MediaMarkt haalt Ledger-cryptowallets uit de verkoop na ontdekking van gemanipuleerde apparaten

MediaMarkt heeft uit voorzorg cryptowallets van het Franse merk Ledger uit de verkoop gehaald. Aanleiding is een incident waarbij criminelen naar verluidt ongeveer 300 Ledger-apparaten hebben gemanipuleerd om toegang te krijgen tot de cryptovaluta van gebruikers. Volgens de beschikbare informatie zou bij de diefstal in totaal ongeveer 102 miljoen dollar aan cryptovaluta zijn buitgemaakt. Het incident roept vragen op over de veiligheid van hardwarecryptowallets en de risico’s van de aankoop van elektronische producten via externe verkopers.

MediaMarkt bevestigt dat de maatregel is genomen nadat bekend werd dat een aantal Ledger-apparaten was voorzien van ongeautoriseerde hardware. In Nederland en België zijn voor zover bekend geen meldingen ontvangen van klanten die door deze specifieke zaak zijn getroffen. De winkelketen benadrukt daarom dat het verwijderen van de producten uit het assortiment een voorzorgsmaatregel is en niet betekent dat er aanwijzingen zijn dat de betreffende fraude op grote schaal in de Benelux heeft plaatsgevonden.

Criminelen zouden Ledger-apparaten hebben voorzien van illegale hardware

Bij het incident zouden ongeveer 300 cryptowallets zijn gemanipuleerd voordat ze bij de uiteindelijke gebruikers terechtkwamen. Volgens de beschikbare informatie waren de apparaten afkomstig van een doorverkoper in Zuidoost-Azië. Deze partij zou Ledger-apparaten hebben aangeboden waarin illegale hardware was ingebouwd.

Door die aanpassingen konden criminelen mogelijk gevoelige informatie onderscheppen die nodig is om toegang te krijgen tot de cryptovaluta van gebruikers. De buitgemaakte gegevens zouden vervolgens naar de betrokken hackers zijn doorgestuurd. Daarmee konden zij toegang krijgen tot digitale tegoeden en deze naar andere cryptowallets verplaatsen.

De totale schade wordt geschat op ongeveer 102 miljoen dollar aan cryptovaluta. Het exacte bedrag, de volledige werkwijze van de daders en de omstandigheden waaronder alle betrokken apparaten zijn gemanipuleerd, moeten in het verdere onderzoek nader worden vastgesteld.

Het incident maakt duidelijk dat niet alleen de digitale beveiliging van een cryptowallet van belang is. Ook de herkomst, de integriteit en de fysieke staat van het apparaat spelen een belangrijke rol. Wanneer een apparaat vóór de verkoop wordt aangepast, kan dat een veiligheidsrisico opleveren dat voor de koper niet eenvoudig zichtbaar is.

Waarom een gemanipuleerde cryptowallet gevaarlijk kan zijn

Een cryptowallet is een hulpmiddel waarmee gebruikers hun cryptovaluta beheren. Daarbij is het belangrijk om te begrijpen dat cryptovaluta doorgaans niet letterlijk op het apparaat zelf worden opgeslagen. De tegoeden staan geregistreerd op een blockchain. De wallet beheert de cryptografische sleutels waarmee de eigenaar toegang tot die tegoeden kan aantonen en transacties kan autoriseren.

Ledger maakt hardwarewallets die zijn ontworpen om deze gevoelige sleutels afgeschermd te bewaren. Doordat de sleutels op het apparaat worden beheerd, kunnen gebruikers transacties ondertekenen zonder hun privésleutels rechtstreeks met een computer of smartphone te hoeven delen.

Die beveiliging biedt echter geen absolute garantie wanneer een apparaat vóór de aankoop is gemanipuleerd, wanneer de gebruiker wordt misleid of wanneer herstelgegevens in verkeerde handen vallen. Als criminelen erin slagen om geheime gegevens te onderscheppen of de beveiligingsprocedure van een gebruiker te omzeilen, kunnen zij mogelijk transacties uitvoeren waarmee cryptovaluta naar hun eigen adressen worden overgemaakt.

Bij de gemelde zaak zou ongeautoriseerde hardware zijn gebruikt om gevoelige informatie te verzamelen. De precieze technische werking kan per apparaat en aanval verschillen. Daarom kan niet zonder aanvullend onderzoek worden geconcludeerd dat iedere Ledger-wallet op dezelfde manier kwetsbaar is of dat alle apparaten van het merk gevaar lopen.

MediaMarkt neemt de producten uit voorzorg uit de verkoop

MediaMarkt heeft besloten de betreffende Ledger-producten uit de verkoop te halen om mogelijke risico’s voor klanten te beperken. Volgens de keten zijn er in Nederland en België geen meldingen binnengekomen die wijzen op slachtoffers van dit specifieke incident.

De maatregel is volgens MediaMarkt bedoeld om geen onnodig risico te nemen. Ook wanneer er geen concrete aanwijzingen zijn dat klanten in de Benelux zijn getroffen, kan het tijdelijk verwijderen van producten een verstandige stap zijn wanneer de veiligheid van die producten ter discussie staat.

Een belangrijk detail is dat de betrokken apparaten via het online verkoopplatform van MediaMarkt werden aangeboden door externe verkopers. Het ging dus niet om producten die MediaMarkt zelf rechtstreeks had ingekocht en als eigen voorraad verkocht. Bij verkoop via een dergelijk platform kunnen externe partijen hun producten aanbieden aan klanten, terwijl het platform de verkoop faciliteert.

