Ledger Nano X med dold eSIM: det här har hänt
Kort sagt – det här får du veta i den här artikeln: En äkta Ledger Nano X kan enligt säkerhetsforskare byggas om med ett dolt mobilimplantat som läser återställningsfrasen via skärmanslutningen och skickar den genom ett inbyggt eSIM. Fallet är allvarligt, men gäller en leveranskedjeattack – inte ett bevis för att alla Ledger-enheter eller vanliga eSIM för resor är osäkra.
Vad hände i fallet med Ledger och eSIM?
Säkerhetsforskare har dokumenterat modifierade Ledger Nano X-enheter med extra hårdvara. Implantatet sitter inuti en plånbok som i övrigt är äkta. Det avlyssnar informationen som skickas från säkerhetskretsen till OLED-skärmen när enhetens återställningsfras med 24 ord visas under installationen.
Det dolda kretskortet kan återskapa orden från skärmdata, lagra dem och skicka dem vidare till en angripare via mobilnätet. Senare versioner uppges innehålla modem, antenn och ett inbyggt SIM. eSIM-kortet fungerar alltså som implantatets kommunikationskanal. Det är inte en legitim Ledger-funktion.
Ledger uppgav den 9 oktober 2026 att bolaget utredde rapporter om stulna tillgångar kopplade till enheter som sålts av CryptoBilis, en auktoriserad återförsäljare i delar av Sydostasien. Ledger bad återförsäljaren att stoppa försäljning och leveranser. Bolaget sade samtidigt att det då inte hade fått några motsvarande rapporter om enheter som köpts direkt från Ledger.
⚠️ Uppskattningarna av förlusterna varierar kraftigt. Viss rapportering har handlat om en stöld på omkring 15 miljoner dollar, medan oberoende blockkedjeutredare senare kopplade betydligt större belopp till adresser som möjligen hör ihop med fallet. När varningen utfärdades hade Ledger varken bekräftat ett förlustbelopp eller att implantatet var orsaken.
Hur kan en äkta hårdvaruplånbok ändå manipuleras?
En hårdvaruplånbok håller normalt privata nycklar i en förstärkt säkerhetskrets. Kretsen kan skapa nycklar och signera transaktioner utan att lämna ut hemligheten. Men återställningsorden måste visas en gång under installationen. Då skickas visuell information till skärmen.
Det rapporterade implantatet angriper denna väg i stället för att knäcka säkerhetskretsen. Forskare vid Tibane Labs beskriver flera generationer av enheten. Tidiga exemplar hade tydliga kablar och ett mindre ersättningsbatteri. Nyare versioner använder specialbyggda flexibla kretskort, färgmatchade beläggningar, bortskrapade komponentmärkningar och mobildelar som gömts under skärmen.
Attacken är farlig eftersom flera vanliga kontroller fortfarande kan ge ett lugnande resultat:
- Säkerhetskretsen kan vara äkta, så mjukvarans äkthetskontroll kan godkännas.
- Plånboken kan starta, laddas, anslutas och signera transaktioner som vanligt.
- Förpackningen och det yttre höljet behöver inte visa några tydliga skador.
- Implantatet har en egen mobilanslutning och behöver därför varken offrets telefon eller wifi.
💡 Tänk på implantatet som en mycket liten spion vid skärmkabeln. Den behöver inte öppna valvet om den kan se hemligheten när den visas på skärmen.
Vad eSIM-kortet gör – och inte gör
Uttrycket ”kryptostöld via eSIM” kan vara missvisande. I det här fallet verkar det inbyggda SIM-kortet vara en del av obehörig övervakningsutrustning. Det ger implantatet en diskret väg att skicka infångade uppgifter via LTE-, LTE-M- eller NB-IoT-nät.
Detta är inte samma sak som SIM-kapning. Vid en sådan attack tar en bedragare kontroll över offrets mobilnummer för att fånga upp samtal eller sms-koder. Här ersätter det dolda eSIM-kortet inte ägarens abonnemang. Det tillhör implantatet och fungerar fristående.
