13,84 miljoen dollar in 48 uur: “het geld is nog steeds in beweging”

De aanvaller achter de zogeheten CryptoBilis Ledger-drainer zit niet stil. Analysebureau Arkham Intelligence becijferde de gestolen bezittingen op 29 oktober 2026 op 95,35 miljoen dollar, verdeeld over 1.486 adressen, en legde daarbij vast dat in de 48 uur daarvoor 13,84 miljoen dollar was doorgesluisd. Voor wie een hardwarewallet gebruikt, is dat het echte nieuws van de dag: de zaak is drie weken oud, maar nog niet afgerond.

Arkham schreef op X, geciteerd door crypto.news: “The CryptoBilis Ledger Drainer stole $95M, and is still moving funds.” Oftewel: de drainer zou 95 miljoen dollar hebben gestolen en nog altijd geld verplaatsen. Een drainer is de vakterm voor een methode waarbij een aanvaller een wallet volledig leeghaalt zodra hij de toegang ertoe heeft.

Arkham telt 95,35 miljoen dollar over 1.486 adressen

Het cijfer is een bijstelling, geen nieuwe vondst. Toen deze zaak half oktober begon, stonden 86 miljoen dollar en de vraag naar de gemanipuleerde apparaten centraal. Sindsdien heeft Arkham meer adressen toegewezen. De uitstroom zelf ligt volgens de analyse tussen 7 en 9 oktober 2026.

Ledger heeft dit totaalbedrag uitdrukkelijk niet bevestigd. Het bedrijf wijst erop dat de schattingen van derden komen en door Ledger niet zijn gecontroleerd. Dat is meer dan een formaliteit, want de cijfers lopen uiteen.

Bitquery kwam op 102 miljoen dollar, Arkham op 95,35

Databureau Bitquery noemde in een onderzoek van 16 oktober ongeveer 102 miljoen dollar. Eerdere analyses lagen tussen 86 en 93 miljoen dollar. Zulke marges ontstaan omdat elk analysebureau zelf moet beslissen welk adres het aan de aanvaller toerekent. Wie een adres meetelt dat later als dat van iemand anders wordt herkend, komt op een hoger bedrag uit.

Houdbaar is daarom niet het ene ronde getal, maar de marge: tussen 86 en 102 miljoen dollar, afhankelijk van toerekening en peildatum. De richting is in alle analyses dezelfde, en die wijst omhoog.

13,84 miljoen dollar werd in 48 uur doorgesluisd

Dat er nog middelen in beweging zijn, is voor de getroffenen de belangrijkere informatie. Gestolen bezittingen die over meerdere adressen en blockchains worden geschoven, belanden uiteindelijk meestal bij een dienst die ze omzet in ander geld. Juist daar grijpen opsporingsdiensten en uitgevers van stablecoins in, en juist daar wordt beslist of er van een diefstal iets terugkomt.

Arkham rekent op dit moment 30,44 miljoen dollar toe aan de adressen die het heeft gemarkeerd. Dat is het deel dat zichtbaar en daarmee in beginsel bereikbaar is. Het is geen bedrag waarop benadeelden aanspraak hebben, en het is ook geen toezegging dat het wordt bevroren.

Tether houdt 10.000.010 USDT bevroren op Tron

Een deel van het geld staat daadwerkelijk vast. Na het ingrijpen van stablecoin-uitgever Tether op 9 oktober staan 10.000.010 USDT bevroren op de Tron-blockchain. Bevriezen betekent hier dat de uitgever het betrokken adres op een blokkeerlijst zet, zodat de tokens daar niet meer kunnen worden overgedragen.

Dat werkt bij centraal uitgegeven stablecoins, omdat er een uitgever is die kan ingrijpen. Bij bezittingen zonder uitgever bestaat die hefboom niet. Wie wil weten hoeveel van een diefstal nog te achterhalen is, moet dus eerst vragen in welk soort waarde de buit zit.

