Ledger ha dichiarato che ogni caso confermato nell'incidente di drenaggio dei wallet della scorsa settimana riguarda hardware wallet venduti tramite il rivenditore del Sud-est asiatico CryptoBilis, e che i suoi sistemi e i canali di vendita diretti restano inalterati, secondo un aggiornamento a 72 ore pubblicato domenica.

"Il numero di dispositivi coinvolti è limitato", ha dichiarato il produttore di hardware wallet con sede a Parigi, aggiungendo che sta collaborando con le autorità competenti e contattando gli utenti coinvolti. Ha aggiunto che CryptoBilis ha confermato di aver cessato tutte le vendite di hardware wallet.

Aggiornamento a 72 ore sull'incidente del rivenditore CryptoBilis 🔽 Man mano che l'indagine prosegue, stiamo collaborando con le autorità competenti. Il numero di dispositivi coinvolti è limitato. Sappiamo che è preoccupante, soprattutto per chi è direttamente interessato, e stiamo contattando gli utenti coinvolti.Emphasis added

— Ledger (@Ledger) October 11, 2026

Ledger ha avviato l'indagine venerdì dopo che utenti del Sud-est asiatico che avevano acquistato dispositivi da CryptoBilis hanno segnalato la perdita di fondi. L'investigatore onchain Specter ha tracciato più di 86 milioni di dollari in furti sospetti su Ethereum, Tron e Bitcoin. Ledger non ha confermato tale cifra né ha indicato la causa delle perdite.

Gli hardware wallet come quelli prodotti da Ledger sono progettati per mantenere le chiavi private degli utenti offline, ma i ricercatori di sicurezza avvertono da tempo che i dispositivi ottenuti al di fuori dei canali ufficiali possono essere manomessi prima di arrivare agli acquirenti. Un dispositivo modificato può esporre la frase di recupero generata dall'acquirente durante la configurazione—la sequenza di 24 parole che controlla l'accesso ai fondi del wallet.

Gli investigatori onchain YFarmX hanno dichiarato di aver inviato a Ledger un elenco di oltre 450 wallet drenati. Secondo la loro analisi, il ladro ha fatto passare 2.810 ETH tramite il coin mixer Tornado Cash in tre operazioni, ha spostato i prelievi attraverso il pool shielded di Zcash, una funzionalità privacy che nasconde i dettagli delle transazioni, e prelevato circa 3,28 milioni di USDC in tre nuovi wallet, che Circle potrebbe congelare.

Il ladro ha inoltre convertito 15 milioni degli USDT rubati in USDD, una stablecoin che Tether non può congelare, prima di riconvertire 5,1 milioni in USDT e inviare circa 4,23 milioni di USDT a indirizzi di deposito su Binance, hanno dichiarato i YFarmX. Tether ha congelato 10 milioni di USDT il primo giorno, mentre 15.475 ETH, 203 BTC e 10 milioni di USDD restano irraggiungibili, secondo la società. I loro risultati non sono stati verificati in modo indipendente.

Un utente di X di nome Johannes ha affermato di aver trovato dispositivi Ledger manomessi in Europa, dopo aver acquistato due dispositivi in negozi al dettaglio. Ha detto che entrambi presentavano "modifiche identiche (come cavi aggiuntivi e un modulo LTE)" e ha chiesto a Ledger di procedere con un richiamo del prodotto.

Queste affermazioni non sono state verificate in modo indipendente, e l'aggiornamento di Ledger ha indicato che tutti i casi confermati finora riguardano dispositivi CryptoBilis. Johannes ha dichiarato di stare inviando il secondo dispositivo a Ledger per l'analisi. Decrypt ha contattato Ledger per un commento sulle segnalazioni europee.

Controlli sui rivenditori

Nel suo aggiornamento, Ledger ha dichiarato di stare ricordando ai rivenditori e distributori autorizzati di procurarsi i prodotti solo attraverso i canali autorizzati e di "non fare mai nuovamente scorta di prodotti restituiti."

Ha inoltre sconsigliato agli utenti di acquistare da rivenditori non autorizzati, dove "il rischio di acquistare dispositivi sospetti, contraffatti o modificati è significativo."

L'azienda ha detto di star rivedendo i controlli sui rivenditori e di potenziare le protezioni hardware, e ha invitato gli altri operatori del settore a collaborare su pratiche di supply-chain e anti-manomissione.

Ledger ha ribadito il suo consiglio che gli acquirenti CryptoBilis non debbano configurare i dispositivi inutilizzati, e che chi lo ha già fatto dovrebbe spostare i propri fondi su una nuova seed phrase su un dispositivo acquistato da Ledger. L'indicazione riflette il funzionamento del sospetto rischio: se un dispositivo è stato modificato prima della vendita, una seed phrase creata su di esso potrebbe già essere nota a un attaccante, lasciando i fondi esposti fino a quando non vengono spostati su una frase appena generata.

Ha inoltre avvertito che truffatori potrebbero tentare di sfruttare l'incidente, dichiarando che "non vi chiamerà mai, non vi invierà mai DM e non vi chiederà mai la vostra frase di recupero di 24 parole."