13,84 Millionen Dollar in 48 Stunden: „Der Ledger-Drainer bewegt weiter Geld“

Der Angreifer hinter dem sogenannten CryptoBilis-Ledger-Drainer sitzt nicht still. Die Analysefirma Arkham Intelligence hat die gestohlenen Bestände am 29. Oktober 2026 auf 95,35 Millionen Dollar aus 1.486 Adressen beziffert und dabei festgehalten, dass in den vorangegangenen 48 Stunden 13,84 Millionen Dollar weiterbewegt wurden. Für Halter einer Hardware-Wallet ist das die eigentliche Nachricht des Tages: Der Fall ist drei Wochen alt, aber er ist nicht abgeschlossen.

Arkham schrieb dazu auf X, zitiert von crypto.news: „The CryptoBilis Ledger Drainer stole $95M, and is still moving funds.“ Auf Deutsch: Der Drainer habe 95 Millionen Dollar gestohlen und bewege weiter Geld. Drainer ist dabei der Fachbegriff für eine Masche, bei der ein Angreifer eine Wallet vollständig leerräumt, sobald er den Zugang dazu besitzt.

Arkham zählt 95,35 Millionen Dollar aus 1.486 Adressen

Die Zahl ist eine Fortschreibung, keine neue Entdeckung. Als wir den Fall Mitte Oktober aufgegriffen haben, standen 86 Millionen Dollar und die Frage nach den manipulierten Geräten im Mittelpunkt. Seither hat Arkham weitere Adressen zugeordnet. Die Abflüsse selbst liegen laut der Auswertung zwischen dem 7. und dem 9. Oktober 2026.

Ledger hat diese Gesamtsumme ausdrücklich nicht bestätigt. Das Unternehmen verweist darauf, dass die Schätzungen von Dritten stammen und von ihm nicht überprüft worden sind. Das ist mehr als eine Formalie, denn die Zahlen gehen auseinander.

Bitquery kam auf 102 Millionen Dollar, Arkham auf 95,35

Die Datenfirma Bitquery hatte in einer Untersuchung vom 16. Oktober rund 102 Millionen Dollar genannt. Frühere Auswertungen lagen bei 86 bis 93 Millionen Dollar. Solche Spannen entstehen, weil jede Analysefirma selbst entscheiden muss, welche Adresse sie dem Angreifer zurechnet. Wer eine Adresse mitzählt, die später als fremd erkannt wird, kommt auf eine höhere Summe.

Belastbar ist deshalb nicht die eine runde Zahl, sondern die Spanne: zwischen 86 und 102 Millionen Dollar, je nach Zuordnung und Stichtag. Die Richtung ist über alle Auswertungen hinweg dieselbe, und sie zeigt nach oben.

13,84 Millionen Dollar wanderten in 48 Stunden weiter

Dass Mittel noch in Bewegung sind, ist für Betroffene die wichtigere Information. Gestohlene Bestände, die über mehrere Adressen und Blockchains geschoben werden, landen am Ende meist bei einem Dienst, der sie in anderes Geld tauscht. Genau dort greifen Ermittler und Stablecoin-Herausgeber ein, und genau dort entscheidet sich, ob von einem Diebstahl etwas zurückkommt.

Arkham ordnet den von ihm markierten Adressen derzeit 30,44 Millionen Dollar zu. Das ist der Teil, der sichtbar und damit grundsätzlich erreichbar ist. Es ist kein Betrag, auf den Geschädigte Anspruch hätten, und es ist auch keine Zusage, dass er eingefroren wird.

Tether hält 10.000.010 USDT auf Tron gesperrt

Ein Teil des Geldes ist tatsächlich festgesetzt. Nach dem Eingriff des Stablecoin-Herausgebers Tether vom 9. Oktober liegen 10.000.010 USDT auf der Tron-Blockchain gesperrt. Einfrieren heißt hier, dass der Herausgeber die betroffene Adresse auf eine Sperrliste setzt, sodass die Token dort nicht mehr übertragen werden können.

Das funktioniert bei zentral herausgegebenen Stablecoins, weil es einen Herausgeber gibt, der eingreifen kann. Bei Beständen ohne Herausgeber gibt es diesen Hebel nicht. Wer also wissen will, wie viel von einem Diebstahl wiederbeschaffbar ist, muss zuerst fragen, in welcher Art von Wert die Beute steckt.

