Ledger-Wallets mit Spionagechip: MediaMarkt stoppt den Verkauf

Die schnelle Antwort: Unbekannte haben Ledger-Hardware-Wallets vor dem Verkauf mit einem versteckten Chip präpariert, der beim Einrichten die 24 Wörter der Wiederherstellungsphrase vom Display liest und per LTE versendet. Nach Schätzungen sind rund 100 Millionen US-Dollar gestohlen. MediaMarktSaturn hat den Verkauf am 13. Oktober 2026 gestoppt. Betroffen sein könnte, wer seinen Ledger nicht direkt beim Hersteller gekauft hat.

Was bei Ledger passiert ist

Ein Hardware-Wallet ist ein kleines Gerät, etwa so groß wie ein USB-Stick, das die privaten Schlüssel zu Kryptowährungen offline verwahrt. Beim Einrichten zeigt es einmalig 24 Wörter an, die sogenannte Wiederherstellungsphrase (englisch Seed Phrase). Diese Wörter sind der Generalschlüssel: Wer sie kennt, kann das gesamte Guthaben auf jedem beliebigen Gerät wiederherstellen und abziehen, ohne das Wallet je in der Hand gehabt zu haben.

Genau dort setzt der Angriff an. Nach Analysen des französischen Sicherheitsforschers Mark Karpelès und des Labors Tibane Labs sitzt in manipulierten Geräten ein zusätzlicher Mikrocontroller, der das Display und die Tastendrücke mitliest, die 24 Wörter herausfiltert und sie über ein LTE-Funkmodul mit vorinstallierter eSIM an die Täter schickt. Das Gerät braucht dafür weder Ihren Computer noch Ihr WLAN, es funkt selbst ins Mobilfunknetz. Tibane Labs beschreibt zwei Varianten: In der einen ersetzt eine kleinere Batterie das Original und versorgt das Implantat mit, in der anderen liegt die Platine unter dem Display im Schaumstoffpolster. Der eigentliche Sicherheitschip von Ledger, das Secure Element, bleibt unangetastet. Wie BleepingComputer unter Berufung auf Ledger berichtet, kann der eingebaute Echtheitscheck deshalb nichts erkennen.

Ledger bestätigte am 10. Oktober 2026 ein "nicht autorisiertes Hardware-Implantat" in mindestens einem Gerät eines Opfers und erklärte am Tag darauf, alle gemeldeten Diebstähle hingen mit Geräten des südostasiatischen Händlers CryptoBilis zusammen, der auf Ledgers Liste autorisierter Wiederverkäufer stand. Eine Gesamtsumme nennt der Hersteller nicht. Blockchain-Analysten beziffern den Schaden auf 81 bis 103 Millionen US-Dollar, Bitquery zählte bis zum 13. Oktober 324 geleerte Wallets. Ein Teil der Abflüsse lief automatisiert: Laut Bitquery verließen USDT im Wert von 29 Millionen US-Dollar binnen sechs Sekunden die Konten.

Warum der Fall jetzt Käufer in Deutschland betrifft

Am Wochenende vom 11. auf den 12. Oktober meldete ein Käufer aus Deutschland, er habe in zwei Ledger-Geräten aus zwei verschiedenen MediaMarkt-Filialen zusätzliche Kabel und ein Funkmodul gefunden, eines davon in einem versiegelten Originalkarton. Nach seinen Angaben kam die Ware über einen Distributor und nicht über CryptoBilis. Unabhängig bestätigt sind diese Funde noch nicht, und Ledger hat sie bislang keinem bestätigten Diebstahl zugeordnet. Am 13. Oktober nahm MediaMarktSaturn dennoch sämtliche Ledger-Produkte aus Märkten und Onlineshops, nach Angaben von Ledger in Abstimmung mit dem Hersteller. Laut heise online laufen manipulierte Geräte zudem länger, über mehr Kanäle und in mehr Ländern um als zunächst angenommen, darunter auch Ledger Flex aus Singapur.

Bin ich betroffen? Die Prüfung in vier Fragen

Entscheidend ist nicht, ob Ihr Gerät heute funktioniert, sondern woher es stammt und ob jemals eine Wiederherstellungsphrase darauf angezeigt oder eingegeben wurde. Denn das Implantat liest nicht nur neu erzeugte Phrasen mit, sondern auch jede, die Sie zum Wiederherstellen eines älteren Wallets über die Tasten eintippen.