Det skiljer sig också från riskerna med en osäker app, profil eller proxytjänst för eSIM. Den hotbilden förklaras i vår guide om risker med kostnadsfria eSIM-proxytjänster och kodstöld.
| Hot | Vad angrips? | Mobilnätets roll | Viktigaste skyddet |
|---|---|---|---|
| Hårdvaruimplantat | Återställningsord som visas i en manipulerad plånbok | Ett dolt modem skickar infångade uppgifter | Pålitlig inköpskanal och en ny fras skapad på betrodd hårdvara |
| SIM-kapning | Ditt telefonnummer och sms-verifiering | Angriparen flyttar numret | Appbaserad autentisering eller fysisk säkerhetsnyckel |
| Skadlig eSIM-app eller proxy | Kontouppgifter, trafik eller aktiveringskoder | En osäker tjänst hanterar anslutningen | Etablerad leverantör och officiell app |
| Nätfiske | Din återställningsfras eller inloggning | En falsk webbplats eller ett meddelande samlar in hemligheter | Skriv aldrig in återställningsorden på nätet |
Vem bör agera direkt?
Den tydligaste officiella varningen gällde personer som nyligen handlat hos CryptoBilis. Kunder som köpt en Ledger-enhet från återförsäljaren inom den angivna perioden på 90 dagar uppmanades att inte konfigurera den. De som redan hade gjort det rekommenderades att flytta sina tillgångar till en ny enhet med en helt ny återställningsfras.
Även svenska köpare bör vara extra försiktiga om en plånbok kommer från en marknadsplats, okänd importör, återförsäljare med oklar ägarbild eller begagnatmarknaden. Forskarna fick tag på nyare exemplar med implantat via tredjepartskanaler i Japan, bland annat genom en annons på en större marknadsplats. De kunde däremot inte fastställa att dessa exemplar kom från CryptoBilis.
✅ En plånbok som köpts direkt från Ledger omfattas inte automatiskt av rapporten. I uttalandet den 9 oktober sade Ledger att bolaget inte hade fått några rapporter om direktköpta enheter. Vanliga säkerhetsrutiner behövs fortfarande, men den omedelbara riskbedömningen blir en annan.
Vad du bör göra om din Ledger kan vara drabbad
Om inköpsvägen stämmer överens med varningen – eller om du har konkreta skäl att misstänka manipulation – bör du betrakta varje återställningsfras som enheten har visat som potentiellt röjd. Försök inte lösa problemet genom att återställa samma plånbok och använda samma ord igen.
- Sluta använda den misstänkta enheten. Initiera den inte, återställ ingen fras på den och godkänn inga fler transaktioner.
- Skaffa en betrodd ersättare. Köp direkt från tillverkaren eller följ Ledgers officiella instruktioner för utbyte.
- Skapa en helt ny återställningsfras på betrodd hårdvara. Importera aldrig den gamla frasen.
- Flytta tillgångarna försiktigt. Börja med en liten testöverföring, kontrollera mottagaradressen på den betrodda enheten och flytta därefter resten.
- Bevara bevis. Spara plånboken, kartongen, kvittot, säljaruppgifterna, serienumret och leveransunderlagen.
- Kontakta Ledger Support via den officiella supportsidan. Följ inte supportlänkar i oväntade meddelanden.
- Anmäl en eventuell stöld. Kontakta berörd handelsplattform, relevant cyberbrottsmyndighet och en kvalificerad blockkedjeutredare så snabbt som möjligt.
⚠️ Skriv aldrig in dina 24 ord i Ledger Live, på en webbplats, i en supportchatt, i ett formulär eller i ett ”verifieringsverktyg”. Äkta support ska inte be om dem.
Kan du upptäcka implantatet hemma?
Inte på ett tillförlitligt sätt. Tidiga versioner hade ett annat batteri och synliga handlödda kablar. Det senast dokumenterade exemplaret uppges ha behållit originalbatteriet och dolt ett svartbelagt flexibelt kretskort under skärmen. En tunn antennkabel var en av få synliga ledtrådar efter att höljet hade öppnats.
Att öppna plånboken kan skada den, förstöra bevis, innebära batteririsker och försvåra garanti- eller supportärenden. Ett normalt yttre, korrekt förpackning och en godkänd äkthetskontroll kan inte utesluta extra hårdvara när själva säkerhetskretsen fortfarande är äkta.