Het implantaat las de herstelzin van 24 woorden tijdens het instellen mee

De technische basis van de zaak is blootgelegd door Donjon, de beveiligingsafdeling van Ledger, en die is de reden dat dit incident anders ligt dan een gewone phishingaanval. In getroffen apparaten zat een extra onderdeel. Het vangt de 24 woorden van de herstelzin op op het moment dat het apparaat wordt ingesteld, en stuurt ze via het mobiele netwerk naar buiten; daarvoor gebruikt het een ingestelde eSIM.

De herstelzin, ook seed phrase genoemd, is de reeks woorden waaruit alle sleutels van een wallet opnieuw kunnen worden berekend. Wie hem heeft, heeft de bezittingen, ongeacht waar het apparaat ligt. Meelezen tijdens het instellen is daarom het volledige verlies van de controle, en daarom hielp het de getroffenen niet dat hun apparaat daarna normaal bleef werken.

Waarom de aanval pas weken later zichtbaar werd

Tussen het meelezen en het leeghalen kan tijd liggen, want de aanvaller bepaalt zelf wanneer hij toeslaat. Volgens de analyse viel het grootste deel van de uitstroom binnen een tijdsbestek van 51 minuten op 9 oktober. Tot dat moment was er voor de getroffenen niets te zien: geen opvallende update, geen foutmelding, geen ongebruikelijke transactie.

51 minuten op 9 oktober, het tijdsbestek van de meeste uitstroom

Die bundeling verklaart waarom het bedrag zo snel driecijferig werd. De aanvaller had de herstelzinnen al en hoefde alleen de transacties nog in gang te zetten. Voor het onderzoek is dat een voordeel, omdat een kort tijdsbestek het toewijzen van adressen vergemakkelijkt. Voor de getroffenen was het het slechtste geval, omdat reageren binnen die tijd praktisch uitgesloten was.

Secure element en besturingssysteem bleven volgens Ledger onaangetast

Ledger benadrukt een punt dat voor alle andere apparaten van belang is: het implantaat verandert noch het secure element, de beveiligde chip waarin de sleutels liggen, noch het besturingssysteem van het apparaat. Het grijpt ook niet in transacties of ondertekeningen in. Het bedrijf stelt bovendien dat er geen aanwijzingen zijn dat de eigen infrastructuur of de directe verkoop is gecompromitteerd.

Daar volgen twee conclusies uit, een rustgevende en een ongemakkelijke. De rustgevende: wie zijn apparaat rechtstreeks bij de fabrikant kocht, wordt via deze weg niet geraakt. De ongemakkelijke: de veiligheid van een hardwarewallet hangt dus niet alleen aan de techniek, maar ook aan de handen waar hij voor de eerste keer aanzetten door is gegaan. Wil je een apparaat langs die maatstaf kiezen, dan staan de gangbare modellen en hun aankoopwegen in de hardwarewallet-vergelijking.

Ledger herleidt elk bevestigd geval tot apparaten van één verkoper

Volgens het eigen onderzoek van Ledger kwamen alle bevestigde diefstallen van apparaten die via de Zuidoost-Aziatische verkoper CryptoBilis zijn verkocht. Ledger Support legde op 10 oktober vast: “Ledger can confirm that one of the impacted users’ devices contained an unauthorized hardware implant.” Daarmee bevestigde het bedrijf een niet-geautoriseerd onderdeel in het apparaat van een getroffen gebruiker.

Hoe de onderdelen in die apparaten zijn gekomen, heeft Ledger naar eigen zeggen nog niet opgehelderd. Daarmee is uitdrukkelijk geen verwijt aan de verkoper verbonden; CryptoBilis heeft de verkoop en levering van Ledger-apparaten voor de duur van het onderzoek opgeschort. Onafhankelijk daarvan berichtte The Record over het mechanisme van het implantaat en de inschatting van het beveiligingsteam van Ledger.