Das Implantat las die 24-Wort-Wiederherstellungsphrase bei der Einrichtung mit

Die technische Grundlage des Falls hat Ledgers Sicherheitsabteilung Donjon offengelegt, und sie ist der Grund, warum dieser Vorfall anders liegt als ein gewöhnlicher Phishing-Angriff. In betroffenen Geräten steckte ein zusätzliches Bauteil. Es fängt die 24 Wörter der Wiederherstellungsphrase in dem Moment ab, in dem das Gerät eingerichtet wird, und sendet sie über das Mobilfunknetz nach außen; dafür nutzt es eine eingerichtete eSIM.

Die Wiederherstellungsphrase, auch Seed Phrase genannt, ist die Wortfolge, aus der sich alle Schlüssel einer Wallet neu berechnen lassen. Wer sie besitzt, besitzt die Bestände, unabhängig davon, wo das Gerät gerade liegt. Deshalb ist ein Mitlesen bei der Einrichtung der vollständige Verlust der Kontrolle, und deshalb half es den Betroffenen nicht, dass ihr Gerät danach normal weiterarbeitete.

Warum der Angriff erst Wochen später sichtbar wurde

Zwischen dem Mitlesen und dem Abräumen kann Zeit liegen, denn der Angreifer entscheidet selbst, wann er zugreift. Laut der Auswertung fiel der größte Teil der Abflüsse in einen Zeitraum von 51 Minuten am 9. Oktober. Bis dahin gab es für die Betroffenen nichts zu sehen: kein auffälliges Update, keine Fehlermeldung, keine ungewöhnliche Transaktion.

51 Minuten am 9. Oktober: der Zeitraum der meisten Abflüsse

Diese Bündelung erklärt, warum die Summe so schnell dreistellig wurde. Der Angreifer hatte die Phrasen bereits, musste also nur noch die Transaktionen auslösen. Für die Aufklärung ist das ein Vorteil, weil ein enger Zeitraum die Zuordnung von Adressen erleichtert. Für die Betroffenen war es der schlechteste Fall, weil eine Reaktion in dieser Zeit praktisch ausgeschlossen war.

Secure Element und Betriebssystem blieben nach Ledgers Befund unberührt

Ledger betont einen Punkt, der für alle anderen Geräte wichtig ist: Das Implantat verändert weder das Secure Element, also den gesicherten Chip, in dem die Schlüssel liegen, noch das Betriebssystem des Geräts. Es greift auch nicht in Transaktionen oder Signaturen ein. Das Unternehmen erklärt zudem, es gebe keine Anzeichen dafür, dass die eigene Infrastruktur oder der Direktvertrieb kompromittiert worden sei.

Daraus folgt eine beruhigende und eine unbequeme Aussage. Beruhigend: Wer sein Gerät direkt beim Hersteller gekauft hat, ist von diesem Weg nicht betroffen. Unbequem: Die Sicherheit einer Hardware-Wallet hängt damit nicht allein an ihrer Technik, sondern auch daran, durch welche Hände sie vor dem ersten Einschalten gegangen ist. Wer sich bei der Auswahl eines Geräts an diesem Maßstab orientieren will, findet die gängigen Modelle und ihre Bezugswege im Vergleich der Krypto-Hardware-Wallets.

Ledger führt jeden bestätigten Fall auf Geräte eines Händlers zurück

Nach Ledgers eigener Untersuchung stammten alle bestätigten Diebstähle von Geräten, die über den südostasiatischen Händler CryptoBilis verkauft wurden. Ledger Support hielt am 10. Oktober fest: „Ledger can confirm that one of the impacted users' devices contained an unauthorized hardware implant.“ Das Unternehmen bestätigte damit ein nicht autorisiertes Bauteil im Gerät eines betroffenen Nutzers.

Wie die Bauteile in diese Geräte gelangt sind, hat Ledger nach eigener Darstellung bislang nicht geklärt. Ein Vorwurf gegen den Händler ist damit ausdrücklich nicht verbunden; CryptoBilis hat Verkauf und Lieferung von Ledger-Geräten für die Dauer der Untersuchung ausgesetzt. Unabhängig davon berichtete The Record über den Mechanismus des Implantats und die Einordnung durch Ledgers Sicherheitsteam.