💡 Om din enhet omfattas av en återförsäljarvarning bör du följa tillverkarens instruktioner i stället för att plocka isär den hemma. Säkerhetslaboratorier kan undersöka hårdvara med mikroskopi, elektrisk analys och kontrollerad demontering.
Gör händelserna eSIM för resor osäkra?
Nej. Ett eSIM för resor är ett digitalt mobilabonnemang som installeras i en kompatibel telefon. Den skadliga komponenten i det här fallet är ett inbyggt SIM som lötts fast i obehörig hårdvara. Teknikerna använder samma standard för uppkoppling, men har olika syften och helt olika riskbilder.
När du väljer mobildata inför en resa bör du använda en etablerad leverantör, installera profilen enligt officiella instruktioner, skydda leverantörskontot med stark autentisering och undvika tjänster som ber om en kryptoplånboks återställningsord. Ett företag som säljer reseuppkoppling behöver aldrig din seed phrase.
Vårt aktuella urval av etablerade eSIM-leverantörer hjälper dig att jämföra seriösa alternativ för resan. Det ersätter inte säkerhetskontroller av hårdvaruplånboken.
Vad attacken förändrar för säkerheten
Den viktigaste lärdomen är att ”äkta krets” inte alltid betyder ”omanipulerad enhet”. Säkerhetskretsar är fortfarande värdefulla, men de ingår i ett större fysiskt system med skärm, strömledningar, knappar, kommunikationsbussar och beroenden i leveranskedjan.
Köp från tillverkaren när det är möjligt. Skapa återställningsfrasen enbart på hårdvara du litar på. Förvara orden offline och kontrollera transaktionsuppgifterna på enhetens skärm. För större innehav kan det vara klokt att fördela risken mellan plånböcker som köpts oberoende av varandra eller använda en noggrant utformad multisignaturlösning.
Det är samtidigt viktigt att vara tydlig med vad som fortfarande är okänt. Forskare har visat fungerande mobilimplantat och dokumenterat allt mer professionella konstruktioner. Ledger har bekräftat rapporter om stölder kopplade till en återförsäljare. De offentliga uppgifterna visar däremot ännu inte hela distributionskedjan, det totala antalet berörda plånböcker eller ett slutligt bekräftat förlustbelopp.
Vanliga frågor
Har Ledger byggt in ett eSIM i Nano X?
Nej. Det rapporterade eSIM-kortet ingår i obehörig implantathårdvara som har lagts till i äkta Nano X-enheter. Det är inte en standardfunktion i plånboken.
Kan implantatet klara Ledgers äkthetskontroll?
Enligt forskarna är det möjligt eftersom säkerhetskretsen fortfarande är äkta. Implantatet övervakar skärmanslutningen i stället för att ersätta den säkra kretsen.
Kan implantatet stjäla återställningsfrasen utan internetanslutning?
Det uppges ha ett eget mobilmodem, en antenn och ett inbyggt SIM. Därför kan det skicka de infångade orden utan att använda ägarens telefon, wifi eller datoranslutning.
Bör alla Ledger-ägare flytta sina kryptotillgångar direkt?
Nej, det finns ingen generell varning för alla enheter. Omedelbara åtgärder är främst relevanta för kunder som omfattas av Ledgers återförsäljarvarning och för personer som har trovärdiga skäl att misstänka en osäker inköpskanal eller fysisk manipulation.
Räcker det att återställa den misstänkta plånboken?
Nej. Om den gamla frasen kan ha fångats upp blir orden inte hemliga igen genom att samma enhet återställs. Skapa en ny fras på betrodd hårdvara och flytta tillgångarna till adresser som bygger på den.
Med en passion för resor och teknik har jag kombinerat dessa två världar för att hjälpa resenärer att navigera i djungeln av internetalternativ utomlands. Som mjukvaruingenjör använder jag mina färdigheter för att skapa innehåll som är enkelt, praktiskt och transparent. Mitt mål? Att ge dig alla verktyg för att hålla kontakten enkelt och till bästa pris under dina resor. 🌍📲