Un segnalato prosciugamento di wallet collegato a Ledger, uno dei produttori di hardware wallet più diffusi nel settore crypto, ha attirato l'attenzione della comunità di sicurezza delle criptovalute, con una cifra di 92,9 milioni di dollari citata su Bitcoin, Ethereum e TRON. La portata cross-chain del prosciugamento segnalato lo distingue dagli incidenti su rete singola e solleva interrogativi sull'esposizione del self-custody per gli utenti che detengono asset su più catene contemporaneamente.

Cosa copre l'incidente segnalato

Secondo quanto riportato da U.Today, l'incidente è descritto come un exploit legato a Ledger per un totale di 92,9 milioni di dollari su wallet di Bitcoin, Ethereum e TRON. L'esatto vettore d'attacco, il numero di wallet interessati e la cronologia del prosciugamento non sono stati verificati in modo indipendente al momento della stesura, e le cifre dovrebbero essere trattate come riportate e non come confermate.

L'inquadramento legato a Ledger è particolarmente rilevante per gli utenti DeFi. Ledger, un produttore di hardware wallet con sede in Francia i cui dispositivi sono progettati per mantenere le chiavi private offline, è ampiamente utilizzato per il cold storage di asset che sono anche attivamente impiegati in protocolli on-chain, tra cui mercati di lending, pool di liquidità e vault di restaking. A differenza dei saldi custoditi su un exchange centralizzato, gli asset protetti da un hardware wallet sono direttamente sotto il controllo del detentore, senza intermediari che assorbano le perdite o sospendano i prelievi se il livello di firma viene compromesso. La compromissione di un hardware wallet non richiede un exploit on-chain di un protocollo; può aggirare completamente la sicurezza degli smart contract compromettendo il livello di firma.

Perché la portata cross-chain cambia il calcolo del rischio

I prosciugamenti confinati a una singola catena consentono agli investigatori di tracciare i flussi attraverso un unico block explorer. Un evento su tre catene che coinvolge Bitcoin, Ethereum e TRON complica sia l'attribuzione sia il recupero. Le transazioni Bitcoin sono irreversibili e pseudonime; gli indirizzi Ethereum possono essere segnalati dagli strumenti di sicurezza on-chain tramite Etherscan; e TRON opera su una propria rete con un'infrastruttura di explorer distinta, rendendo non banale la correlazione cross-chain.

Per gli utenti con liquidità attivamente impiegata su Ethereum, come posizioni in Aave o protocolli di lending simili, un dispositivo di firma compromesso crea una superficie di rischio che va oltre l'hardware wallet stesso. Poiché le posizioni on-chain obbediscono a chi detiene le chiavi di controllo, un attaccante che controlla la firma può prelevare le garanzie, chiudere le posizioni esistenti o dirottare i token fruttiferi senza attivare alcun sistema di rilevamento di anomalie on-chain legato al livello degli smart contract.

Non si tratta del incidente cross-chain a esporre i limiti delle ipotesi di sicurezza a livello hardware. All'inizio di questo mese, l'HOT Omni Bridge su NEAR è stato oggetto di un exploit in un evento separato che coinvolgeva anch'esso più reti, sottolineando che le superfici d'attacco cross-chain restano un vettore attivo nell'attuale contesto di minacce.

Cosa dovrebbero monitorare utenti e protocolli

Finché Ledger o una società di sicurezza indipendente non pubblicherà un post-mortem completo, la portata precisa dei dispositivi o delle versioni firmware interessate resta sconosciuta. Gli utenti che detengono asset cross-chain in hardware wallet dovrebbero monitorare gli avvisi di sicurezza ufficiali di Ledger e verificare che il firmware del dispositivo sia aggiornato, facendo affidamento su aggiornamenti confermati anziché su segnalazioni secondarie non verificate sugli intervalli di dispositivi o versioni firmware interessati. Firmware e applicazioni wallet dovrebbero essere ottenuti solo tramite canali ufficiali. Come precauzione generale, la frase di recupero di un hardware wallet — la sequenza di parole utilizzata per ripristinare un wallet — non dovrebbe mai essere inserita su alcun sito web né condivisa con chiunque, poiché nessun produttore di wallet legittimo o servizio di assistenza la richiede.

I controlli a livello di protocollo, come i prelievi con time-lock o gli override multisig con guardian sulle posizioni di alto valore, offrono un livello di difesa secondario che opera indipendentemente dal dispositivo di firma.

Gli investigatori on-chain che tracciano il prosciugamento segnalato dovrebbero incrociare i dati del mempool di Bitcoin, gli strumenti di monitoraggio degli indirizzi su Ethereum e il block explorer di TRON per correlare i deflussi per timestamp e clustering degli indirizzi sulle tre reti. Senza hash di transazione confermati da una fonte verificata, pubblicare un'attribuzione on-chain specifica rischierebbe di generare inesattezze. Gli sviluppi da monitorare includono se Ledger confermerà o confuterà la cifra segnalata, se un post-mortem identificherà un vettore d'attacco specifico e se società di sicurezza indipendenti segnaleranno gli indirizzi di ricezione sulle tre catene.