Dat onderscheid is relevant, omdat de herkomst en controle van producten bij externe verkopers anders kunnen zijn dan bij artikelen die rechtstreeks door de winkelketen worden ingekocht. Het incident onderstreept het belang van toezicht op externe verkopers, controle van de productherkomst en duidelijke procedures om verdachte producten snel uit de verkoop te halen.

Ledger erkent dat er ongeautoriseerde hardware is aangetroffen

Ledger heeft bevestigd dat bij een deel van de betrokken apparaten sprake was van ongeautoriseerde hardware. Het bedrijf heeft aangegeven contact op te nemen met gebruikers die mogelijk zijn getroffen en onderzoek te doen naar de omstandigheden van het incident.

Daarnaast is de betrokken doorverkoper in Zuidoost-Azië volgens de beschikbare informatie gestopt met de verkoop van de betreffende apparaten. Daarmee is een belangrijke stap gezet om verdere verspreiding via die verkooproute te beperken.

Het onderzoek moet duidelijk maken hoeveel apparaten daadwerkelijk zijn gemanipuleerd, hoe de illegale hardware kon worden ingebouwd en op welke manier de criminelen de gevoelige gegevens hebben verkregen. Ook is van belang vast te stellen welke gebruikers daadwerkelijk financiële schade hebben geleden en of er nog andere apparaten of verkoopkanalen bij betrokken zijn.

Totdat die vragen zijn beantwoord, is voorzichtigheid geboden bij het trekken van conclusies. Het feit dat een aantal apparaten is gemanipuleerd, betekent niet automatisch dat de volledige productlijn van Ledger onveilig is. Omgekeerd betekent het ontbreken van meldingen in Nederland en België evenmin dat het risico voor iedere individuele gebruiker volledig kan worden uitgesloten.

Wat moeten bezitters van een Ledger-wallet doen?

Wie al een Ledger-hardwarewallet bezit, hoeft niet automatisch aan te nemen dat het apparaat is gemanipuleerd. Wel is het verstandig om de herkomst van de wallet na te gaan, vooral wanneer deze via een externe verkoper, een online marktplaats of een onbekende aanbieder is gekocht.

Gebruikers kunnen de volgende voorzorgsmaatregelen nemen:

• Controleer de herkomst van het apparaat. Ga na bij welke verkoper de wallet is gekocht en bewaar waar mogelijk de aankoopbevestiging en productgegevens.

• Volg uitsluitend de officiële beveiligingsinstructies van Ledger. Raadpleeg de officiële kanalen van de fabrikant voor informatie over dit incident en eventuele controles die specifiek voor getroffen apparaten gelden.

• Deel nooit je herstelzin. De herstelzin, ook wel recovery phrase genoemd, bestaat uit woorden waarmee een wallet kan worden hersteld. Wie deze woorden in handen krijgt, kan mogelijk toegang krijgen tot de bijbehorende cryptovaluta. Voer de herstelzin niet in op een website, deel deze niet met een medewerker en stuur deze nooit via e-mail of berichtenapps.

• Wees alert op verdachte berichten. Criminelen kunnen incidenten zoals deze aangrijpen om zich voor te doen als medewerkers van Ledger of andere beveiligingsspecialisten. Zij kunnen proberen gebruikers ertoe te bewegen hun herstelzin of andere gevoelige informatie af te staan.

• Controleer transacties en walletactiviteiten. Wie ongebruikelijke transacties of aanwijzingen voor ongeautoriseerde toegang ziet, moet onmiddellijk de officiële beveiligingsinstructies volgen en zo nodig hulp zoeken via geverifieerde kanalen.

• Neem bij concrete aanwijzingen voor manipulatie direct contact op met Ledger. Gebruik daarvoor de officiële website of een ander aantoonbaar officieel communicatiekanaal.

Gebruikers moeten bovendien oppassen met goedbedoelde adviezen om hun herstelzin ergens in te voeren of hun tegoeden naar een nieuw adres over te maken. Een echte herstelzin mag nooit aan een derde worden verstrekt. Wanneer het nodig is om tegoeden naar een andere wallet te verplaatsen, moet dat uitsluitend gebeuren via een zorgvuldig gecontroleerde, veilige procedure.

Wat betekent dit voor de veiligheid van cryptovaluta?

De zaak laat zien dat de beveiliging van cryptovaluta niet alleen afhankelijk is van software, wachtwoorden en blockchaintechnologie. Ook de fysieke integriteit van apparaten en de betrouwbaarheid van de verkoopketen zijn van belang.

Hardwarewallets worden juist gebruikt om privésleutels beter te beschermen tegen digitale aanvallen. Maar wanneer een apparaat vóór de levering wordt aangepast, kan een deel van die bescherming mogelijk worden ondermijnd. Consumenten kunnen dergelijke manipulaties niet altijd zelf herkennen, waardoor betrouwbare verkoopkanalen en adequate beveiligingscontroles een belangrijke rol spelen.

Voor webwinkels en online marktplaatsen is het incident eveneens een waarschuwing. Externe verkopers bieden consumenten een groter assortiment, maar brengen ook uitdagingen met zich mee op het gebied van productcontrole, herkomst en aansprakelijkheid. Wanneer een product bedoeld is om gevoelige financiële gegevens te beschermen, is extra aandacht voor de betrouwbaarheid van de leverancier van groot belang.

Voor consumenten betekent dit niet dat zij hardwarewallets moeten vermijden. Wel is het verstandig om zorgvuldig te kijken waar een apparaat vandaan komt, beveiligingswaarschuwingen serieus te nemen en herstelgegevens altijd geheim te houden.