Was Sie jetzt konkret tun sollten

Ledger rät Kunden von CryptoBilis, Geräte aus den letzten 90 Tagen nicht zu nutzen und bereits eingerichtete Bestände umzuziehen. Für MediaMarkt-Käufer gibt es noch keine vergleichbare Empfehlung. Da niemand einem Gerät von außen ansieht, ob es verwanzt ist, ist der Umzug für alle verdächtigen Kanäle die einzige Maßnahme, die sicher wirkt. In dieser Reihenfolge:

• 1. Neues Gerät aus sicherer Quelle besorgen: Kaufen Sie ein neues Hardware-Wallet ausschließlich direkt beim Hersteller, bei Ledger also auf ledger.com, die Adresse tippen Sie selbst ein. Keine Marktplätze, keine Gebrauchtgeräte, keine Sonderangebote. Einige Forscher berichten, manipulierte Geräte seien zu fast halbem Preis angeboten worden.
• 2. Auf dem neuen Gerät eine neue Phrase erzeugen: Importieren Sie auf keinen Fall die alte Phrase. Schreiben Sie die 24 neuen Wörter auf Papier oder eine Metallplatte, nie in ein Foto, eine Notiz-App oder eine Cloud.
• 3. Alle Bestände umziehen, nicht nur den größten: Die Täter haben auf sechs Blockchains abgeräumt. Prüfen Sie jedes Konto in Ledger Live, auch Token, Stablecoins wie USDT und Bestände auf Nebenketten. Senden Sie zuerst einen kleinen Testbetrag an die neue Adresse und prüfen Sie die Empfangsadresse auf dem Display des neuen Geräts.
• 4. Kein Zurücksetzen als Ersatz: Wer das alte Gerät zurücksetzt und neu einrichtet, erzeugt eine neue Phrase auf derselben verwanzten Hardware. Auch Ledger nennt ein bloßes Zurücksetzen nicht ausreichend.
• 5. Altgerät und Belege sichern: Werfen Sie das verdächtige Gerät nicht weg und öffnen Sie es nicht, wenn Sie darin keine Übung haben. Bewahren Sie Gerät, Karton und Kaufbeleg auf und melden Sie den Kauf beim Händler und beim Ledger-Support. Bei Verlusten erstatten Sie Anzeige bei der Polizei, notieren Sie dafür die Transaktionskennungen (Transaction IDs) der Abflüsse.
• 6. Börsenkonten mit absichern: Wer Kryptowerte besitzt, ist auch bei Handelsplattformen ein lohnendes Ziel. Stellen Sie dort die Anmeldung von SMS-Codes auf eine Authenticator-App oder einen Passkey um.

Warum gerade die SMS-Anmeldung bei Krypto-Börsen gefährlich ist und wie Sie Ihre Rufnummer mit einem Kundenkennwort beim Mobilfunkanbieter gegen Übernahme sperren, zeigt unsere Anleitung gegen SIM-Swapping mit den Einstellungen für Telekom, Vodafone und O2.

Die nächste Welle: Phishing mit der Angst vor dem Chip

Jeder große Ledger-Vorfall hat bisher eine Betrugswelle nach sich gezogen, und dieser bietet die perfekte Geschichte dafür. Hinzu kommt eine Altlast: 2020 gelangten Kundendaten von Ledger in fremde Hände, im Dezember jenes Jahres wurden rund eine Million E-Mail-Adressen und gut 270.000 Datensätze mit Namen, Postanschrift und Telefonnummer offen ins Netz gestellt. Seitdem erhalten Ledger-Kunden gefälschte Mails, SMS und Briefe, 2021 wurden sogar präparierte Geräte per Post an Kunden verschickt. Rechnen Sie in den kommenden Wochen mit diesen Varianten:

