MediaMarktSaturn schort Ledger-verkoop in al zijn landen op

MediaMarktSaturn haalt Ledger-producten uit het assortiment in alle landen waar de groep actief is na een Duitse melding van een gemanipuleerd apparaat, zegt een woordvoerder.

De concernbrede stop omvat ook Nederland. NU.nl meldt dat MediaMarkt in Nederland en België geen meldingen over gemanipuleerde wallets kreeg en Ledger-apparaten door externe verkopers op het eigen online marktplaatsplatform werden aangeboden. Voor organisaties die cryptotegoeden beheren, verandert daarmee de inkooproute: een echtheidscontrole zegt iets over de beveiligingschip en software, terwijl de fysieke herkomst van het apparaat een aparte vraag blijft.

De implant leest de herstelzin van het scherm

Ledger maakte het incident op 9 oktober bekend. Ledger bevestigde een dag later dat in één apparaat van een getroffen gebruiker een ongeautoriseerd hardwareonderdeel was aangetroffen. In de update van 13 oktober zegt Ledger dat de implant bij installatie de 24 herstelwoorden van het scherm leest en via LTE met een eSIM verstuurt. Het onderdeel verandert volgens het bedrijf de Secure Element-chip of het Ledger-besturingssysteem niet en wijzigt ook geen transacties of handtekeningen.

Wie de herstelzin heeft, kan de wallet op een ander apparaat herstellen en daar transacties ondertekenen. De Ledger hoeft daarvoor niet meer in handen van de aanvaller te zijn. De beveiligingschip kan dus blijven doen waarvoor hij bedoeld is, terwijl de woorden die toegang tot de tegoeden geven al zijn uitgelezen.

Bitquery's on-chain onderzoek telt 102 miljoen dollar uit 324 wallets op zes blockchains, op basis van transacties die het op 13 oktober had gevolgd. Ledger heeft het totaalbedrag en het aantal getroffen gebruikers niet bevestigd. De telling van Bitquery gaat over wallets, niet over afzonderlijke personen. Ledger zegt dat alle bevestigde geldverliezen tot nu toe uit het incident van 9 oktober verband houden met CryptoBilis, een verkoper in Zuidoost-Azië. Een geldverlies via een andere verkoper is niet vastgesteld.

De Nederlandse stop is bevestigd, een Nederlands geval niet

De melding uit Duitsland staat los van de bevestigde diefstallen bij CryptoBilis. Ledger meldde op 13 oktober dat een Duitse klant een implant meldde zonder geld te verliezen; het bedrijf ziet geen aanwijzing voor een inbraak in eigen systemen of diensten. De retailer noemt de maatregel een voorzorgsactie.

Een gebruiker vertelde Zero Day dat hij in twee Duitse MediaMarkt-winkels elk een Ledger Nano X kocht en in beide een implant vond. Die vondsten zijn niet onafhankelijk bevestigd. Ledger beschrijft de Duitse melding als één klantzaak; de retailer zegt Ledger-producten uit de handel te halen in al zijn landen. Dat de verkoopstop ook Nederland raakt, volgt uit die concernbrede verklaring. Dat er in Nederland een gemanipuleerde wallet is verkocht, is niet aangetoond. De exacte Nederlandse winkelvoorraad en de betrokken verkopers op de marktplaats zijn niet openbaar gemaakt.

Een echte beveiligingschip bewijst geen intact apparaat

Ledger maakt in zijn handleiding onderscheid tussen digitale echtheidscontroles en een controle van de fysieke onderdelen. De handleiding noemt een vergelijking van de interne opbouw met officiële referentiebeelden om toegevoegde onderdelen te herkennen. Ledger zegt tegelijk dat de implant de beveiligingschip en software niet aanpast. Daaruit volgt dat een echtheidscontrole van de chip op zichzelf niet bewijst dat er geen extra hardware in de behuizing zit. Dat is een gevolgtrekking uit twee afzonderlijke beschrijvingen van Ledger.

Ledger vraagt geautoriseerde verkopers en distributeurs om alleen via erkende kanalen in te kopen en geretourneerde apparaten niet opnieuw te verkopen. Het onderzoek moet nog vaststellen waar de aangetroffen apparaten zijn aangepast en hoe ze daarna in de verkoop terechtkwamen. Een werkende transactie sluit dus niet uit dat de herstelzin elders al is vastgelegd.

Andere walletmakers kijken naar hun verkoopkanalen

Trezor zegt: het aantal wederverkopers gaat omlaag na recente problemen in de keten en er is geen bewijs van gemanipuleerde eigen apparaten. The Block meldt op basis van een brief aan verkooppartners dat geselecteerde wederverkopers vanaf 1 januari 2027 hun vergunning verliezen, maar bestaande voorraad tot die datum mogen verkopen.

Op dezelfde dag meldde Zero Day dat hardwareonderzoeker Joe Grand twee Trezor-apparaten met implantaten bij niet-erkende verkopers aantrof; bij één koper verdween ongeveer 50 dollar. Het ging om een Model T, gekocht via Facebook Marketplace in Canada in 2025, en een Trezor One uit een TikTok-winkel in augustus 2026. De aangepaste microcontroller in die apparaten gebruikte vooraf gekozen herstelzinnen. Dat verschilt van de Ledger-implant, die de nieuw gegenereerde woorden van het scherm kopieerde. Trezor heeft de gemelde apparaten niet zelf als getroffen bevestigd.

Bij Trezor kwamen eerder ook risico's bij leveranciers aan het licht. Een aanvaller gebruikte e-mailprovider Brevo om klanten vanuit een legitiem Trezor-adres naar een neppe walletwaarschuwing te sturen. ShipMonk liet bestelgegevens van ongeveer 67.000 Trezor-klanten staan ondanks schriftelijke bevestigingen dat ze waren gewist. Beide incidenten betroffen partijen buiten de wallet zelf.

De verkoopstop maakt de herkomst van hardwarewallets tot een inkoopvraagstuk. Zolang verkoper, retourroute en fysieke integriteit niet samen te controleren zijn, blijft een werkende beveiligingschip maar één deel van de controle.