Scandalo chip spia Ledger: i wallet hardware proteggono ancora le crypto?

​Ledger ha confermato un impianto hardware non autorizzato in un dispositivo di un cliente, collegato a oltre $86 milioni di perdite in crypto. Ciò evidenzia una grave vulnerabilità nella catena di fornitura dei wallet hardware. Ulteriori indagini sul rivenditore del Sud-est asiatico CryptoBilis indicheranno i rischi di manomissione fisica e le modalità per ripristinare lo status dei cold wallet come metodo più sicuro per la conservazione delle crypto.

Impianto confermato e portata delle perdite

La conferma di Ledger di un impianto hardware non autorizzato ha fatto emergere numerosi problemi nascosti dei suoi wallet. I rischi maggiori si osservano tra gli acquirenti che hanno acquistato dispositivi tramite il rivenditore del Sud-est asiatico CryptoBilis. Ledger afferma che i suoi sistemi non presentano vulnerabilità. Gli analisti blockchain di Bitquery hanno calcolato circa $93,2 milioni sottratti da 315 wallet su Tron, Bitcoin, Ethereum, BNB Chain, Polygon e Solana. Tether ha congelato circa $10 milioni in USDT correlati. Ledger non ha ancora confermato queste cifre. 

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Il 10 ottobre, Ledger Support ha pubblicato un aggiornamento sulla situazione, dichiarando: 

“Ledger può confermare che il dispositivo di uno degli utenti coinvolti conteneva un impianto hardware non autorizzato.” 

L'azienda sta collaborando con le autorità e il collettivo di sicurezza SEAL 911. Ha chiesto a CryptoBilis di sospendere tutte le vendite di wallet hardware. 

“Non abbiamo alcuna indicazione che l'infrastruttura di sicurezza, i sistemi o i servizi di Ledger siano stati compromessi”, ha aggiunto il comunicato. 

Anatomia del modulo spia

I ricercatori descrivono una sofisticata modifica fisica che non ha richiesto un exploit software né la compromissione di un secure element. L'ex amministratore delegato di Mt. Gox, Mark Karpelès, ha esaminato un Ledger Nano X acquistato in Malesia e ha trovato una piccola scheda elettronica. 

“Il mio Ledger con impianto spia proveniva dalla Malesia e aveva una pellicola termoretraibile impeccabile”, ha scritto. “Anche aprendolo, inizialmente non si vede l'impianto, abilmente nascosto dove dovrebbe trovarsi l'imbottitura dello schermo.”

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

L'impianto include in genere un microcontrollore, un modulo cellulare o LTE, una eSIM e un'antenna. Quando il dispositivo genera la frase di recupero di 24 parole durante la configurazione iniziale, il modulo può ricostruire le parole dal flusso di pixel e trasmetterle tramite la rete cellulare. Poiché il secure element resta autentico, il “Genuine Check” di Ledger continua a essere superato. Pertanto, un utente tipico non ha quasi alcuna possibilità di riconoscere il problema.

Un problema di canale, non un guasto di fabbrica

Ledger ha dichiarato che l'incidente è limitato ai dispositivi venduti tramite CryptoBilis, un rivenditore autorizzato che opera in Indonesia, Malesia e Filippine. Al momento, non risultano casi che mostrino problemi con dispositivi acquistati direttamente dallo store di Ledger. L'azienda osserva che nessuna catena di fornitura globale è immune da intercettazioni una volta che i prodotti lasciano la fabbrica. Gli ex cofondatori di CryptoBilis hanno dichiarato che l'azienda ha cambiato proprietà all'inizio del 2026, sostenendo quindi di non essere responsabili di questi svuotamenti.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Il modello dell'attività on-chain mostra più wallet che autorizzano lo stesso spender nel giro di pochi secondi. Ciò dimostra che i casi sono esempi di accesso coordinato alle chiavi private, piuttosto che singoli tentativi di phishing. Tuttavia, Ledger non ha collegato ogni indirizzo svuotato a un impianto confermato, poiché l'indagine interna prosegue.

Esame degli esperti e avvertimenti precedenti

Gli analisti hardware hanno stabilito che il modulo monitora passivamente il traffico del display non cifrato senza attaccare il secure element. Le iterazioni successive, secondo Karpelès e Tibane Labs, hanno ridotto il cablaggio visibile. Ciò ha preservato la batteria originale, consentendo al dispositivo di superare un'ispezione superficiale. Gli esperti hanno presentato nuovi tutorial video affinché gli utenti possano verificare i propri dispositivi.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Il chief information security officer di SlowMist ha dichiarato che un simile modulo potrebbe registrare le frasi di recupero. Tuttavia, una comprensione completa delle principali cause sottostanti richiede un'indagine. Lo scandalo ha anche portato a nuovi tentativi di phishing: siti web e app Ledger falsi sono comparsi nei risultati di ricerca. I rappresentanti di Ledger hanno ricordato che l'azienda non chiederà mai la frase di 24 parole di un utente.

Implicazioni per la cold storage

I wallet hardware sono tradizionalmente considerati il gold standard della self-custody perché le chiavi private non lasciano il dispositivo. Tuttavia, questo scandalo mostra un nuovo tipo di rischio che può verificarsi a livello di distribuzione. Ledger afferma di stare “lavorando a ulteriori soluzioni anti-manomissione migliorate” e consiglia agli utenti di acquistare solo dai canali ufficiali e di ispezionare visivamente i wallet prima della configurazione. 

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Il lavoro forense indicherà l'entità completa delle perdite, poiché vi è un'alta probabilità che molti casi non siano ancora documentati. Pertanto, consigliamo di considerare qualsiasi dispositivo proveniente dal canale coinvolto come potenzialmente compromesso. Se i fondi potrebbero essere a rischio, genera una nuova seed phrase su un wallet affidabile (nuovo).