-X-Geräte mit zusätzlicher Hardware dokumentiert. Das Implantat steckt in einer ansonsten echten Wallet. Während der Einrichtung überwacht es die Daten, die vom Secure Element an das OLED-Display gesendet werden, wenn dort die Wiederherstellungsphrase mit 24 Wörtern erscheint.

Die versteckte Platine kann diese Wörter aus den Display-Daten rekonstruieren, speichern und über eine Mobilfunkverbindung an einen Angreifer senden. Neuere Versionen sollen ein Modem, eine Antenne und eine eingebettete SIM enthalten. Die eSIM dient somit als Kommunikationskanal des Implantats. Sie ist keine reguläre Ledger-Funktion.

Ledger teilte am 9. Oktober 2026 mit, Berichte über gestohlene Kryptowerte zu untersuchen. Die betroffenen Geräte sollen über CryptoBilis verkauft worden sein, einen autorisierten Händler für Teile Südostasiens. Ledger forderte den Händler auf, Verkauf und Versand einzustellen. Zu diesem Zeitpunkt lagen dem Unternehmen nach eigenen Angaben keine entsprechenden Meldungen zu Geräten vor, die direkt bei Ledger gekauft worden waren.

Wie kann selbst eine echte Hardware-Wallet manipuliert sein?

Eine Hardware-Wallet bewahrt private Schlüssel normalerweise in einem besonders geschützten Secure Element auf. Dieser Chip kann Schlüssel erzeugen und Transaktionen signieren, ohne das Geheimnis preiszugeben. Bei der Einrichtung muss die Wallet die Wiederherstellungswörter jedoch einmal anzeigen. Dafür übermittelt sie Bilddaten an das Display.

Das gemeldete Implantat greift genau diesen Übertragungsweg an, statt das Secure Element zu knacken. Forscher von Tibane Labs beschreiben mehrere Generationen der Manipulation. Frühe Exemplare enthielten auffällige Kabel und einen kleineren Ersatzakku. Neuere Versionen arbeiten mit eigens angefertigten flexiblen Leiterplatten, farblich angepassten Beschichtungen, abgeschliffenen Bauteilkennzeichnungen und unter dem Display versteckter Mobilfunktechnik.

Der Angriff ist besonders gefährlich, weil mehrere übliche Prüfungen weiterhin unauffällig wirken können:

• Das Secure Element kann echt sein, sodass die softwarebasierte Echtheitsprüfung bestanden wird.
• Die Wallet lässt sich möglicherweise normal einrichten, laden, verbinden und zum Signieren verwenden.
• Verpackung und Gehäuse können äußerlich unbeschädigt aussehen.
• Das Implantat besitzt eine eigene Mobilfunkverbindung und benötigt weder das Smartphone noch das WLAN des Opfers.

Welche Rolle spielt die eSIM – und welche nicht?

Der Begriff „Kryptodiebstahl per eSIM“ kann in die Irre führen. In diesem Fall scheint die eingebettete SIM Bestandteil einer nicht autorisierten Überwachungshardware zu sein. Über LTE-, LTE-M- oder NB-IoT-Netze kann das Implantat die abgegriffenen Daten unauffällig versenden.

Das unterscheidet sich von SIM-Swapping. Dabei übernimmt ein Krimineller die Mobilfunknummer des Opfers, um Anrufe oder SMS-Codes abzufangen. Die versteckte eSIM in der Wallet ersetzt dagegen nicht den Mobilfunkanschluss des Besitzers. Sie gehört zum Implantat und arbeitet unabhängig.

Ebenso wenig handelt es sich um die Risiken einer unsicheren Reise-eSIM-App, eines fragwürdigen Profils oder eines Proxy-Dienstes. Dieses separate Bedrohungsmodell erklären wir in unserem Ratgeber zu Risiken kostenloser eSIM-Proxys und dem Diebstahl von Zugangscodes.

Wer sollte jetzt sofort handeln?

