Kurzantwort: Ja – wenn das Gerät physisch mit einem Implantat manipuliert wurde, das die Seed-Phrase vom Bildschirm mitliest und per Mobilfunk rausschickt. Ledger hat bestätigt, dass bei Geräten über den südostasiatischen Reseller CryptoBilis genau das passiert ist. Das Secure Element blieb unangetastet. heise berichtet am 15. Oktober 2026 von einem größeren Ausmaß: mehreren Modellen, längerer Laufzeit und Funden auch in Deutschland. Die Titel-Frage ist also keine Spekulation – sie beschreibt den aktuellen Angriff.
Was Ledger bestätigt hat
Laut CoinDesk und BleepingComputer erklärte Ledger: In manipulierten Signern las ein verstecktes Implantat die 24 Wörter der Recovery-Phrase vom Display, wenn Nutzer das Gerät einrichten. Ein Mikrocontroller dekodierte die Wörter; ein LTE-Modem mit eSIM übertrug sie. Das Implantat änderte weder Secure Element noch Betriebssystem noch Transaktionen oder Signaturen. Deshalb bestehen manipulierte Geräte Ledgers Genuine Check trotzdem: Er prüft die Original-Hardware, nicht nachträglich eingebaute Zusatzchips.
Ledger startete die Untersuchung am 9. Oktober, bestätigte mindestens ein implantiertes Gerät und verknüpfte bestätigte Verluste mit CryptoBilis-Käufen. Kunden, die dort gekauft und noch nicht eingerichtet haben, sollen die Geräte nicht starten; wer schon eingerichtet hat, soll Assets auf ein neues Gerät mit neuer Seed umziehen. Am 14. Oktober bat Ledger Reseller in Südostasien und Hongkong, Verkäufe zu stoppen und Ware von den Regalen zu nehmen.
Wie das Implantat technisch funktioniert
Forscher von Tibane Labs und Mark Karpelès (ehemals Mt. Gox) zeigten Varianten in Nano-X-Geräten: Der Angreifer horcht den SPI-Bus zum OLED ab – die Glyphs der Seed-Wörter laufen dort unverschlüsselt. Frühere Umbauten tauschten den Akku gegen einen kleineren; neuere Generationen nutzen Platz unter dem Schaumstoff hinter dem Display und lassen den Originalakku. Adafruit berichtete am 14. Oktober über Joe Grands HARDWEAR.IO-Analyse eines Implantats mit Cortex-M0+, Glyph-Erkennung und LTE-Modul.
Wichtig für die Titel-Frage: Der Diebstahl passiert in dem Moment, in dem die Seed auf dem Bildschirm erscheint – typischerweise beim Setup. Wer das Gerät nie einrichtet, hat nichts zu leaken. Wer es schon eingerichtet hat, muss die Phrase als kompromittiert behandeln.
Deutschland, MediaMarkt und Zahlen
heise schreibt am 15. Oktober: Manipulierte Geräte seien auch in Deutschland aufgetaucht; ein Käufer habe bei MediaMarkt Saturn Geräte mit Zubauten gefunden. MediaMarkt Saturn stoppte den Verkauf vorerst. Lieferweg: laut heise ein österreichischer Distributor, nicht CryptoBilis. Bitquery taxierte bis 13. Oktober umgerechnet rund 102 Millionen US-Dollar Schaden aus 324 Wallets; Tether friert USDT im Gegenwert von zehn Millionen ein. Ledger selbst hat die Summen nicht bestätigt und prüft Berichte zu anderen Händlern weiter.
- Angriff: physische Supply-Chain, nicht Software-Hack des Secure Elements.
- Wirkung: Seed vom Screen → LTE/eSIM → Angreifer kann Wallet woanders wiederherstellen.
- Genuine Check: erkennt Zusatz-Implantate nicht, wenn das Original-SE intakt ist.
- Reaktion: CryptoBilis-Stopp, Asien/HK-Verkaufspause, MediaMarkt Saturn zieht Ware; Trezor kürzt Reseller-Netz.
Was du konkret prüfen solltest
Ledger verweist auf eine Anleitung mit PCB-Fotos zum Vergleich und betont, dass Infrastruktur und Direktvertrieb nach eigener Aussage nicht kompromittiert sind. heise kritisiert, dass die 90-Tage-CryptoBilis-Warnung zu kurz greife: Bitquery-Daten zeigten Wallets, die schon länger aktiv waren. Trezor kündigte an, das Reseller-Netz zu verkleinern und ab 1. Januar 2027 Autorisierungen zu entziehen – vorsorglich, ohne eigene Implantat-Funde.
Praktisch heißt das: Siegel und Verpackung prüfen, bei Zweifel nicht einrichten, Support nur über offizielle Kanäle kontaktieren (Ledger fragt nie per DM nach der Seed). Wer Geräte bei Elektronikmärkten gekauft hat und unsicher ist, sollte Ledgers Inspektionsguide und den Händler-Rückrufstatus prüfen – MediaMarkt Saturn hat den Verkauf laut Berichten gestoppt.
Unsere Antwort auf die Titel-Frage
Kann ein Chip in deinem Hardware-Wallet die Seed-Phrase stehlen? Ja – wenn jemand das Gerät vor dem Verkauf öffnet, ein Screen-Sniffer plus Modem einbaut und du die Phrase bei der Einrichtung anzeigst. Das ist kein magisches „Hacken über das Internet“, sondern Sabotage der Lieferkette. Offline-Werbung („Keys nie online“) schützt nicht vor einem Chip, der die Keys liest, bevor sie offline bleiben.
Für Käufer in Österreich und der EU gilt: Direkt beim Hersteller oder über klar geprüfte Kanäle kaufen; bei Verdacht Geräte nicht einrichten bzw. Assets umziehen; Genuine Check allein reicht nicht. Wer große Bestände hält, sollte Multisig über verschiedene Hersteller erwägen. Die ehrliche Headline: Ja, ein Implantat kann die Seed stehlen – bestätigt bei CryptoBilis-Geräten, mit Berichten weit darüber hinaus, und das Secure Element allein stoppt das nicht.
Quellen
- heise – Verwanzte Krypto-Wallets von Ledger: Problem größer als gedacht (15.10.2026): https://www.heise.de/news/Verwanzte-Krypto-Wallets-von-Ledger-Problem-groesser-als-gedacht-11488785.html
- heise – Kryptodiebe verkaufen Hardware-Wallets mit heimlicher eSIM (13.10.2026): https://www.heise.de/news/Kryptodiebe-verkaufen-Hardware-Wallets-mit-heimlicher-eSIM-11485183.html
- BleepingComputer – Ledger asks sellers across Asia to halt sales (14.10.2026): https://www.bleepingcomputer.com/news/security/ledger-asks-sellers-across-asia-to-halt-sales-after-supply-chain-attack/
- CoinDesk – Ledger finds covert cellular implant (13.10.2026): https://www.coindesk.com/tech/2026/10/13/ledger-says-spy-chip-inside-cryptobilis-ledger-devices-transmitted-wallet-keys-over-mobile-network
- Adafruit auf X – Reverse engineering a Ledger Nano X hardware implant (14.10.2026): https://x.com/adafruit/status/2110362589767385458
Hinweis: Dieser Artikel wurde mit KI-Unterstützung erstellt und redaktionell geprüft.
