Un hardware wallet dovrebbe fungere da cassaforte per le criptovalute, mantenendo le chiavi private che controllano tali fondi isolate dai computer connessi a Internet. Secondo Mark Karpelès, almeno un dispositivo Ledger acquistato in Malesia è arrivato con un passeggero nascosto integrato al suo interno.

Il 9 ottobre 2026, l'ex amministratore delegato di Mt. Gox ha pubblicato le foto di un dispositivo Ledger che, secondo lui, conteneva un impianto fisico nascosto nascosto nel cuscinetto dietro lo schermo. Lo stesso giorno, Ledger ha annunciato di aver aperto un'indagine sulle perdite segnalate dagli utenti e collegate a CryptoBilis, un rivenditore attivo nel Sud-est asiatico.

Cosa dice di aver trovato Karpelès

Il presunto impianto era tutt'altro che una modifica grossolana. Karpelès ha affermato che il dispositivo conteneva componenti LTE, un'antenna, una eSIM e un microcontrollore, tutti nascosti nell'area del cuscinetto tampone dietro il display. Una eSIM è un chip SIM incorporato direttamente nel dispositivo anziché una scheda rimovibile, e componenti LTE di questo tipo sono ciò che consente a un dispositivo di mantenere una connessione cellulare in autonomia, indipendentemente dal computer del proprietario o dalla rete domestica.

Il microcontrollore sarebbe stato collegato al bus SPI del Ledger — il percorso interno che i chip utilizzano per scambiarsi messaggi, compresi i dati destinati allo schermo. Secondo i risultati della ricerca, questa configurazione consentirebbe al dispositivo di monitorare l'attività del display e trasmettere informazioni sensibili, come le seed phrase, tramite reti cellulari.

Una seed phrase funziona come la chiave principale di un wallet di criptovalute. Chiunque la ottenga può spostare i fondi, e il proprietario originale non ha alcun canale di assistenza clienti per recuperarli.

Ledger ferma le vendite di CryptoBilis

La risposta di Ledger si è concentrata sul canale di vendita. L'azienda ha dichiarato di aver avviato l'indagine dopo segnalazioni di perdite consistenti tra i clienti che avevano acquistato dispositivi da CryptoBilis, un rivenditore con sede in Malesia.

Ledger ha ordinato a CryptoBilis di interrompere tutte le vendite e ha detto ai clienti che avevano acquistato tramite quel canale di non inizializzare i propri dispositivi.

La seconda istruzione è la più critica. L'inizializzazione è il momento in cui un hardware wallet genera e visualizza una nuova seed phrase. Se un dispositivo è stato compromesso, è proprio in quel momento che il segreto verrebbe esposto.

L'entità completa del danno rimane una stima. L'analista pseudonimo Specter ha quantificato le perdite in oltre 86 milioni di dollari su più wallet contenenti Bitcoin, Ethereum e TRON. Tali cifre non sono state confermate in modo indipendente.

Le informazioni disponibili non stabiliscono che il dispositivo fotograf da Karpelès sia stato venduto da CryptoBilis. Le due rivelazioni sono emerse lo stesso giorno e puntano alla stessa regione, ma per ora restano filoni separati.

Non è il primo caso quest'anno

Segnalazioni di impianti hardware all'interno di dispositivi Ledger erano già emerse nel corso del 2026, inclusi casi rilevanti in Thailandia. La manomissione effettuata tra la produzione del dispositivo e il suo arrivo all'acquirente è nota come attacco alla supply chain — una categoria di compromissione in cui l'hardware dannoso è presente prima ancora che il proprietario apra la confezione. Sembra emergere un pattern che attraversa i canali di rivendita del Sud-est asiatico.

Karpelès è un nome noto che diffonde un avvertimento insolito. Ha precedentemente guidato Mt. Gox, l'exchange con sede a Tokyo crollato nel 2014 dopo la perdita di centinaia di migliaia di bitcoin, teatro di uno dei collassi più celebri nella storia delle criptovalute.

Cosa significa per gli acquirenti di hardware wallet

In base ai risultati disponibili, il problema sembra riguardare il rivenditore e non un difetto del prodotto principale di Ledger. La distinzione è significativa, anche se può offrire scarso conforto a chi ha affidato i propri risparmi a un dispositivo manomesso.

L'attacco descritto qui aggira la sicurezza per cui gli hardware wallet sono progettati. Un chip sicuro può svolgere perfettamente la sua funzione e comunque essere sconfitto se un altro componente legge lo schermo con cui comunica.

Gli utenti sono invitati ad acquistare direttamente dai canali ufficiali di Ledger e a seguire le indicazioni di ispezione dell'azienda per verificare l'integrità del dispositivo. Chiunque abbia acquistato da CryptoBilis dovrebbe astenersi dal configurare il dispositivo, in linea con le istruzioni di Ledger.

Per Ledger, gli sviluppi chiave da monitorare sono l'esito dell'indagine e se confermerà o revisionerà le stime delle perdite. Anche il modo in cui l'azienda gestirà i clienti coinvolti di CryptoBilis contribuirà a determinare quanta fiducia degli utenti sopravviverà all'episodio.