Die eindeutigste offizielle Warnung galt Personen, die vor Kurzem bei CryptoBilis gekauft hatten. Wer innerhalb des genannten Zeitfensters von 90 Tagen dort ein Ledger-Gerät erworben hatte, sollte es nicht einrichten. Wer eine solche Wallet bereits initialisiert hatte, sollte seine Kryptowerte auf ein neues Gerät übertragen und dafür eine neu erzeugte Wiederherstellungsphrase verwenden.

Vorsicht ist auch angebracht, wenn die Wallet von einem Marketplace-Händler, einem unbekannten Importeur, einem Vertriebspartner mit unklaren Eigentumsverhältnissen oder aus zweiter Hand stammt. Forscher beschafften neuere Exemplare mit Implantat über Drittanbieter-Vertriebskanäle in Japan, darunter ein Angebot auf einem großen Online-Marktplatz. Sie konnten jedoch nicht belegen, dass diese Geräte von CryptoBilis stammten.

Was tun bei einer möglicherweise betroffenen Ledger-Wallet?

Wenn der Kaufweg zur Warnung passt oder es einen konkreten Manipulationsverdacht gibt, sollten Sie jede von diesem Gerät angezeigte Wiederherstellungsphrase als potenziell offengelegt behandeln. Ein Zurücksetzen derselben Wallet und die erneute Verwendung derselben Wörter lösen das Problem nicht.

1. Verwenden Sie das verdächtige Gerät nicht weiter. Richten Sie es nicht ein, stellen Sie darauf keine Phrase wieder her und bestätigen Sie keine weiteren Transaktionen.
2. Besorgen Sie einen vertrauenswürdigen Ersatz. Kaufen Sie direkt beim Hersteller oder folgen Sie den offiziellen Austauschanweisungen von Ledger.
3. Erzeugen Sie auf vertrauenswürdiger Hardware eine vollständig neue Wiederherstellungsphrase. Importieren Sie niemals die alte Phrase.
4. Übertragen Sie Ihre Kryptowerte vorsichtig. Beginnen Sie mit einer kleinen Testtransaktion, prüfen Sie die Zieladresse auf dem vertrauenswürdigen Gerät und übertragen Sie erst danach den Rest.
5. Sichern Sie Beweise. Bewahren Sie Wallet, Verpackung, Kaufbeleg, Verkäuferdaten, Serieninformationen und Versandunterlagen auf.
6. Kontaktieren Sie den Ledger-Support ausschließlich über die offizielle Support-Website. Öffnen Sie keine Support-Links aus unaufgeforderten Nachrichten.
7. Melden Sie einen Diebstahl. Kontaktieren Sie schnell die betroffene Kryptobörse, die zuständige Cybercrime-Behörde und einen qualifizierten Blockchain-Ermittler.

Lässt sich das versteckte Implantat zu Hause erkennen?

Nicht zuverlässig. Frühere Versionen ersetzten den Akku und enthielten sichtbar von Hand verlötete Kabel. Beim neuesten dokumentierten Exemplar soll der Originalakku erhalten geblieben sein. Eine schwarz beschichtete flexible Leiterplatte war unter dem Display verborgen. Erst nach dem Öffnen des Gehäuses fiel als einer der wenigen Hinweise ein dünnes Antennenkabel auf.

Wer eine Wallet selbst öffnet, kann sie beschädigen, Beweise vernichten, Gefahren durch den Akku verursachen und Support- oder Garantieansprüche erschweren. Ein unauffälliges Gehäuse, eine korrekte Verpackung und eine erfolgreich bestandene Echtheitsprüfung schließen zusätzliche Hardware nicht aus, solange das Secure Element selbst authentisch bleibt.

Macht der Vorfall Reise-eSIMs unsicher?

Nein. Eine Reise-eSIM für Verbraucher ist ein digitaler Mobilfunktarif, der auf einem kompatiblen Smartphone installiert wird. Die in diesem Fall beschriebene schädliche Komponente ist eine eingebettete SIM, die in nicht autorisierte Hardware eingelötet wurde. Beide Technologien nutzen einen Mobilfunkstandard, erfüllen aber völlig unterschiedliche Zwecke und haben unterschiedliche Risikoprofile.

