L3dg3r Rug

Dossier: Community-Berichte zu manipulierten Ledger-Hardware-Wallets (Stand 12. Oktober 2026)Fokus: Ausschließlich Community-Quellen, unabhängige Forscher, X-Berichte und On-Chain-Analysen. Keine offiziellen Unternehmensaussagen.

1. Überblick
Seit dem 9. Oktober 2026 berichten Nutzer und Security-Forscher über eine Welle von physisch manipulierten Ledger-Geräten (vor allem Nano X, vereinzelt Stax). Die Manipulation erfolgt über versteckte Hardware-Implantate („Spy Chips“ / „Spy Implants“), die die Recovery-Phrase während des Setups abgreifen und an Angreifer übermitteln. Geschätzte Verluste aus den bekannten Drainings liegen bei 86–94 Millionen USD (On-Chain-Analysten: Specter, tanuki42, Bitquery, YFarmX, Arkham). Die Community sieht darin einen klassischen Supply-Chain-Angriff, der über den Einzelhandel läuft und nicht mehr nur auf Südostasien beschränkt erscheint.

2. Chronologie der Community-Berichte
9. Oktober: Erste Massenberichte über entleerte Wallets. On-Chain-Cluster von mehreren hundert Adressen (Ethereum, TRON, Bitcoin u. a.) werden identifiziert. Forscher spekulieren sofort auf vorab manipulierte Geräte.
10. Oktober: Fotos und Teardowns von Implantaten kursieren. Mark Karpelès (@MagicalTux
) beginnt systematisch Geräte zu öffnen und zu analysieren. Erste detaillierte Beschreibungen von LTE/eSIM-Modulen und Antennen.
11. Oktober: Der Europa-Fall explodiert. @0xJohannes_
veröffentlicht Fotos eines Nano X, das er vor wenigen Wochen bei MediaMarkt (europäische Elektronik-Kette) gekauft haben soll. Zusätzliche Kabel und Bauteile sind sichtbar. Karpelès bestätigt das Implantat als echte, ältere Bauform („early style implant with a manual coil antenna“). Weitere Nutzer posten ähnliche Verdachtsfälle aus Südamerika und Asien. Erste Stax-Implantate werden gemeldet.
12. Oktober (aktuell): Die Diskussion bleibt aktiv. Community warnt vor möglicher weiterer Verbreitung. Viele fordern generelles Öffnen und Inspizieren aller nicht-direkt gekauften Geräte.

3. Technische Beschreibung der Implantate (laut Community & Forschern)Die Implantate existieren in mehreren Generationen:
Ältere Version (wie im MediaMarkt-Fall): Sichtbare zusätzliche Kabel und manuelle Spulenantenne. Leichter zu erkennen beim Öffnen.
Neuere Version: Kompakte Platine, oft hinter dem Display/Pufferpolster versteckt. Schwerer zu finden.
Funktionsweise (übereinstimmende Community-Analyse):Liest die Seed-Phrase-Wörter direkt vom Display-Signal (SPI-Bus o. ä.).
Speichert oder sendet sie über eingebautes Mobilfunkmodul (eSIM + Antenne) an Angreifer.
Lässt den Secure Element unberührt → Genuine-Check bleibt positiv.

Regionale Anpassungen: Manche Antennen sind auf europäische/eurasische Frequenzen ausgelegt.

Mark Karpelès hat mehrere Generationen dokumentiert und bestätigt Implantate in Nano X und Stax. Er rät bei bestätigtem Implantat zum sofortigen Asset-Umzug (neue Seed auf vertrauenswürdigem Gerät).

4. Geografische Ausbreitung (Community-Sicht)
Südostasien (Malaysia, Indonesien, Philippinen): Ursprung der großen Drainings, verbunden mit dem Reseller CryptoBilis.
Europa: Mindestens ein gut dokumentierter Fall über MediaMarkt (offizieller Reseller in DE, AT, NL, IT, ES, PL, TR u. a.). Community diskutiert Rückläufer, die wieder in den Verkauf gingen, oder eine breitere Kompromittierung der Lieferkette.
Südamerika: Einzelne Berichte über ähnliche Geräte.
Fazit der Community: „Nicht mehr regional begrenzt“ – mindestens drei Kontinente/Regionen betroffen.

5. Schlüsselpersonen & Quellen in der Community@0xJohannes_
: Auslöser des Europa/MediaMarkt-Berichts mit Fotos.
Mark Karpelès (@MagicalTux
): Führender unabhängiger Analyst. Bestätigt Implantate, analysiert Bauformen, warnt vor kompromittierten Seeds.
On-Chain-Analysten: Specter, tanuki42, YFarmX, Bitquery – liefern die Verlustschätzungen und Cluster-Analysen.
Weitere: Zahlreiche Teardowns, Vergleichsfotos und Warnungen von Security-affinen Nutzern.