Ledger onderzoekt meldingen van klanten die geld verloren nadat ze een hardwarewallet kochten via de Zuidoost-Aziatische reseller CryptoBilis. Blockchainonderzoekers volgen verschillende geldstromen en melden dat Tether een deel van de aan de zaak gelinkte USDT heeft bevroren. Maar de beschikbare informatie geeft geen definitief beeld van de totale schade, hoeveel geld eventueel kan worden teruggehaald of hoe de verliezen zijn ontstaan.
7
11
Wat onderzoekers over de geldstromen melden
Volgens Bitquery bevroor Tether ongeveer 10 miljoen dollar aan USDT die met het incident in verband werd gebracht.
10 Dat bedrag is een schatting uit blockchainonderzoek, geen volledige afrekening van Tether over alle getroffen tegoeden. Ook is niet duidelijk hoeveel van het bevroren geld uiteindelijk kan worden teruggehaald.
Onchain Lens zou hebben vastgesteld dat vier wallets samen 430,2 ETH — destijds ongeveer 1,07 miljoen dollar waard — naar Tornado Cash stuurden.
16 In een afzonderlijke melding ging ongeveer 270.300 dollar aan vermoedelijk gerelateerde tegoeden naar Binance, waaronder circa 256.570 USDT en 41.120 TRX.
44 Dat geld op een Binance-hotwallet terechtkwam, bewijst op zichzelf niet dat Binance een account heeft geïdentificeerd of tegoeden heeft bevroren.
Er zijn ook meldingen dat USDT via SUN.io en de Peg Stability Module van USDD werd omgewisseld voor USDD nadat Tether tegoeden had bevroren.
16
21 Uit die gerapporteerde volgorde blijkt niet waarom de omwisselingen plaatsvonden of dat ze bedoeld waren om maatregelen van de uitgever te omzeilen.
Saldo’s in gevolgde wallets zijn geen totaalcijfer voor de schade
Een bericht op basis van Arkham-tracking schatte de tegoeden in de verdachte walletgroep op ongeveer 70,6 miljoen dollar. Het ging onder meer om 11.406 ETH, 213,371 BTC, 13,646 miljoen USDD en 10,909 miljoen USDT.
21 Odaily meldde daarnaast, op basis van monitoring door het hoofd onderzoek van Galaxy, dat ongeveer 72,9 miljoen dollar in adressen van de vermoedelijke aanvaller stond en dat circa 3,1 miljoen dollar naar Tornado Cash was gegaan. Andere tegoeden zouden via verschillende blockchains, omwisselingen en relayers zijn verplaatst.
19
Dit zijn gerapporteerde momentopnamen van gevolgde tegoeden; ze zijn niet automatisch gelijk aan het totale verlies van alle slachtoffers. Gepubliceerde schattingen van de vermoedelijke schade liepen uiteen van ruim 72 miljoen tot ruim 86 miljoen dollar. Bitquery meldde later een totaal van 92,9 miljoen dollar over 311 wallets op vijf netwerken.
9
10
15 Die bedragen kun je niet bij elkaar optellen: de berichten kunnen verschillende walletgroepen, activa en meetmomenten beschrijven. Ledger heeft geen definitief schadebedrag bevestigd.
7
11
Ledger vraagt recente kopers om voorzichtig te zijn
Op 9 oktober maakte Ledger bekend de meldingen te onderzoeken en vroeg het CryptoBilis de verkoop en verzending van Ledger-apparaten tijdelijk stil te leggen.
7
11 CryptoBilis zou de verkoop en verzending via fysieke en online kanalen in Maleisië, Indonesië en de Filipijnen hebben opgeschort.
18
Het voorzorgsadvies van Ledger was gericht op mensen die in de voorafgaande 90 dagen bij de reseller hadden gekocht. Wie het apparaat nog niet had ingesteld, moest dat niet doen. Wie het al wel had ingesteld, kon overwegen de tegoeden over te zetten naar een nieuwe signer met een nieuwe seed phrase — de herstelzin waarmee toegang tot een wallet kan worden teruggezet.
7
40 Dat is iets anders dan dezelfde herstelzin op een ander apparaat gebruiken.
40
Oorzaak is niet vastgesteld
Een probleem in de toeleveringsketen is genoemd als mogelijke verklaring. De beschikbare berichtgeving stelt echter niet vast dat er een kwaadaardig onderdeel in Ledger-apparaten is gevonden of dat de hardwarebeveiliging van Ledger is doorbroken.
4
6
11 De aankondiging van het onderzoek en de gemelde verdachte transacties zijn op zichzelf geen bewijs van manipulatie van apparaten. Ook het aantal mogelijk getroffen apparaten en de methode achter de verliezen zijn niet bevestigd.
4
6