Ledger ha dichiarato che il suo team di ricerca sulla sicurezza Donjon ha scoperto un impianto hardware non autorizzato nascosto all'interno di hardware wallet venduti da CryptoBilis, un rivenditore attivo nel Sud-est asiatico. Il componente occulto legge la frase di recupero di 24 parole del dispositivo dallo schermo durante la configurazione del wallet e trasmette le parole tramite una connessione cellulare usando una eSIM predisposta.

Il produttore di hardware wallet con sede a Parigi ha annunciato il ritrovamento in un post su X martedì. Ledger Donjon, il team interno di ricerca sulla sicurezza dell'azienda, ha confermato l'impianto sabato 10 ottobre nel dispositivo di un utente colpito. Tutte le perdite confermate dall'incidente, divulgato per la prima volta da Ledger venerdì, riguardano dispositivi venduti tramite CryptoBilis, e l'azienda ha dichiarato di non aver verificato alcun drenaggio collegato a un dispositivo acquistato altrove.

Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…

— (@Ledger) October 13, 2026

Gli hardware wallet sono un pilastro dell'auto-custodia, concepiti per mantenere le chiavi private dell'utente offline. Un dispositivo Ledger, che l'azienda chiama signer, mostra la sua frase di recupero di 24 parole sullo schermo durante la configurazione iniziale. Chiunque entri in possesso di quella frase può ripristinare il wallet su un altro dispositivo e assumere il pieno controllo dei suoi fondi. La schermata di configurazione è quindi l'unic punto in cui la frase è visibile all'esterno del dispositivo, ed è per questo che un impianto che legge il display può aggirare le protezioni di un wallet senza modificarle.

Secondo l'analisi di Ledger Donjon, il team di sicurezza dell'azienda, l'impianto si trova all'interno della scocca del dispositivo e legge ciò che appare sullo schermo. Quando rileva le schermate della frase di recupero, il suo microcontrollore decodifica le parole e le trasmette via LTE usando la eSIM predisposta.

Ledger ha dichiarato che l'impianto è un componente separato, aggiungendo che non modifica il Secure Element del dispositivo né il sistema operativo Ledger, e che non altera transazioni o firme. CryptoBilis ha confermato di aver sospeso la vendita di dispositivi Ledger mentre l'indagine è in corso, secondo Ledger. Il caso mette inoltre in luce il livello dei rivenditori terzi nella catena di fornitura hardware, dove i dispositivi escono dal controllo diretto del produttore prima di raggiungere gli acquirenti.

L'azienda non ha confermato il numero totale di utenti colpiti né il valore delle perdite, e ha dichiarato che le cifre che circolano online provengono da terzi non pienamente verificati. L'investigator onchain Specter ha tracciato oltre 86 milioni di dollari di furti sospetti su Ethereum, Tron e Bitcoin, come riportato da Decrypt venerdì.

Ledger esamina segnalazioni al di là di CryptoBilis

Ledger ha dichiarato di stare inoltre esaminando segnalazioni di impianti in altri signer e altre località. Un utente di X ha sostenuto di aver trovato due dispositivi Ledger manomessi acquistati in negozi al dettaglio in Europa, un'affermazione non verificata in modo indipendente.

L'azienda ha detto agli acquirenti di dispositivi CryptoBilis che non li hanno ancora configurati di non farlo e di contattare il supporto Ledger. Chi li ha già configurati dovrebbe trasferire tempestivamente i propri asset su un nuovo dispositivo con una nuova frase di recupero, e non dovrebbe inserire o ripristinare alcuna frase di recupero su un dispositivo acquistato da CryptoBilis.

Gli utenti che hanno perso fondi o possiedono un dispositivo manomesso dovrebbero anche presentare un rapporto alle forze dell'ordine locali, ha detto Ledger, e non dovrebbero inviare il dispositivo a nessuno né aprirlo prima di parlare con il supporto Ledger o con la polizia.

Gli acquirenti che non hanno acquistato da CryptoBilis possono ispezionare l'interno del proprio dispositivo usando una guida di Ledger, sebbene l'azienda abbia avvertito che aprire un signer può danneggiarlo e ha esortato gli utenti a fare prima un backup della frase di recupero.

Ledger ha ribadito che non chiamerà mai gli utenti, non gli invierà messaggi diretti e non chiederà mai la loro frase di recupero. Il Donjon analizzerà i dispositivi che riceverà e condividerà ulteriori informazioni proseguendo l'indagine, ha detto l'azienda.