Wer für eine Reise mobiles Datenvolumen auswählt, sollte einen bekannten Anbieter nutzen, Profile nur nach offiziellen Anweisungen installieren, das Kundenkonto mit einer starken Authentifizierung schützen und Dienste meiden, die nach Wiederherstellungswörtern einer Wallet fragen. Ein Reise-eSIM-Anbieter benötigt niemals Ihre Krypto-Seed-Phrase.

Unsere aktuelle Auswahl etablierter eSIM-Anbieter hilft Ihnen, seriöse Optionen für die mobile Internetverbindung auf Reisen zu vergleichen. Sie ersetzt jedoch keine Sicherheitsprüfung Ihrer Hardware-Wallet.

Was der Angriff für die Sicherheit von Hardware-Wallets bedeutet

Die wichtigste Erkenntnis lautet: Ein echter Chip bedeutet nicht automatisch, dass das gesamte Gerät unverändert ist. Secure Elements bleiben ein wichtiger Schutz. Sie sind jedoch Teil eines größeren physischen Systems mit Display, Stromversorgung, Tasten, Kommunikationsleitungen und einer Lieferkette.

Kaufen Sie nach Möglichkeit direkt beim Hersteller. Erzeugen Sie die Seed Phrase nur auf Hardware, der Sie vertrauen. Bewahren Sie die Wiederherstellungsphrase offline auf und prüfen Sie Transaktionsdetails auf dem Gerätedisplay. Bei größeren Beständen kann es sinnvoll sein, das Risiko auf unabhängig voneinander beschaffte Wallets oder eine sorgfältig geplante Multisignatur-Lösung zu verteilen.

Ebenso wichtig ist ein genauer Blick auf die offenen Fragen. Forscher haben funktionsfähige Mobilfunkimplantate vorgeführt und zunehmend professionell gefertigte Varianten dokumentiert. Ledger hat Berichte über Diebstähle im Zusammenhang mit einem Händler bestätigt. Öffentlich ist jedoch noch nicht geklärt, wie die vollständige Vertriebskette aussah, wie viele Wallets betroffen sind und wie hoch der endgültig bestätigte Schaden ist.

FAQ

Hat Ledger die Nano X mit einer eSIM ausgestattet?

Nein. Die gemeldete eSIM gehört zu einer nicht autorisierten Implantat-Hardware, die echten Nano-X-Geräten hinzugefügt wurde. Sie ist keine Standardfunktion der Wallet.

Kann das Implantat die Echtheitsprüfung von Ledger bestehen?

Laut den Forschern ist das möglich, weil das Secure Element echt bleibt. Das Implantat überwacht die Verbindung zum Display, statt den Sicherheitschip zu ersetzen.

Kann das Implantat die Wiederherstellungsphrase ohne Internetzugang des Besitzers stehlen?

Es soll ein eigenes Mobilfunkmodem, eine Antenne und eine eingebettete SIM enthalten. Dadurch kann es die abgegriffenen Wörter übertragen, ohne das Smartphone, das WLAN oder die Computerverbindung des Besitzers zu verwenden.

Sollten jetzt alle Ledger-Besitzer ihre Kryptowerte verschieben?

Nein. Es gibt keine pauschale Warnung für jedes Gerät. Sofortiges Handeln ist vor allem für Kunden relevant, die unter Ledgers Händlerwarnung fallen, sowie für Personen mit einem konkreten Grund, einen unsicheren Kaufweg oder eine physische Manipulation zu vermuten.

Reicht es aus, die verdächtige Wallet zurückzusetzen?

Nein. Wenn die alte Phrase bereits abgegriffen worden sein könnte, werden diese Wörter durch das Zurücksetzen desselben Geräts nicht wieder geheim. Erzeugen Sie auf vertrauenswürdiger Hardware eine neue Phrase und übertragen Sie die Kryptowerte an daraus abgeleitete Adressen.