Ledger sta indagando su un ampio gruppo di svuotamenti di wallet che hanno colpito clienti del Sud-est asiatico che hanno acquistato hardware wallet dal rivenditore CryptoBilis, con l'ultima stima onchain che porta le perdite sospette a 92,9 milioni di dollari.

La sicurezza degli hardware wallet si basa su un'unica premessa: il seed di recupero — la frase che controlla l'accesso ai fondi onchain — viene generato sul dispositivo stesso e non lo lascia mai. È per questo che il canale di vendita attraverso cui un dispositivo arriva all'acquirente è al centro di questo caso.

La società ha chiesto a CryptoBilis di fermare tutte le vendite e spedizioni di prodotti Ledger il 9 ottobre, mentre l'indagine prosegue. Chiunque abbia acquistato un dispositivo dal rivenditore negli ultimi 90 giorni e non lo abbia ancora inizializzato non deve avviare la configurazione. Ai clienti che utilizzano già uno di questi dispositivi è stato consigliato di valutare il trasferimento dei propri asset su un nuovo signer Ledger generato con un seed di recupero completamente nuovo.

Negli aggiornamenti pubblicati dal suo account di supporto su X, Ledger ha dichiarato che i casi segnalati finora erano limitati ai dispositivi distribuiti tramite CryptoBilis e che non vi era alcuna indicazione diissione della sua infrastruttura di sicurezza, dei suoi sistemi o servizi. La società non ha confermato l'ammontare rubato, il numero di vittime né il meccanismo utilizzato per accedere ai wallet.

CryptoBilis è cambiata di proprietà mesi prima degli svuotamenti

CryptoBilis è stata acquisita all'inizio del 2026, come confermato dall'ex cofondatore Arravind Prabu dopo l'avvio dell'indagine sugli svuotamenti di wallet. Prabu ha dichiarato che i precedenti proprietari si sono completamente dimessi da operazioni, accessi ai sistemi e gestione dopo l'acquisizione e non gestiscono più CryptoBilis. La transazione è stata completata a marzo, mentre i registri societari malesi pubblicati durante l'indagine mostrano un individuo identificato come Jiaming, con indirizzo registrato a Heilongjiang, in Cina, detentore del 100% delle azioni di CryptoBilis al 3 agosto.

Il ricercatore di sicurezza Quit ha dichiarato che l'acquisizione includeva un accordo di non divulgazione che impediva ai precedenti proprietari di rivelare pubblicamente la vendita, con la restrizione in scadenza il 19 ottobre — dieci giorni dopo la richiesta di stop di Ledger. Ha sollevato la possibilità che l'acquisto possa essere stato effettuato da un threat actor sofisticato in cerca di accesso a un rivenditore autorizzato affermato, anziché che l'incidente fosse originato da un dipendente rinnegato. La teoria riflette la posizione di fiducia che i rivenditori occupano tra produttore e cliente.

Resta una teoria investigativa. Nessuna prova pubblica ha stabilito che il nuovo proprietario abbia acquisito CryptoBilis per compromettere i dispositivi Ledger, abbia partecipato agli svuotamenti di wallet o abbia avuto qualsiasi collegamento con gli indirizzi controllati dall'attaccante. Il tempismo colloca tuttavia il cambio di proprietà mesi prima della vendita dei dispositivi interessati e prima dell'inizio degli svuotamenti coordinati.

La stima onchain raggiunge i 92,9 milioni di dollari

Le perdite sospette sono cresciute oltre le stime iniziali di 72-86 milioni di dollari man mano che gli investigatori identificavano ulteriori indirizzi e reti interessati.

Una dettagliata ricostruzione di Bitquery dello svuotamento ha identificato 92,9 milioni di dollari prelevati da 311 wallet su Tron,, Ethereum, BNB Chain e Polygon. Le perdite maggiori si sono concentrate su Tron, dove sono stati rimossi circa 70,5 milioni di dollari. I wallet Bitcoin hanno perso circa 203,8 BTC per un valore di 16,8 milioni di dollari, mentre Ethereum, BNB Chain e Polygon rappresentano i fondi rimanenti.

Il tempismo delle transazioni indica un controllo centralizzato sulle chiavi private interessate. Venticinque wallet Tron hanno autorizzato lo stesso spender entro tre secondi, e 111 wallet Bitcoin sono stati svuotati entro un singolo blocco, secondo rapporti condivisi su X. Bitquery ha inoltre tracciato 41 piccole transazioni di test su Tron ed Ethereum nelle due settimane precedenti lo svuotamento principale. Quel modello non stabilisce come le chiavi private siano state ottenute, ma differisce da vittime individuali che approvano indipendentemente transazioni malevole in un periodo prolungato.

Tether ha successivamente congelato circa 10 milioni di dollari in USDT su 20 indirizzi collegati all'attività — un passo disponibile per l'emittente poiché i saldi in stablecoin possono essere congelati su indirizzi designati. Altri 15,1 milioni di USDD sono rimasti in wallet controllati dall'attaccante, mentre 1.254 ETH sono stati inviati tramite Tornado Cash, un protocollo di mixing costruito per oscurare il collegamento tra indirizzi di deposito e prelievo, più tardi il 9 ottobre. Circa 79 milioni di dollari risultavano ancora tracciabili all'ultima analisi.

Un implant fisico solleva domande sulla supply chain

È in esame anche una possibile via di attacco basata su hardware. L'ex CEO di Mt. Gox Mark Karpelès ha aperto un dispositivo Ledger ottenuto in Malaysia e ha riferito di aver trovato un implant elettronico nascosto posizionato dove normalmente si troverebbe l'imbottitura dello schermo.

Karpelès ha dichiarato che il dispositivo modificato manteneva un imballaggio convincente e che l'implant era difficile da individuare anche dopo l'apertura del case. La sua analisi ha indicato che l'hardware aggiuntivo poteva monitorare le informazioni mostrate durante la configurazione e trasmettere esternamente i dati della frase di recupero. Una modifica di quel tipo avrebbe come bersaglio la configurazione stessa — il momento in cui una frase di recupero viene generata e mostrata per la prima volta.

Nessuna prova pubblica ha ancora stabilito che il dispositivo ispezionato da Karpelès provenisse da CryptoBilis o che la stessa modifica abbia causato lo svuotamento da 92,9 milioni di dollari. Ledger non ha nemmeno confermato un attacco alla supply chain.

La tecnica ricorda i rischi emersi all'inizio di quest'anno, quando un Ledger contraffatto contenente hardware nosto è risultato capace di prendere di mira frasi di recupero e informazioni PIN. Il caso attuale è inoltre distinto dagli svuotamenti di wallet Coldcard verificatisi all'inizio del 2026, in cui gli investigatori hanno ricondotto le perdite a una debole generazione di seed nel firmware interessato, anziché a una modifica hardware a livello di rivenditore.

L'avviso di Ledger si applica attualmente in modo specifico ai clienti che hanno acquistato dispositivi da CryptoBilis negli ultimi 90 giorni. Gli utenti che hanno già inizializzato uno di questi dispositivi necessitano di un nuovo signer e di un seed appena generato, anziché limitarsi a trasferire la frase di recupero esistente su un altro hardware wallet — una frase esposta durante la configurazione resta valida su qualsiasi dispositivo su cui venga successivamente caricata. Con il meccanismo ancora non confermato, sia il totale finale delle perdite che la via d'attacco restano suscettibili di revisione man mano che l'indagine prosegue.

Fonte: Crypto Adventure