Ledger ha confermato che un dispositivo appartenente a un utente colpito conteneva un implant hardware non autorizzato, segnando il primo riscontro a livello di dispositivo in un'indagine sui fondi perduti segnalati dagli acquirenti dei suoi dispositivi tramite il rivenditore CryptoBillis.

Nel suo ultimo aggiornamento pubblico, il produttore di hardware wallet ha dichiarato di stare contattando gli utenti interessati, di lavorare con il rivenditore CryptoBillis e di collaborare con le autorità competenti. L'azienda ha inoltre dichiarato di non aver trovato alcuna indicazione che la propria infrastruttura di sicurezza, i sistemi o i servizi siano stati compromessi.

Il riscontro sposta l'attenzione sul percorso di distribuzione del dispositivo, mentre l'azienda continua a esaminare le circostanze più ampie delle perdite segnalate. L'aggiornamento di Ledger ha indicato l'implant come un riscontro confermato in un solo dispositivo, mentre il numero di dispositivi potenzialmente coinvolti e il ruolo svolto dall'implant nelle perdite restano in fase di verifica. L'azienda non ha divulgato la portata potenziale né collegato pubblicamente l'implant a ogni perdita segnalata.

Come l'indagine è arrivata a un riscontro a livello di dispositivo

Ledger ha avviato l'indagine dopo che alcuni utenti hanno segnalato fondi perduti collegati a dispositivi acquistati tramite CryptoBillis. In quella fase, l'azienda non aveva confermato una causa comune, i totali delle perdite segnalate né una compromissione dei propri sistemi. Ha chiesto al rivenditore di sospendere le vendite e ha avvisato i clienti di non inizializzare i dispositivi inutilizzati, come riportato in precedenti articoli.

L'ultima dichiarazione fornisce all'indagine un riscontro concreto a livello di dispositivo. Non stabilisce quanti unità potrebbero essere coinvolte né spiega come si è verificata ogni perdita segnalata.

CryptoBillis sospende tutte le vendite di hardware wallet

Ledger ha dichiarato che CryptoBillis ha cessato la vendita dell'intero inventario di hardware wallet fino alla conclusione dell'indagine. La sospensione limita l'ulteriore distribuzione tramite il rivenditore mentre le due aziende determinano i prossimi passi.

Il riscontro sposta il focus sulla catena di fornitura. La sicurezza di un hardware wallet inizia prima che il proprietario crei un wallet: il dispositivo deve raggiungere l'acquirente senza modifiche non autorizzate. Gli hardware wallet sono progettati per mantenere le chiavi private dell'utente offline, e quel modello di sicurezza si basa sull'autenticità dell'hardware al momento della configurazione. Ledger non ha affermato che ogni dispositivo CryptoBillis sia stato alterato, ed è per questo che l'indagine e la sospensione delle vendite restano importanti.

Gli elenchi di rivenditori sui social media non sono avvisi ufficiali

Un post su X del contributor di CryptoQuant Darkfost ha citato altri rivenditori Ledger nel Sud-est asiatico che, secondo il post, potrebbero essere esposti a rischi nella catena di fornitura a causa della loro prossimità regionale a CryptoBillis. Il post ha descritto esplicitamente tale ipotesi come speculazione e non ha presentato evidenze che quei rivenditori abbiano venduto dispositivi alterati.

Ledger ha confermato un implant non autorizzato in un dispositivo collegato a CryptoBillis. Non ha identificato pubblicamente altri rivenditori, non ha confermato un problema di distribuzione più ampio né ha consigliato a ogni cliente della regione di spostare i fondi. Gli acquirenti dovrebbero quindi evitare di considerare un elenco di rivenditori in circolazione come un avviso ufficiale, seguendo al tempo stesso le indicazioni di Ledger se hanno acquistato da CryptoBillis o se ricevono un aggiornamento diretto dall'azienda.

Cosa dovrebbero valutare gli acquirenti coinvolti

Questi passaggi si applicano alle persone che hanno acquistato un dispositivo Ledger tramite CryptoBillis. Ledger non ha emesso un'istruzione di migrazione per tutti gli utenti Ledger.

• Lasciare non inizializzato un dispositivo inutilizzato. I clienti che hanno acquistato dal rivenditore e non hanno avviato la configurazione non dovrebbero inizializzare il dispositivo mentre l'indagine è in corso.
• Non riutilizzare una frase di recupero esistente su un dispositivo sostitutivo. Un dispositivo sostitutivo caricato con la vecchia frase di 24 parole ripristina lo stesso wallet e non crea un confine di sicurezza separato.
• Valutare di spostare gli asset su un nuovo signer con una nuova frase. Per un dispositivo già inizializzato, Ledger consiglia di valutare una migrazione verso una nuova configurazione di wallet. Gli utenti dovrebbero verificare ogni indirizzo di destinazione sullo schermo dell'hardware wallet prima di approvare una transazione.
• Non divulgare mai la frase di recupero. Ledger dichiara che non chiederà mai agli utenti la loro frase di recupero di 24 parole, e qualsiasi richiesta in tal senso dovrebbe essere considerata un tentativo di truffa.

Una pista fisica, con interrogativi aperti

La conferma di Ledger trasforma il caso da una serie di segnalazioni di utenti in un'indagine con un riscontro confermato a livello di dispositivo. Restano domande sulla scala del problema e sul collegamento tra l'implant e le perdite segnalate. I segnali da monitorare da qui in avanti sono gli aggiornamenti successivi di Ledger su quanti dispositivi potrebbero essere coinvolti, le notifiche dirette agli acquirenti che hanno acquistato tramite il rivenditore e la conclusione dell'indagine che determinerà se CryptoBillis riprenderà le vendite.

Per gli acquirenti CryptoBillis, la priorità immediata è semplice: non inizializzare un dispositivo inutilizzato e usare una nuova frase di recupero quando si spostano gli asset. Per gli altri utenti self-custody, l'episodio ricorda che la sicurezza del wallet dipende dall'integrità del dispositivo prima che la prima transazione venga firmata.

Questo articolo è fornito solo a scopo informativo e non costituisce consulenza finanziaria o di sicurezza. Gli utenti che ritengono che un dispositivo possa essere interessato dovrebbero seguire le indicazioni ufficiali di Ledger e non condividere mai la loro frase di recupero.