Il rivenditore tedesco di elettronica MediaMarktSaturn ha ritirato i wallet hardware Ledger dai propri negozi e dalle piattaforme online, mentre il produttore indaga su segnalazioni relative a componenti non autorizzati trovati all'interno di alcuni dispositivi. Il rivenditore ha dichiarato di aver contattato Ledger e di affrontare la questione con la massima serietà.

La decisione è seguita alle affermazioni di un cliente secondo cui due wallet acquistati in distinti punti vendita MediaMarkt contenevano cavi aggiuntivi e moduli cellulari. Queste segnalazioni hanno ampliato un'indagine di sicurezza iniziata con le perdite di criptovalute legate ai wallet hardware venduti da CryptoBilis, un rivenditore del Sud-est asiatico. La sospensione ha un peso che va oltre la Germania: MediaMarktSaturn, che gestisce i marchi MediaMarkt e Saturn, è uno dei maggiori rivenditori di elettronica di consumo in Europa.

Ledger ha confermato il 10 ottobre che almeno un dispositivo collegato all'incidente conteneva un implant hardware non autorizzato, secondo CoinDesk. L'azienda ha successivamente dichiarato che tutti i casi confermati riguardavano dispositivi distribuiti tramite CryptoBilis, sebbene allo scorso 13 ottobre stesse ancora indagando su ulteriori segnalazioni.

La preoccupazione si concentra sulla fase di configurazione iniziale, durante la quale un wallet hardware mostra all'utente la frase di recupero segreta. I wallet hardware mantengono offline le chiavi private che controllano le criptovalute, e la frase di recupero è la copia di backup che ripristina l'accesso a tali chiavi. Un componente dannoso potrebbe catturare quella frase e trasmetterla tramite una rete cellulare, permettendo potenzialmente agli aggressori di accedere alle criptovalute della vittima. Tuttavia, Ledger non ha confermato pubblicamente che i dispositivi segnalati in Germania siano stati compromessi, né li ha collegati all'indagine sul Sud-est asiatico.

L'indagine di sicurezza si allarga

Gli analisti on-chain stimano che gli aggressori abbiano sottratto tra 86 e 93 milioni di dollari da più di 300 wallet su diverse blockchain. Ledger non ha confermato una cifra finale delle perdite e sostiene che i propri sistemi interni e i canali di vendita diretti restino non interessati.

Ledger sta collaborando con le autorità e rivedendo i propri controlli sui rivenditori e le protezioni hardware. L'azienda ha inoltre sottolineato l'importanza di acquistare i dispositivi tramite canali di distribuzione autorizzati e di impedire che i prodotti resi rientrino nell'inventario. Questazione evidenzia perché l'integrità del canale è importante: le garanzie di Ledger coprono le vendite dirette, mentre i dispositivi che passano attraverso i rivenditori dipendono dai controlli che l'azienda dichiara di stare rivedendo.

Ledger ha consigliato ai clienti che hanno acquistato dispositivi tramite CryptoBilis di non inizializzare i wallet inutilizzati. Chi ha già attivato dispositivi potenzialmente interessati dovrebbe trasferire i propri fondi su una nuova frase di recupero generata su un dispositivo ottenuto direttamente da Ledger. L'azienda ha inoltre avvertito gli utenti di non condividere mai la propria frase di recupero di 24 parole con chiunque affermi di fornire assistenza clienti.

Domande sulla catena di fornitura

La decisione di MediaMarktSaturn è una risposta precauzionale, non una prova che dispositivi compromessi siano circolati su larga scala in Europa. Gli investigatori devono ancora stabilire l'origine dei componenti segnalati dai clienti, determinare se altri dispositivi siano stati interessati e chiarire come si siano verificate eventuali modifiche non autorizzate.

Questa distinzione è importante per gli investitori in criptovalute che si affidano ai wallet hardware per proteggere i propri asset digitali. Sebbene Ledger affermi che i propri sistemi interni rimangano sicuri, l'indagine evidenzia una vulnerabilità separata: persino i dispositivi orientati alla sicurezza possono correre rischi quando gli aggressori interferiscono con la catena di fornitura fisica. Lo scenario tocca un presupposto fondamentale della sicurezza dei wallet hardware: che un dispositivo che arriva nelle mani del cliente contenga solo i componenti del produttore. La sospensione delle vendite in Germania aggiunge pressione sul produttore e sul rivenditore affinché stabiliscano se gli incidenti segnalati rappresentino casi isolati o un problema di distribuzione più ampio. Con la revisione delle ulteriori segnalazioni da parte di Ledger ancora in corso allo scorso 13 ottobre, le domande da seguire sono se le affermazioni del cliente tedesco siano collegate ai casi confermati di CryptoBilis e cosa determineranno gli investigatori sull'origine dei componenti segnalati.