MediaMarkt en Saturn stopten de verkoop, CryptoBilis de leveringen

Ook in de winkelstraat werd de zaak concreet. Na een melding over een gemanipuleerd apparaat hebben MediaMarkt en Saturn de verkoop van Ledger-apparaten opgeschort, en wel voordat duidelijk was of die melding samenhangt met de reeks in Zuidoost-Azië. Ledger heeft daarnaast de veiligheidseisen aan verkopers verscherpt en de geautoriseerde verkoop in meerdere Zuidoost-Aziatische markten gestopt.

Wie een apparaat in een fysieke winkel heeft gekocht, staat juridisch niet slechter dan bij een ander gebrek. Een gemanipuleerd apparaat is ondeugdelijk, en de aanspraken richten zich tegen de verkoper, niet tegen de fabrikant.

Wat Ledger kopers van getroffen apparaten aanraadt

De aanwijzingen van de fabrikant onderscheiden drie situaties. Wie een apparaat bij CryptoBilis kocht en het nog niet heeft ingesteld, moet het niet instellen en de support aanspreken. Wie het al heeft ingesteld, moet de bezittingen overzetten naar een nieuw apparaat met een nieuwe herstelzin. En wie geld heeft verloren, moet de opsporingsdiensten inschakelen voordat het apparaat wordt geopend, omdat het onderdeel bewijsmateriaal is.

Dat laatste punt wordt gemakkelijk over het hoofd gezien. Een opengeschroefd apparaat is voor een onderzoek duidelijk minder waard, en de verleiding om zelf te kijken is groot.

De politie in Singapore meldt op 28 oktober twee nieuwe gevallen

Op 28 oktober berichtte de politie in Singapore over twee gevallen van gecompromitteerde wallets, waarbij onderdelen mogelijk herstelzinnen of privésleutels hebben onderschept. Ledger onderzoekt daarnaast meer meldingen, onder andere over een apparaat dat op de luchthaven van Singapore is gekocht. Een verband met de bekende reeks is daar niet bevestigd.

Of daar een tweede spoor uit voortkomt, is open. Vast te stellen is alleen dat de zaak na drie weken verder groeit, in het aantal meldingen én in het bedrag.

Een gereguleerd alternatief voor wie niet meer zelf wil bewaren

Uit een zaak als deze valt ook de omgekeerde conclusie te trekken. Zelf bewaren vraagt dat je de hele keten van productie tot instelling beheerst. Wie dat niet wil opbrengen, kan de bewaring uit handen geven, en onder de EU-verordening MiCA doen dat aanbieders met een vergunning en toezichtrechtelijke verplichtingen.

Die keuze heeft een prijs, en die heet tegenpartijrisico: je ruilt de verantwoordelijkheid voor een apparaat voor vertrouwen in een onderneming. Er is geen algemeen juist antwoord, alleen een antwoord dat bij het bedrag en bij je eigen zorgvuldigheid past.

Ledger-drainer: 30,44 miljoen staat op gemarkeerde adressen

1. Ga na via welke weg je apparaat is gekocht, en bewaar het aankoopbewijs. Staat een vervangend apparaat op het programma, vergelijk dan de aankoopwegen in de hardwarewallet-vergelijking en koop bij de fabrikant of bij een verkoper die hij zelf noemt.
2. Stel bij elke twijfel een nieuwe wallet in met een nieuwe herstelzin en zet de bezittingen daarheen over. Voor de overgang of voor kleine bedragen zijn softwarewallets een optie, met het bijbehorende risico van een apparaat dat met internet verbonden is.
3. Bepaal bewust hoeveel je zelf wilt bewaren. Wat daarbovenuit gaat, kan bij een aanbieder met vergunning staan; waar je in dat geval op de kosten let, staat in de vergelijking voor bitcoin kopen.

(Per 29 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)