Ledger vs. Trezor: alla ricerca del wallet crypto ideale

Ledger e Trezor sono stati i wallet di criptovalute più popolari per molti anni. Ma nessuno dei due brand è perfetto e in entrambi sono state riscontrate vulnerabilità più di una volta. Più incidenti di questo tipo compaiono, più spesso sorge la domanda: quale wallet può essere considerato davvero affidabile?

Trezor: attacchi tramite chip, sito web e social media

Un altro motivo per discutere della sicurezza di Trezor è emerso dopo un report di Donjon, il team di ricerca di Ledger. I suoi specialisti hanno trovato una vulnerabilità nel chip TROPIC1 utilizzato nel wallet Trezor Safe 7. L'attacco richiedeva l'accesso fisico al chip, attrezzature di laboratorio e un'esposizione laser precisa. Trezor ha dichiarato che i fondi degli utenti sono al sicuro perché il TROPIC1 è solo uno dei tre livelli di protezione del dispositivo.

Loading...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Questo non è stato il primo episodio simile. Nel marzo 2025, Ledger Donjon ha segnalato una vulnerabilità nel Trezor Safe 3. Si trattava di un attacco in caso di furto fisico del wallet: il problema era legato al microcontrollore che lavora insieme al chip protetto. Trezor ha dichiarato all'epoca che il Safe 5 non era interessato dal problema e che i ricercatori non erano stati in grado di estrarre chiavi private o codici PIN dal dispositivo testato.

Ci sono stati anche attacchi non al dispositivo stesso, ma agli utenti di Trezor. Nel 2024, l'azienda ha avvertito di una campagna di phishing: gli aggressori hanno utilizzato il modulo di contatto sul sito ufficiale e inviato email che sembravano risposte del supporto. Trezor ha sottolineato che non c'era stata alcuna fuga di indirizzi email, ma ha ricordato agli utenti la regola principale: l'azienda non chiede mai un backup del wallet o la seed phrase.

Nel gennaio 2024, sono state segnalate segnalazioni di accesso non autorizzato a un portale di supporto di terze parti. Nel marzo 2024, un aggressore ha compromesso l'account X dell'azienda e ha pubblicato false prevendite sulla rete Solana. Questi casi non significavano che gli hardware wallet stessi fossero stati hackerati direttamente, ma hanno mostrato che gli aggressori possono colpire non solo il dispositivo, ma anche i canali di comunicazione tra il brand e gli utenti.

Ledger: un wallet protetto, un ecosistema vulnerabile

Ledger è anch'esso tutt'altro che perfetto. Il brand si affida a chip protetti progettati per isolare le chiavi private all'interno del dispositivo. Tuttavia, gli ultimi anni hanno dimostrato che gli aggressori possono colpire più del wallet stesso. App, partner, librerie per servizi decentralizzati e utenti che ricevono false email da truffatori possono tutti diventare vulnerabili.

Nel gennaio 2026, Ledger ha affrontato una fuga di dati personali dei clienti attraverso il suo partner di pagamento Global-e. Secondo l'investigatore blockchain ZachXBT, una vulnerabilità presso il fornitore terzo ha esposto le informazioni di contatto degli utenti Ledger. In una lettera ai clienti interessati, Global-e ha dichiarato di aver rilevato attività sospette in una parte della sua rete. L'azienda ha confermato l'accesso non autorizzato ad alcuni dati, inclusi nomi e informazioni di contatto dei clienti.

Loading...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Nel 2024, i proprietari di Ledger sono stati colpiti da un attacco di phishing di massa. I truffatori hanno inviato email a nome dell'azienda sostenendo che ci fosse stata una violazione dei dati. Agli utenti è stato chiesto di "verificare" la loro seed phrase su un sito web contraffatto. La pagina sembrava un servizio ufficiale di Ledger, ma era stata creata per rubare dati. Se una persona inseriva una frase errata, il sito mostrava un errore e chiedeva di riprovare finché i truffatori non ricevevano la combinazione corretta.

Nel novembre 2024, una falsa app Ledger Live è stata trovata nel Microsoft Store. Gli utenti l'hanno scaricata pensando di installare l'interfaccia ufficiale per operare con il proprio wallet. Secondo i resoconti dei media, la falsa app ha permesso agli aggressori di rubare 768.000 dollari.

Un altro grave episodio è accaduto nel dicembre 2023. In quell'occasione, la libreria Ledger Connect Kit utilizzata dalle applicazioni decentralizzate è stata compromessa. Ledger ha dichiarato che la causa è stata un attacco di phishing contro un ex dipendente: l'aggressore ha ottenuto la possibilità di caricare un file dannoso su un gestore di pacchetti JavaScript. Secondo il CEO di Ledger Pascal Gauthier, l'azienda, insieme a WalletConnect, ha risolto l'exploit circa 40 minuti dopo la sua scoperta e ha sostituito la libreria compromessa.

Non esiste un wallet perfetto

Le storie di Trezor e Ledger mostrano che le vulnerabilità possono essere molto diverse. In un caso, i ricercatori testano un chip con un laser. In un altro, i truffatori inviano email, creano siti web falsi o caricano una falsa app in uno store. A volte il problema è all'interno del dispositivo, a volte nei servizi che lo circondano e a volte nella fiducia dell'utente verso un brand familiare.

Esistono anche altri hardware wallet sul mercato, come i dispositivi di Coinkite, BitBox, Keystone o Tangem. Alcuni si concentrano solo su Bitcoin, mentre altri si affidano a schede, codici QR, codice aperto o nessuna connessione a un computer. Ma nessuno di questi approcci elimina tutti i rischi in una volta sola. Più il dispositivo è complesso e più ampio è il suo ecosistema, più sono i punti in cui può apparire un anello debole.

In questa situazione, il wallet crypto ideale dovrebbe proteggere non solo le chiavi private all'interno del dispositivo. Dovrebbe mostrare all'utente esattamente cosa sta firmando, evitare di raccogliere dati personali non necessari, avere un sistema di aggiornamento chiaro, essere sottoposto ad audit indipendenti ed essere resistente agli attacchi fisici. Ma anche questo non basta se il proprietario inserisce la propria seed phrase su un sito web falso o scarica un'app contraffatta.

Ecco perché l'affidabilità di un wallet non può essere ridotta a un solo brand o a un solo chip. Ledger è associato più fortemente alla protezione hardware e a un chip protetto chiuso. Trezor è associato all'apertura e alla verificabilità. Altri produttori offrono i propri compromessi. In realtà, il wallet più sicuro non è quello in cui non sono mai state trovate vulnerabilità, ma quello in cui i rischi sono compresi in anticipo, risolti rapidamente e non trasformano un errore dell'utente nella perdita di tutti i fondi.