• Die "Rückruf"-Mail: "Ihr Gerät ist von der Sicherheitswarnung betroffen. Bitte bestätigen Sie Ihre Wiederherstellungsphrase, um Ihr Guthaben zu schützen." Jede Seite, die Ihre 24 Wörter abfragt, ist Betrug, ohne Ausnahme.
• Das Gratis-Austauschgerät: Ein Paket mit einem "Ersatz-Ledger" und einem Anschreiben, das zur Eingabe der alten Phrase auffordert. Genau diese Masche lief bereits 2021. Ein Gerät, das Sie nicht selbst beim Hersteller bestellt haben, richten Sie nicht ein.
• Der Anruf vom "Support" oder der "Polizei": Jemand kennt Ihren Namen, Ihre Adresse und Ihren Kauf, bietet Hilfe bei der Sicherung an und bittet um die Phrase oder um eine Überweisung auf ein "sicheres Wallet". Legen Sie auf.
• Das "Prüf-Tool": Eine angebliche Software, die erkennen soll, ob Ihr Gerät verwanzt ist. Ein solches Werkzeug gibt es nach heutigem Stand nicht, der Echtheitscheck erkennt das Implantat ausdrücklich nicht.

Solche Kampagnen funktionieren, weil Name, Anschrift und Telefonnummer von Krypto-Besitzern in alten Leaks und in den Beständen von Adresshändlern stecken und sich beliebig neu kombinieren lassen. Dazu kommt ein körperliches Risiko: Ledger-Mitgründer David Balland wurde im Januar 2025 in Frankreich entführt, Krypto-Besitzer mit bekannter Wohnadresse sind ein Ziel für Erpressung. Löschanfragen an über 100 Adress- und Werbebroker stellen lassen und Ihre Wohnadresse aus dem Handel nehmen.

Wie es zu einem Angriff dieser Art kommen konnte

Für die Lieferkettenangriffe gibt es keine einfache Erklärung, gesichert ist bisher wenig. Nach Bericht von BleepingComputer stammt die Implantat-Platine aus industrieller Fertigung und nicht aus Handarbeit, die Typenbezeichnungen auf Chips und eSIM waren abgeschliffen. Das spricht für eine organisierte Gruppe mit erheblichem Vorlauf. Einige der leergeräumten Wallets waren laut heise bereits seit 2024 oder 2025 aktiv, die erste Überweisung auf einen großen Teil der betroffenen Konten erfolgte im Juni. Unklar ist bislang, an welcher Stelle der Kette die Geräte geöffnet wurden: beim Händler, beim Distributor oder durch zurückgegebene und wieder verkaufte Ware. Ledger fordert autorisierte Händler inzwischen auf, keine Rückläufer mehr in den Verkauf zu nehmen. Bis die Ermittlungen Klarheit bringen, sollten Sie jedes nicht direkt vom Hersteller bezogene Gerät mit Misstrauen behandeln.

Für alle, die keine Kryptowerte besitzen, ist die Lehre trotzdem übertragbar: Sicherheit, die auf einem einzigen Geheimnis beruht, fällt komplett, wenn dieses Geheimnis einmal mitgelesen wurde. Ob es um 24 Wörter oder um Ihr E-Mail-Passwort geht, das Problem bemerken Sie meist erst, wenn der Schaden da ist. Frühwarnung für Ihre E-Mail-Adresse einrichten und bei neuen Leaks benachrichtigt werden.

Häufige Fragen zum Ledger-Spionagechip

Warum ein einmaliger Check nach dem Ledger-Vorfall nicht reicht

Wie viele Geräte über welche Kanäle manipuliert wurden, weiß heute niemand, auch Ledger nicht: Der Hersteller prüft noch Berichte außerhalb Südostasiens, und eine vollständige Liste der Betroffenen wird es womöglich nie geben. Für die Betrugswelle, die solchen Vorfällen folgt, brauchen die Täter vor allem Kontaktdaten, und die tauchen nach einem Datenabfluss in aller Regel nicht sofort im Darknet auf: Oft werden sie zunächst im kleinen Kreis verkauft, mit anderen Beständen zusammengeführt und erst Wochen oder Monate später breit gehandelt. Wer heute einmal prüft und nichts findet, kann also morgen auf einer Zielliste stehen. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird, also dann, wenn Ihre Daten tatsächlich kursieren, und nicht erst nach der ersten gefälschten "Ledger-Warnung". Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen unter Umständen wahrnehmen können. Wir informieren über solche Verfahren, leisten aber keine eigene Rechtsberatung. Ein kostenloser Check zeigt nur Leaks, die bereits veröffentlicht sind; vor künftigen warnt erst das laufende Monitoring.