MediaMarkt und Saturn stoppten den Verkauf, CryptoBilis die Lieferungen

Für Deutschland ist das der konkrete Berührungspunkt. Nach einem Bericht über ein manipuliertes Gerät hierzulande haben MediaMarkt und Saturn den Ledger-Verkauf ausgesetzt, und zwar bevor geklärt war, ob der deutsche Fall mit der Reihe in Südostasien zusammenhängt. Ledger hat parallel die Sicherheitsanforderungen an Händler verschärft und den autorisierten Verkauf in mehreren südostasiatischen Märkten gestoppt.

Wer ein Gerät im stationären Handel gekauft hat, steht damit rechtlich nicht schlechter da als bei einem anderen Mangel. Ein manipuliertes Gerät ist mangelhaft, und die Ansprüche richten sich gegen den Verkäufer, nicht gegen den Hersteller.

Was Ledger Käufern betroffener Geräte empfiehlt

Die Hinweise des Herstellers unterscheiden drei Lagen. Wer ein Gerät von CryptoBilis gekauft und noch nicht eingerichtet hat, soll es nicht einrichten und den Support ansprechen. Wer es bereits eingerichtet hat, soll die Bestände auf ein neues Gerät mit einer neuen Wiederherstellungsphrase übertragen. Und wer Geld verloren hat, soll die Strafverfolgungsbehörden einschalten, bevor das Gerät geöffnet wird, weil das Bauteil ein Beweismittel ist.

Der letzte Punkt wird leicht übersehen. Ein aufgeschraubtes Gerät ist für eine Ermittlung deutlich weniger wert, und die Versuchung, selbst nachzusehen, ist groß.

Die Polizei in Singapur meldet zwei weitere Fälle am 28. Oktober

Am 28. Oktober berichtete die Polizei in Singapur von zwei Fällen kompromittierter Wallets, bei denen Bauteile möglicherweise Wiederherstellungsphrasen oder private Schlüssel abgefangen haben. Ledger prüft darüber hinaus weitere Meldungen, unter anderem zu einem am Flughafen Singapur gekauften Gerät. Ein Zusammenhang mit der bekannten Reihe ist dort nicht bestätigt.

Ob daraus ein zweiter Strang wird, ist offen. Festzuhalten ist lediglich, dass der Fall nach drei Wochen weiter wächst, in der Zahl der Meldungen wie in der Summe.

Wer keine eigene Verwahrung mehr will, hat eine regulierte Alternative

Aus einem Fall wie diesem lässt sich auch der gegenteilige Schluss ziehen. Eigene Verwahrung verlangt, dass man die gesamte Lieferkette von der Herstellung bis zur Einrichtung beherrscht. Wer das nicht leisten will, kann die Verwahrung abgeben, und unter der EU-Verordnung MiCA tun das Anbieter mit Zulassung und aufsichtsrechtlichen Pflichten.

Diese Wahl hat einen Preis, und er heißt Gegenparteirisiko: Man tauscht die Verantwortung für ein Gerät gegen das Vertrauen in ein Unternehmen. Es gibt dafür keine allgemein richtige Antwort, nur eine, die zur Summe und zur eigenen Sorgfalt passt.

Ledger-Drainer: 30,44 Millionen liegen auf markierten Adressen

1. Prüfe, über welchen Weg dein Gerät gekauft wurde, und bewahre den Kaufbeleg auf. Steht ein Ersatzgerät an, vergleiche die Bezugswege im Hardware-Wallet-Vergleich und kaufe beim Hersteller oder einem Händler, den er selbst nennt.
2. Richte bei jedem Zweifel eine neue Wallet mit einer neuen Wiederherstellungsphrase ein und übertrage die Bestände dorthin. Für den Übergang oder für kleine Beträge zeigt der Software-Wallet-Vergleich, welche Anwendungen dafür in Frage kommen.
3. Entscheide bewusst, wie viel du selbst verwahren willst. Was darüber hinausgeht, kann bei einem zugelassenen Anbieter liegen; die Kriterien dafür stehen bei den regulierten Börsen.

(Stand: 29. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)