Ledger si trova ad affrontare domande su come ha gestito le segnalazioni di wallet hardware manomessi, dopo che l'ex CEO di Mt. Gox, Mark Karpelès, ha dichiarato che la società francese è stata avvisata della presenza di dispositivi compromessi mesi prima che l'attuale crisi di sicurezza diventasse pubblica. Secondo la società di analisi crypto Santiment, circa 90 milioni di dollari sarebbero stati rubati da wallet Ledger manomessi venduti tramite CryptoBilis, un rivenditore autorizzato nel Sud-est asiatico, anche se Ledger non ha verificato il totale. Implanti LTE nascosti all'interno dei dispositivi hanno copiato le frasi di recupero di 24 parole degli utenti durante la configurazione e le hanno trasmesse tramite una eSIM.

Former Mt. Gox CEO: Ledger Received Hardware Wallet Tampering Reports Since December 2025 but Issued No Public Warning

Former Mt. Gox CEO Mark Karpelès said Ledger had received reports of hardware wallets tampered with and fitted with malicious components since at least December… pic.twitter.com/Vmv4zXChEk

— Wu Blockchain (@WuBlockchain) October 16, 2026

Karpelès ha dichiarato a Cointelegraph di essere a conoscenza di almeno due persone che hanno contattato Ledger riguardo a dispositivi manomessi a partire da dicembre 2025, e di non aver visto alcun avviso pubblico da parte della società in risposta.

Il ricercatore di sicurezza Joe Grand afferma di aver informato Ledger il 4 marzo 2026 circa un implant dannoso in un Nano X acquistato tramite Lazada Thailand ad agosto 2025. Ledger ha dichiarato di star indagando, ma Grand ha criticato la società per non aver avvisato i clienti. Ledger ha declinato di commentare come ha gestito la segnalazione di Grand e ha rimandato Cointelegraph alle proprie dichiarazioni pubbliche su X.

Come l'implant ha rubato le frasi di recupero

La crisi è diventata pubblica il 9 ottobre, quando sono state segnalate perdite di crypto coinvolgenti wallet venduti tramite CryptoBilis. Il 13 ottobre, il team di sicurezza Donjon di Ledger ha confermato che i dispositivi contenevano implant LTE nascosti.

Una frase di recupero è un elenco di 24 parole che consente di ripristinare un wallet su qualsiasi dispositivo. Secondo Ledger, l'implant si trova in una parte separata all'interno dell'invaso e legge le parole dallo schermo durante la configurazione. Trasmette quindi la frase attraverso una rete 4G utilizzando una eSIM integrata. La società afferma che l'attacco non tocca il chip Secure Element e non modifica alcuna transazione. I ladri possono invece ripristinare il wallet sul proprio dispositivo e spostare i fondi, il che significa che la frase da sola è sufficiente per prendere il controllo di un wallet, senza necessità di accedere al dispositivo originale.

La società di sicurezza Tibane ha trovato tre versioni dell'implant. Ha acquistato la terza versione da un marketplace online giapponese, e il pacco è stato spedito dalla Malaysia. Nel complesso, i dispositivi noti con implant sono emersi attraverso diversi canali — Lazada Thailand, un marketplace giapponese e le scorte al dettaglio di CryptoBilis — lasciando aperta la questione di dove nella catena di fornitura sia avvenuta la manomissione.

Perdite e ripercussioni sui rivenditori

Santiment stima che siano stati rubati circa 90 milioni di dollari, mentre l'investigatore blockchain Specter colloca le perdite sopra gli 86 milioni di dollari tra Bitcoin, Ethereum e Tron. Ledger afferma che le cifre provengono da terze parti e di non averle ancora verificate pienamente.

La società afferma che ogni caso confermato è collegato a CryptoBilis. Il rivenditore ha sospeso la vendita di wallet hardware fino alla conclusione delle indagini, e Ledger ha inoltre chiesto ai rivenditori del Sud-est asiatico e di Hong Kong di interrompere le vendite.

Trezor ha dichiarato di non aver trovato dispositivi manomessi provenienti da CryptoBilis ma di aver comunque interrotto i rapporti con il rivenditore. OneKey ha revocato l'autorizzazione di CryptoBilis, sostituirà gratuitamente i dispositivi acquistati tra il 1° marzo e il 13 ottobre e ha rimosso gli annunci del rivenditore in attesa di controlli più severi.

Grand ha inoltre avvisato Trezor ad agosto 2026 circa wallet Trezor One e Model T manomessi provenienti da venditori non autorizzati su TikTok e Facebook. Trezor ha dichiarato di trattare tali segnalazioni come avvisi preventivi.

Alcune affermazioni restano non verificate. Karpelès ha dichiarato che un Ledger Flex acquistato all'aeroporto di Singapore potrebbe contenere un implant. In Germania, MediaMarkt Saturn ha sospeso la vendita di prodotti Ledger dopo la segnalazione di un cliente, ma nessun fondo è andato perduto.

Cosa devono fare i proprietari di Ledger

Il Genuine Check di Ledger non è in grado di rilevare modifiche fisiche se il Secure Element è integro, il che significa che un esito positivo non esclude la presenza di un implant. Ledger afferma che gli utenti che hanno configurato un dispositivo CryptoBilis negli ultimi 90 giorni dovrebbero spostare i propri fondi su un nuovo dispositivo con una nuova frase di recupero.

L'ispezione della società sulle scorte al dettaglio europee non ha rilevato segni di manomissione. Ledger non ha dichiarato quanti utenti siano coinvolti né come i dispositivi siano entrati nelle scorte di CryptoBilis. Queste domande aperte, insieme all'esito dell'indagine che ha spinto CryptoBilis a sospendere le vendite, sono gli sviluppi da seguire man mano che la situazione evolve.

Nella settimana conclusasi il 16 ottobre, Bitcoin è sceso dello 0,4% ed Ethereum dell'1,8%.

Questo articolo si basa su una ricostruzione di CoinCentral.