Ledger: chip spia nei wallet di CryptoBilis, furti da 93 milioni

Ledger, il produttore francese di wallet hardware per criptovalute, ha confermato che almeno un dispositivo venduto dal rivenditore CryptoBilis conteneva un impianto hardware non autorizzato. L’impianto, nascosto sotto lo schermo, legge la frase di recupero (seed) mentre il wallet la mostra durante la configurazione e la trasmette all’attaccante con una connessione LTE tramite eSIM. Con la frase in mano, l’attaccante ricostruisce il wallet altrove e lo svuota quando vuole.

La notizia è riportata da Help Net Security, BleepingComputer, The Hacker News e heise Security. I dettagli tecnici vengono dalle analisi pubblicate da Mark Karpelès (ex CEO di Mt. Gox) e da Tibane Labs, non da Ledger, che finora non ha spiegato come funziona l’impianto.

Cosa è successo

• 9 ottobre 2026: utenti del Sud-est asiatico segnalano wallet svuotati. Ledger avvia un’indagine e chiede a CryptoBilis, grande rivenditore con sede in Malesia, di sospendere vendite e spedizioni.
• 10 ottobre: Ledger conferma che il dispositivo di uno degli utenti colpiti conteneva un impianto hardware non autorizzato; collabora con le autorità per identificare i responsabili.
• 11 ottobre: nell’aggiornamento a 72 ore, Ledger afferma che tutti i casi confermati riguardano dispositivi venduti tramite CryptoBilis, che il numero è «limitato» e che i suoi sistemi e i canali di vendita diretta non sono stati compromessi. CryptoBilis ha interrotto la vendita di wallet hardware.

Secondo ricercatori che analizzano le transazioni sulla blockchain, citati da Help Net Security, le perdite sospette superano i 93 milioni di dollari. BleepingComputer riferisce che alcuni ricercatori mostravano l’impianto già dal 16 settembre, e che i dispositivi manomessi erano in vendita a circa metà del prezzo dell’originale.

Ledger non ha indicato il modello coinvolto; Karpelès parla di Ledger Nano X. Non è chiaro quando e in quale punto della catena di distribuzione i dispositivi siano stati manomessi.

Dettagli tecnici

Come funziona, secondo Karpelès. Il dispositivo che ha acquistato e aperto contiene una piccola scheda nascosta sotto lo schermo, al posto dell’imbottitura del display, con un microcontrollore, un’antenna, un modulo LTE e una eSIM. L’impianto osserva quello che compare sullo schermo e la pressione dei tasti, ricava le parole della frase di recupero e le invia via rete cellulare. Il wallet era arrivato con il cellophane intatto e aveva superato il Genuine Check di Ledger, perché il chip di sicurezza è autentico. Karpelès lo descrive come un’evoluzione rispetto a versioni precedenti con fili saldati a mano.

Due varianti, secondo Tibane Labs. I ricercatori hanno analizzato due esemplari acquistati in Giappone, uno su Amazon Japan da un venditore cinese con spedizione dalla Malesia, l’altro su Yahoo! Auctions:

• prima variante: la batteria originale è sostituita da una più piccola, che alimenta sia il wallet sia l’impianto. Sotto la batteria e l’antenna c’è un microcontrollore ST STM32G431KBU6 (Arm Cortex-M4, 128 KB di flash, package UFQFPN-32), accanto una eSIM in package a 8 piazzole di 2×2 mm e un modulo LTE schermato;
• seconda variante, più avanzata e simile a quella di Karpelès: usa la batteria originale, occupa lo spazio dell’imbottitura sotto il display OLED e ha le sigle cancellate da microcontrollore ed eSIM. È un circuito flessibile progettato e prodotto in serie da un fornitore di PCB, non un pezzo unico fatto a mano.

In entrambe le varianti l’indizio visibile è il filo dell’antenna: lungo il bordo superiore nella seconda, fissato con nastro sopra batteria e modulo LTE nella prima. Per vederlo bisogna aprire il dispositivo.

Perché i controlli non bastano. Il Genuine Check verifica l’autenticità del Secure Element. Ledger stessa avverte che non può rilevare componenti aggiunti se il Secure Element originale è intatto. L’impianto non tocca le chiavi nel chip: le legge dallo schermo, nel momento in cui il wallet le mostra all’utente. E poiché esce dalla rete cellulare, non passa dalla rete dell’utente.

Le fonti divergono sull’origine. Help Net Security scrive che Karpelès ha comprato il dispositivo in Malesia; secondo BleepingComputer l’ha acquistato da un venditore cinese su una nota piattaforma, con spedizione dalla Malesia, senza nominare CryptoBilis.

MITRE ATT&CK (nostra mappatura dai fatti riportati): T1195.003 (Supply Chain Compromise: Compromise Hardware Supply Chain), T1011 (Exfiltration Over Other Network Medium). Non sono stati pubblicati indicatori di compromissione come indirizzi o server di destinazione.

Impatto per le aziende europee e italiane

I casi confermati riguardano il Sud-est asiatico, ma il canale di vendita usato non era un mercatino: CryptoBilis era un rivenditore autorizzato. Secondo Help Net Security, un utente di X sostiene che anche wallet venduti in Europa da un rivenditore ufficiale potrebbero essere stati manomessi: l’affermazione non è verificata, Ledger non l’ha commentata e BleepingComputer non riporta indizi su altri rivenditori.

Per le aziende che custodiscono criptovalute in tesoreria, accettano pagamenti in cripto o gestiscono fondi di clienti, il rischio è concreto. La lezione però vale per qualsiasi dispositivo di sicurezza fisico, come chiavi FIDO e token di autenticazione: l’attestazione del chip non garantisce che il resto del dispositivo sia integro. Per i soggetti NIS2, l’articolo 21 chiede misure per la sicurezza della catena di approvvigionamento, e i canali di acquisto dell’hardware di sicurezza ne fanno parte.

Bitquery, società di analisi della blockchain, osserva che oltre l’80% dei wallet svuotati che ha tracciato aveva ricevuto i primi fondi da giugno in poi. Questo fa pensare che possano essere compromessi anche dispositivi acquistati prima dei 90 giorni indicati nelle raccomandazioni di Ledger.

Cosa fare subito

1. Fai l’inventario dei wallet hardware dell’azienda: modello, numero di serie, canale e data di acquisto, chi li ha inizializzati.
2. Dispositivi acquistati da CryptoBilis: se non sono ancora configurati, non inizializzarli. Se sono in uso, sposta i fondi su un nuovo wallet acquistato direttamente dal produttore, con una nuova frase di recupero generata dal nuovo dispositivo. Considera anche gli acquisti precedenti ai 90 giorni.
3. Acquisti da marketplace, aste o a prezzi molto bassi: trattali allo stesso modo. Il Genuine Check non basta a escludere l’impianto.
4. Regole di acquisto: compra l’hardware di sicurezza direttamente dal produttore, oppure da rivenditori verificati. Escludi prodotti usati, resi o rimessi in vendita e conserva la prova di acquisto.
5. Sorveglia gli indirizzi dei wallet aziendali, con avvisi su qualsiasi uscita non autorizzata.
6. Attenzione al phishing: Ledger avverte che i truffatori useranno la notizia per contattare gli utenti. Ledger non telefona, non scrive in privato e non chiede mai la frase di recupero di 24 parole; informa chi gestisce la tesoreria.
7. In caso di furto, contatta l’assistenza di Ledger solo dai canali ufficiali e presenta denuncia alle forze dell’ordine.

Ultimo aggiornamento: 13 ottobre 2026