Impianto cellulare nascosto nei wallet Ledger: come le hardware wallet vendute da un rivenditore hanno prosciugato circa 93 milioni di dollari
Ledger ha confermato il 10 ottobre 2026 che hardware wallet manomesse vendute tramite il rivenditore del Sud-est asiatico CryptoBilis contenevano un impianto hardware non autorizzato, progettato per catturare le frasi di recupero degli utenti durante la configurazione del dispositivo. La società ha reso noto il rilievo tramite il suo account di supporto. Non si trattava di un difetto del firmware né di un trucco di phishing, ma di circuiti aggiuntivi inseriti in dispositivi autentici da qualche parte tra produttore e acquirente.
Un impianto dietro lo schermo
Secondo la conferma di Ledger e un'analisi tecnica pubblicata da PhishFort, l'impianto era sistemato dietro lo schermo del dispositivo e si agganciava alle linee dati del display. Questa posizione gli permetteva di leggere tutto ciò che compariva sullo schermo, compresa la frase di recupero di 24 parole generata durante la configurazione iniziale. La compromissione non richiedeva quindi un computer infetto o un'app malevola: era la wallet stessa a registrare le parole del seed nel momento in cui venivano generate. CoinDesk ha riportato il 13 ottobre che Ledger ha descritto il componente come un chip spia che trasmetteva le chiavi catturate tramite una rete mobile. Un canale out-of-band di questo tipo non dipende dal computer né dalla connessione internet della vittima, il che rendeva l'esfiltrazione difficile da notare. Le prove fisiche tornano: come riporta Help Net Security, un impianto è stato trovato sul retro di un dispositivo già svuotato, esaminato dopo i fatti. Nessuna delle analisi pubblicate identifica chi ha costruito l'impianto né in quale punto della catena di distribuzione i dispositivi siano stati modificati. Quello che gli esami mostrano è una modifica abbastanza piccola da sfuggire all'ispezione visiva e abbastanza prudente da non interferire con il funzionamento normale della wallet. È proprio questa combinazione - ingombro minimo, funzionalità integra, trasmissione occultata - che rende gli impianti hardware così difficili da scovare a posteriori. Un wallet dall'aspetto autentico, un flusso di configurazione normale e un componente dietro lo schermo che copia la frase seed appena compare: questa è la fisionomia dell'incidente.
La portata delle perdite
La società di analisi blockchain Bitquery ha stimato l'11 ottobre che le perdite presunte arrivassero a 93,2 milioni di dollari su 315 wallet distribuite su sei blockchain, di cui circa 70,5 milioni di dollari su TRON. I numeri vengono dall'analisi on-chain di Bitquery e restano non confermati da Ledger, quindi vanno letti come stime di analisti e non come totali verificati dall'azienda. Gli analisti hanno tracciato fondi rubati in transito su Tornado Cash nei giorni successivi all'emergere del furto; secondo il riepilogo pubblicato da Tarnkappe, all'11 ottobre erano ancora tracciabili on-chain circa 81 milioni di dollari. Al deflusso sono seguiti due interventi di contenimento: Tether ha congelato circa 10 milioni di USDT collegati al furto e circa 5,35 milioni di USDC sono stati identificati per il congelamento. CryptoBilis ferma tutto l'inventario hardware
CryptoBilis, il rivenditore tramite cui i dispositivi manomessi sono arrivati a clienti in Indonesia, Malaysia e Filippine, ha fermato la vendita dell'intero inventario di hardware wallet appena il problema è emerso. La conferma di Ledger collega i dispositivi manomessi allo stock venduto tramite questo rivenditore. Il caso mostra perché il punto di vendita conta quanto il produttore. Un dispositivo autentico che passa per un intermediario non autorizzato può essere aperto, modificato e risigillato con hardware invisibile dall'esterno, e la confezione sigillata offre poche garanzie, perché una scatola risigillata è difficile da distinguere da una sigillata in fabbrica. Chi compra in negozi terzi, marketplace o da rivenditori eredita l'integrità che quei intermediari mantengono, o la sua assenza. Cosa significa per la fiducia nella filiera hardware
Le hardware wallet vivono di un presupposto semplice: il dispositivo che hai in mano fa esattamente ciò che dice il firmware, e nient'altro. La manomissione fisica rompe quel presupposto a un livello che nessuna scansione software può raggiungere. L'impianto di questo incidente non cambiava aspetto né comportamento della wallet; gli utenti vedevano uno schermo normale e un flusso di configurazione normale mentre un componente dietro il display copiava la frase seed e la trasmetteva in silenzio. Le lezioni pratiche sono poco appariscenti. Comprate le hardware wallet direttamente dal produttore o da un distributore autorizzato. Trattate come compromesso e buttate qualsiasi dispositivo che arrivi preconfigurato, con frase di recupero stampata o PIN preimpostato. Inizializzate il dispositivo voi stessi, generate una frase di recupero nuova e verificate l'autenticità del software che ci abbinate: la stessa disciplina descritta in un nostro articolo su come verificare correttamente i download vale per gli strumenti wallet quanto per qualsiasi altra cosa scaricata via Tor. Per chi ha comprato una Ledger da CryptoBilis, il presupposto operativo deve essere che la frase di recupero sia stata catturata. I fondi vanno spostati su una wallet inizializzata su un dispositivo verificato, e il vecchio seed va considerato bruciato. Il principio vale oltre l'incidente: una frase di recupero deve esistere in un solo posto, generata dal proprietario, mai prestampata e mai riutilizzata.
