Ledger ha pubblicato indicazioni di sicurezza per i clienti dopo segnalazioni di fondi perduti, con la parte centrale dell'avviso rivolta agli acquirenti degli ultimi 90 giorni. L'azienda afferma che un dispositivo mai configurato deve rimanere non inizializzato, mentre gli utenti che hanno già creato un wallet potrebbero dover spostare i propri asset verso un nuovo signer utilizzando una frase di recupero appena generata.

Punti chiave

• Ledger sta indagando sulle perdite segnalate e non ne ha divulgato la causa.
• Gli acquirenti recenti che non hanno ancora configurato il dispositivo dovrebbero evitare di avviare il processo.
• Una migrazione richiede un nuovo signer, una nuova frase di recupero e nuovi indirizzi di ricezione.
• Ledger non ha confermato le ricostruzioni dei media su una perdita totale di 86 milioni di dollari.

L'avviso dei 90 giorni dipende da una domanda: il wallet è stato creato?

La distinzione tra un dispositivo non aperto e un wallet attivo è alla base dell'avviso in due parti di Ledger. Un acquirente che non ha avviato la configurazione non ha generato una frase di recupero attraverso quel dispositivo, e Ledger afferma che tale dispositivo non deve essere inizializzato. Il messaggio dell'azienda agli utenti che hanno già configurato un dispositivo è più articolato, perché il loro wallet potrebbe già controllare degli asset. Ecco perché la domanda sulla configurazione è decisiva: il controllo di un wallet segue la frase di recupero e non l'hardware in sé, e chiunque possieda quella frase può ricreare il wallet su un altro dispositivo.

Per questi utenti, Ledger ha consigliato di valutare lo spostamento dei fondi verso un nuovo signer Ledger con un nuovo seed. L'azienda non ha descritto pubblicamente il motivo di questa precauzione, ma la sua formulazione indica che la semplice sostituzione del dispositivo fisico non risolverebbe il problema.

Dispositivo non configurato — non inizializzarlo. Ledger consiglia agli acquirenti degli ultimi 90 giorni di lasciare il dispositivo inutilizzato se la configurazione non è stata avviata.

Wallet già creato — usare un nuovo signer e un nuovo seed. Spostare gli asset esclusivamente verso indirizzi creati da una frase di recupero appena generata.

Conservare le prove d'acquisto — salvare le evidenze. Conservare ricevute, conferme d'ordine e dettagli del dispositivo mentre l'indagine è in corso.

Un dispositivo sostitutivo può comunque ripristinare il vecchio wallet

Un hardware wallet non conserva le criptoattività nel modo in cui una chiavetta USB conserva i file. Gli asset rimangono sulle rispettive blockchain, mentre il signer custodisce le chiavi private utilizzate per autorizzare le transazioni.

La frase di recupero di 24 parole può ricreare quelle chiavi su un altro dispositivo compatibile. Inserire la frase esistente in un Ledger sostitutivo ripristina quindi lo stesso wallet, con gli stessi indirzi e la stessa cronologia di sicurezza.

Gli utenti che scelgono di spostare i fondi dovrebbero prima creare una nuova frase di recupero sul nuovo signer, poi trasferire gli asset agli indirizzi di ricezione generati da quella frase. Ledger descrive questo approccio come "move, don't merge" (sposta, non unire). Le frasi di recupero non devono mai essere inserite in un computer, telefono, sito web, chat di supporto o modulo online.

Cosa può verificare il Genuine Check di Ledger

Il Genuine Check di Ledger verifica l'identità crittografica del Secure Element del dispositivo, il chip a prova di manomissione in cui un Ledger isola le proprie chiavi private dal software circostante. Rimane un importante controllo di autenticità quando un utente configura un Ledger proveniente da una fonte autorizzata.

L'azienda precisa inoltre che il controllo non può stabilire la storia completa della movimentazione di un dispositivo né rilevare ogni modifica fisica intorno a un Secure Element autentico. Questa limitazione aiuta a spiegare perché un prodotto può superare un importante test di autenticità mentre l'azienda indaga ancora su un possibile problema nell'ambito del più ampio processo di vendita. Ledger ha pubblicato le migliori pratiche per l'acquisto del suo signer nella sua pagina ufficiale dell'academy.

La stima degli 86 milioni di dollari resta fuori dalla dichiarazione di Ledger

Alcuni media del settore cripto, tra cui Crypto Briefing, hanno riportato affermazioni secondo cui le perdite legate all'incidente potrebbero superare gli 86 milioni di dollari. Ledger non ha confermato tale cifra, non ha identificato gli indirizzi dei wallet interessati né spiegato il meccanismo alla base dei furti segnalati.

Senza questi dettagli, le stime esterne non possono stabilire quanta parte dell'attività on-chain segnalata appartiene all'indagine annunciata da Ledger.

Confermato da Ledger:

• Sta indagando sulle segnalazioni di fondi perduti.
• Ha chiesto al rivenditore indicato di sospendere vendite e spedizioni.
• Ha emesso indicazioni di sicurezza per gli acquirenti degli ultimi 90 giorni.

Ancora non confermato:

• Il totale segnalato di 86 milioni di dollari.
• Il numero di acquirenti coinvolti.
• La causa delle perdite segnalate.
• Un eventuale difetto del dispositivo, del firmware o del rivenditore.

Il prossimo aggiornamento di Ledger dovrà rispondere a tre domande

L'indagine di Ledger dovrà stabilire se le segnalazioni condividono uno schema tecnico, come gli acquirenti possono identificare gli acquisti coinvolti e se i clienti che hanno già creato un wallet debbano adottare misure oltre alle attuali indicazioni dell'azienda.

I lettori che attendono variazioni a queste indicazioni possono consultare le pagine ufficiali di supporto e dell'academy di Ledger, le stesse fonti che riportano le istruzioni attuali dell'azienda. Fino a quando non arrivano queste risposte, l'avviso dell'azienda fornisce agli acquirenti recenti un confine di sicurezza pratico: lasciare non inizializzato un dispositivo non aperto, non condividere mai una frase di recupero e usare un nuovo seed quando si spostano gli asset verso un altro signer.

Questo articolo ha finalità puramente informative e non costituisce consulenza in materia di sicurezza, legale o di investimento. Gli utenti che temono che il proprio dispositivo o la propria frase di recupero possa essere compromessa devono seguire le indicazioni ufficiali di supporto di Ledger.