Ledger sta collaborando con le autorità dopo che la settimana scorsa gli utenti dei suoi hardware wallet hanno segnalato la perdita di fondi e un cliente ha ricevuto un dispositivo manomesso, sebbene il produttore con sede a Parigi abbia rassicurato i clienti sul fatto che il numero di prodotti coinvolti era "limitato".

In un annuncio pubblicato domenica, la società ha dichiarato di aver contattato direttamente i clienti interessati.

L'indagine è iniziata dopo che Ledger ha annunciato venerdì di aver avviato un'analisi delle segnalazioni provenienti da clienti del Sud-est asiatico che avevano perso fondi dopo aver acquistato dispositivi da un rivenditore. Sabato, la società ha dichiarato di aver confermato che uno dei dispositivi degli utenti coinvolti conteneva un implant hardware non autorizzato.

Gli hardware wallet sono progettati per mantenere le chiavi private degli utenti offline, firmando le transazioni senza esporre le credenziali che controllano i loro fondi. Questo modello di sicurezza dipende dal fatto che il dispositivo arrivi intatto, quindi un implant non autorizzato incorporato nell'hardware non rientra nelle minacce che è progettato a contrastare.

Ledger non ha confermato l'entità delle perdite, ma l'investigatore blockchain Specter ha dichiarato che 86 milioni di dollari erano stati drainati dai dispositivi.

"Mentre l'indagine prosegue, stiamo collaborando con le autorità competenti", ha scritto Ledger domenica in un annuncio su X. Il suo account Ledger Support ha condiviso ulteriori aggiornamenti, incluso un post successivo sulla piattaforma.

Ha inoltre aggiunto: "Raccomandiamo vivamente agli utenti di non acquistare da rivenditori non autorizzati, dove il rischio di acquistare dispositivi sospetti, contraffatti o modificati è significativo, poiché nulla opera secondo le linee guida di sicurezza di Ledger.

"La sicurezza non è statica e questo incidente sottolinea perché rivediamo e rafforziamo continuamente i nostri processi di distribuzione e anti-manomissione."

I clienti del Sud-est asiatico hanno segnalato la scorsa settimana la perdita di fondi dopo aver acquistato dispositivi da CryptoBilis, un venditore con sede a Kuala Lumpur, in Malaysia. Ledger ha consigliato ai clienti che avevano acquistato da CryptoBilis di non configurare i loro dispositivi, come aveva previamente riferito Bitcoin Magazine. Secondo l'annuncio di domenica, CryptoBilis ha successivamente smesso di vendere hardware wallet.

Questa distinzione è importante perché il phishing si basa sull'ingannare gli utenti per farsi consegnare le credenziali online, mentre un implant si trova all'interno dell'hardware dal momento in cui il dispositivo viene disimballato, prima ancora che inizi la configurazione.

Gli utenti sui social media hanno pubblicato proveiche di implant installati all'interno di prodotti Ledger, affermando che le modifiche potrebbero esporre le chiavi private degli utenti. Resta poco chiaro quanti dei dispositivi di firma di Ledger contenessero l'implant.

Né Ledger né CryptoBilis hanno risposto immediatamente alle domande di Bitcoin Magazine. Con l'indagine ancora in corso, sarà da seguire ciò che le autorità scopriranno e se verranno confermati un conteggio definitivo dei dispositivi e un totale verificato delle perdite.

La sicurezza degli hardware wallet è sotto intensa attenzione da quando gli hacker hanno rubato quasi 120 milioni di dollari in bitcoin dagli utenti di Coldcard a luglio, come riportato all'epoca da Bitcoin Magazine. I dispositivi, prodotti dalla società canadese Coinkite, contenevano un bug del firmware che portava a una generazione difettosa dei seed, consentendo di fatto agli hacker di indovinare le seed phrase degli investitori.

In un incidente separato lo scorso mese, il produttore di hardware wallet Trezor ha riferito che quasi 81.000 clienti avevano avuto i propri dati esposti dopo il furto di informazioni dal suo partner logistico terzo, come trattato da Bitcoin Magazine.

I criminali hanno preso di mira i dati dei clienti per tutto l'anno, con truffatori che hanno ottenuto informazioni tramite Global-e, il processore di pagamenti utilizzato da Ledger, per inviare email di phishing. Prendendo insieme gli episodi, emerge che la superficie d'attacco si estende lungo l'intero percorso di un dispositivo: firmware, logistica, elaborazione dei pagamenti e canali di rivendita.

Questo articolo è stato scritto da Mathew Di Salvo ed è apparso per la prima volta su Bitcoin Magazine.