Gebruikers van Ledger-cryptowallets zijn het doelwit van een aanval waarbij ze via de post malafide Ledgers krijgen opgestuurd die de zogeheten "seed phrases" proberen te stelen. Met deze 24 woorden kan een aanvaller toegang tot de cryptowallet van het slachtoffer krijgen.

Op Reddit maakt een slachtoffer melding dat hij een brief heeft ontvangen die van Ledger afkomstig lijkt. Ledger biedt hardwarematige wallets voor het opslaan van allerlei cryptovaluta. Vorig jaar kreeg het bedrijf met een datalek te maken waarbij er gegevens van een groot aantal klanten werd gestolen. Van 9500 gebruikers ging het ook om voor- en achternaam, telefoonnummer, adresgegevens en aangeschafte producten.

Volgens de brief die gebruikers nu ontvangen is het vanwege dit datalek noodzakelijk om de Ledger van de gebruiker te vervangen. Naast de brief is er ook een ingepakte doos met een "nieuwe" Ledger meegestuurd, alsmede instructies om de gegevens van de oude Ledger naar het nieuwe apparaat over te zetten. Het nieuwe apparaat is een Ledger-wallet waar een usb-stick op is gesoldeerd. Op de usb-stick staat een migratietool om zogenaamd de data van de oude Ledger-wallet over te zetten. In werkelijkheid gaat het om malware die de seed phrases van het slachtoffer naar de aanvaller stuurt, meldt beveiligingsonderzoeker Mike Grover op Twitter.

Nicolas Bacca, medeoprichter van Ledger, laat op Reddit weten dat het om een nep-apparaat gaat dat niet moet worden gebruikt. Ook op de eigen website waarschuwt Ledger voor de scam. "Sluit het apparaat niet aan op je computer en deel nooit je 24 woorden. Ledger zal nooit vragen om je 24 woorden tellende herstelzin te delen."