Ledger ha confermato sabato 10 ottobre che un hardware wallet appartenente a un cliente interessato conteneva un implant hardware non autorizzato. L'azienda ha dichiarato che la scoperta è avvenuta mentre indagava su segnalazioni di criptovalute rubate collegate a CryptoBilis, un rivenditore dei suoi dispositivi nel Sud-Est asiatico. È la prima volta che Ledger conferma una manomissione fisica di un dispositivo interessato. Il caso riguarda dispositivi distribuiti attraverso un canale di rivendita di terze parti.

L'azienda ha dichiarato che "uno dei dispositivi degli utenti coinvolti conteneva un implant hardware non autorizzato". Ha aggiunto di non avere "alcuna indicazione che l'infrastruttura di sicurezza, i sistemi o i servizi di Ledger siano stati compromessi". L'account di supporto di Ledger ha dichiarato di stare contattando gli utenti interessati e di collaborare con le autorità. La conferma ha un peso particolare perché la protezione fondamentale di un hardware wallet è la sua frase di recupero — la sequenza di parole generata durante la configurazione che, da sola, può ripristinare l'accesso ai fondi di un utente senza il dispositivo.

Le stime compilate da analisti e investigatori on-chain indipendenti collocano le perdite sospette tra circa 72 milioni e 93,4 milioni di dollari.

La divulgazione è seguita a un avviso pubblico del fondatore di Binance Changpeng "CZ" Zhao, che il giorno prima aveva messo in guardia gli acquirenti di hardware wallet:

⚠️ Beware if you use a Ledger hardware wallet, especially if you bought one recently. Based on information so far, it seems to be localized to a supply chain attack with one vendor. A small number of people probably bought fake (or tampered) Ledgers. Ledger is one of the most…

— CZ 🔶 BNB (@cz_binance) October 9, 2026

Cosa hanno trovato gli investigatori

L'analista on-chain Yfarmx ha stimato perdite sospette per 93,4 milioni di dollari su 471 indirizzi. Bitquery ha stimato circa 92,9 milioni di dollari su 311 indirizzi, e il ricercatore Specter ha affermato che le perdite superano gli 86 milioni di dollari. L'investigatore on-chain tanuki42 ha identificato più di 72 milioni di dollari inviati a indirizzi ritenuti collegati ai furti. Ledger non ha confermato nessuna di queste cifre, e gli investigatori non hanno stabilito un conteggio finale dei wallet interessati.

L'ex CEO di Mt. Gox Mark Karpelès ha pubblicato i risultati di un'analisi su un Ledger Nano X modificato. Ha descritto una scheda a circuito nascosta e apparecchiatura cellulare in grado di intercettare le frasi di recupero. Secondo tali risultanze, l'apparecchiatura monitorava i dati inviati allo schermo del dispositivo durante la configurazione e poteva quindi trasmettere le parole di recupero tramite un collegamento cellulare. Il meccanismo colpiva nel momento in cui gli hardware wallet sono pensati per proteggere: la configurazione, quando la frase segreta viene creata e il dispositivo l'unico luogo in cui esiste. Gli investigatori non hanno dimostrato che ogni wallet interessato conteneva componenti simili, e non esiste un conteggio definitivo dei dispositivi manomessi.

Il rivenditore sospende vendite e spedizioni

CryptoBilis, attiva in Indonesia, Malaysia e Filippine, ha smesso di vendere hardware wallet fino alla conclusione dell'indagine. Ledger ha chiesto al rivenditore di sospendere vendite e spedizioni il 9 ottobre. La sospensione ha attirato l'attenzione sul livello dei rivenditori nel mercato degli hardware wallet, dove i dispositivi passano attraverso la distribuzione di terze parti prima di arrivare agli acquirenti.

L'azienda ha detto ai clienti che hanno acquistato un dispositivo dal rivenditore negli ultimi 90 giorni di non configurarlo. A coloro che lo avevano già fatto è stato consigliato di spostare i propri asset su un nuovo signer Ledger con un nuovo seed. Un nuovo seed sostituisce la frase di recupero generata durante la configurazione originale.

Ledger ha dichiarato di lavorare a strumenti anti-manomissione più efficaci e ha ringraziato il collettivo di sicurezza volontario SEAL 911 per l'aiuto agli investigatori.

Su X, alcuni utenti hanno chiesto se Ledger rimborserebbe le vittime. Altri hanno sostenuto che l'azienda dovrebbe assumersi la responsabilità, poiché CryptoBilis era un rivenditore autorizzato. Ledger non ha annunciato alcun compenso.

Sito Ledger falso appare nella ricerca Google

Separatamente, il ricercatore Cyber Scrilla ha avvertito che un sito e un'app falsi di Ledger sono apparsi vicino ai vertici dei risultati di ricerca Google, come evidenziato in un report di Bitcoin News. Gli operatori, secondo quanto riferito, cercavano di indurre i visitatori a inserire le loro frasi di recupero di 24 parole.

FAKE LEDGER WEBSITE APPEARS AT TOP OF GOOGLE SEARCH AMID $86M WALLET THEFT INVESTIGATION

Security researcher @cyberscrilla has flagged a fraudulent Ledger website and app appearing prominently in Google Search, designed to trick users into revealing their 24-word recovery…

— Bitcoin News (@BitcoinNewsCom) October 10, 2026

Secondo quanto riferito, il sito ha mostrato più di 1 milione di visite in 30 giorni, una cifra non confermata. Nessun numero di vittime o importo rubato è stato accertato per il sito, e resta sconosciuto quanti utenti possano essere stati esposti.

Un report di settembre della società di sicurezza Zscaler descriveva uno schema simile basato su annunci Google fraudolenti. La società ha rilevato che l'affermazione di 1 milione di visite sembrava riferirsi a google.com, non alla pagina di phishing, suggerendo che la cifra del traffico possa essere stata attribuita erroneamente.

I ricercatori non hanno dimostrato che i siti di phishing abbiano causato le perdite di CryptoBilis. Si tratta di due questioni distinte, anche se entrambe coinvolgono gli utenti Ledger.

Indicazioni per gli utenti Ledger

Ledger afferma che gli utenti non dovrebbero mai digitare una frase di recupero in un sito web, un'app o un modulo online, e che non chiederà mai ai clienti la loro frase di recupero di 24 parole. Consiglia di scaricare il software solo dal sito ufficiale di Ledger e di controllare attentamente gli indirizzi web.

L'aggiornamento più recente è arrivato il 10 ottobre, quando Ledger ha dichiarato che un dispositivo confermato conteneva un implant. Il numero di altri dispositivi manomessi e le persone responsabili restano sconosciuti. Se gli investigatori stabiliranno un conteggio finale dei dispositivi manomessi, se Ledger annuncerà eventuali compensi e quando CryptoBilis riprenderà le vendite sono le questioni aperte da seguire mentre l'indagine continua.

Fonte: CoinCentral