La promessa fondamentale di un hardware wallet è che le chiavi private dell'utente non toccano mai alcun sistema al di fuori del loro controllo. Il 10 ottobre 2026, Ledger ha confermato che, per alcuni acquirenti di un rivenditore del Sud-est asiatico, quella promessa era stata tradita prima ancora di aprire la confezione.

Ledger ha dichiarato che almeno uno dei suoi dispositivi venduti dal rivenditore CryptoBilis conteneva un implant hardware non autorizzato che garantiva agli attaccanti l'accesso alle frasi di recupero degli utenti. Una frase di recupero è la chiave master dalla quale derivano le chiavi private di un wallet, quindi chiunque la ottenga può ricostruire i wallet e spostare i fondi senza mai aver bisogno del dispositivo fisico. Le stime indicano danni tra 72 e 93,2 milioni di dollari, drainati da 311 a 315 wallet su più blockchain.

Cosa ha scoperto Ledger

I dispositivi interessati sono stati acquistati da CryptoBilis negli ultimi tre mesi. Secondo i risultati della ricerca, si tratta del primo caso confermato di implant fisico in un dispositivo Ledger collegato a un rivenditore.

La maggior parte delle perdite si è concentrata su un singolo asset. Circa 70 milioni di dollari dei fondi rubati erano in USDT sulla blockchain Tron. Il resto era distribuito su altre reti: perdite sono state segnalate anche su Bitcoin, Ethereum, BNB Chain, Polygon e Solana, il che suggerisce che gli attaccanti hanno semplicemente raccolto tutto ciò che le seed phrase compromesse permettevano di sbloccare.

Ledger ha sottolineato che i propri sistemi e i canali di vendita diretti non sono stati coinvolti. L'azienda ha anche colto l'occasione per ricordare ai rivenditori che i prodotti restituiti non dovrebbero mai essere reintrodotti in magazzino.

La risposta finora

Le indicazioni di Ledger agli acquirenti di CryptoBilis sono dirette. I clienti non dovrebbero inizializzare i dispositivi non ancora utilizzati e non dovrebbero spostare asset senza prima generare una nuova seed phrase.

CryptoBilis ha cessato le attività in attesa di un'indagine. Il rivitore potrebbe anche aver cambiato proprietà, un dettaglio che probabilmente sarà molto importante mentre gli inquirenti cercano di stabilire quando e come le unità manomesse sono entrate nel suo magazzino.

Tether, nel frattempo, ha congelato circa 10 milioni di dollari legati all'incidente. Dato che la maggior parte delle perdite era in USDT, la capacità dell'emittente di mettere in blacklist gli indirizzi a livello di token—rendendo il saldo congelato non trasferibile—ha offerto alle vittime almeno una protezione parziale. Tale protezione ha limiti. Rispetto a perdite stimate in decine di milioni, la somma congelata copre solo una frazione, e gli asset drainati su catene come Bitcoin non prevedono un soggetto centrale in grado di fermare tutto.

Perché la supply chain è il punto debole

CryptoBilis operava come rivenditore autorizzato di dispositivi sigillati e autentici in Indonesia, Malaysia e Filippine. Ogni coppia di mani aggiuntiva in una catena di distribuzione è un altro punto in cui una confezione può essere aperta, modificata e risigillata. Il caso CryptoBilis trasforma quel rischio teorico in uno confermato, e segna il limite di ciò che la sicurezza on-device può promettere: le protezioni crittografiche all'interno di un wallet non possono aiutare se l'hardware stesso viene alterato prima di raggiungere l'acquirente.

Cosa significa per acquirenti e settore

Per chiunque possieda un dispositivo acquistato tramite un rivenditore, il consiglio pratico è verificarne la provenienza. Gli acquirenti di dispositivi CryptoBilis in particolare dovrebbero seguire le istruzioni di Ledger e considerare esposte le seed phrase esistenti.

La posizione di Ledger è che i suoi prodotti e servizi principali restano non compromessi, e i finora noti supportano una distinzione tra i suoi canali diretti e un singolo distributore puppet.

Gli elementi chiave da monitorare includono l'esito dell'indagine su CryptoBilis, eventuali chiarimenti sul possibile cambio di proprietà e se il numero di wallet confermati o le stime delle perdite dovessero aumentare ulteriormente. Ulteriori congelamenti da parte di Tether, o il tracciamento dei fondi su altre catene, determineranno inoltre quanto riusciranno a recuperare le vittime.