Il fondatore e CEO di OneKey, Yishi Wang, ha annunciato che la "rete di rivenditori" del produttore di hardware wallet "si ridurrà in modo significativo" dopo una revisione completa dei rivenditori precedentemente certificati, e che quelli con "entità operative non verificabili o beneficiari finali poco chiari" vedranno revocata l'autorizzazione e saranno rimossi dal sito ufficiale. Wang ha inoltre confermato che OneKey ha revocato l'autorizzazione di CryptoBilis come rivenditore dei suoi dispositivi.

L'annuncio segue le segnalazioni secondo cui uno dei wallet Ledger venduti dal reseller del Sud-Est asiatico CryptoBilis conteneva un impianto hardware non autorizzato, mentre prosegue l'indagine su un furto di criptovalute con perdite ora stimate tra 86 e 93 milioni di dollari. L'episodio mette in luce il livello dei rivenditori nel settore degli hardware wallet, in cui i dispositivi passano attraverso intermediari tra il produttore e l'utente finale.

Cosa ha detto Ledger sull'hack del wallet CryptoBilis?

Un aggiornamento del 10 ottobre condiviso sulla pagina di supporto di Ledger ha confermato che, in attesa della conclusione dell'indagine, CryptoBilis non venderà prodotti del produttore di hardware wallet. La dichiarazione è arrivata dopo che Ledger, in una dichiarazione pubblica su X, aveva affermato che almeno "uno dei dispositivi degli utenti coinvolti conteneva un impianto hardware non autorizzato".

Ledger ha sottolineato che i suoi sistemi e i canali di vendita diretti non sono stati toccati, precisando che tutti i dispositivi esposti risalgono a CryptoBilis. La distinzione tra unità provenienti da rivenditori e dispositivi spediti direttamente dal produttore è alla base delle indicazioni ai clienti che sono seguite.

Ledger consiglia a chiunque abbia acquistato wallet dal reseller del Sud-Est asiatico di non inizializzare i dispositivi non ancora configurati. Ai clienti che hanno già configurato dispositivi acquistati da CryptoBilis si consiglia di trasferire i fondi su wallet emessi direttamente da Ledger anziché tramite rivenditori.

Finora, gli analisti di sicurezza stimano che circa 300 wallet Ledger siano stati svuotati di circa 86-93 milioni di dollari.

Perché gli acquirenti OneKey e SafePal sono preoccupati

Mentre i wallet Ledger sono gli unici con furti segnalati finora, l'allarme di sicurezza si è esteso ai clienti di altri produttori di wallet. CryptoBilis si dichiara rivenditore autorizzato di Ledger, Trezor, OneKey, Tangem, SafePal, imKey e altri wallet in Malaysia, e opera anche in Indonesia e nelle Filippine.

In un post su X, Yishi Wang è intervenuto per calmare il panico, scrivendo: "Abbiamo terminato l'autorizzazione di CryptoBilis; non è più un rivenditore autorizzato OneKey".

Wang ha inoltre dettagliato la risposta in tre fasi di OneKey per mitigare l'esposizione ora e prevenire un'ulteriore escalation.

Fase: OneKey ha smesso di aggiungere nuovi rivenditori, con effetto dalla dichiarazione del 12 ottobre.

Fase due: tutti i rivenditori esistenti, inclusi quelli precedentemente certificati, saranno sottoposti a un nuovo processo di revisione. I rivenditori con "entità operative non verificabili o beneficiari finali poco chiari" perderanno l'autorizzazione, e OneKey pubblicherà l'elenco completo dei rivenditori autorizzati sul suo sito ufficiale.

Fase tre: gli utenti che hanno acquistato dispositivi OneKey da CryptoBilis tra il 1 marzo e il 12 ottobre 2026 hanno diritto a una sostituzione gratuita. Anche gli utenti che hanno già attivato o utilizzato i loro dispositivi possono comunque riceverne una.

Secondo Wang, OneKey ha scelto la data limite del 1 marzo perché il cofondatore originale di CryptoBilis ha dichiarato pubblicamente che l'azienda ha completato il passaggio di consegne della gestione operativa a marzo, dopo l'acquisizione avvenuta all'inizio di quest'anno. Una volta che l'elenco completo dei rivenditori sarà disponibile sul sito ufficiale, servirà da riferimento per gli acquirenti per verificare se un venditore è attualmente autorizzato.

L'unico difetto hardware di OneKey precedentemente riportato risale al 2023, quando la società di sicurezza Unciphered ha estratto il seed di un dispositivo in un attacco di laboratorio. OneKey ha corretto la vulnerabilità, pagato un bounty e dichiarato che nessun utente è stato colpito.

Chi possiede ora CryptoBilis?

Nuove registrazioni societarie indicano un cambio di controllo presso il reseller malese prima del sospetto attacco alla supply chain. Gli ex cofondatori di CryptoBilis hanno dichiarato su LinkedIn di aver ceduto l'azienda a nuovi proprietari a marzo, con rapporti secondo cui la proprietà è passata a un individuo identificato come Jiaming, cittadino cinese.

Non ci sono conferme che colleghino la nuova proprietà all'incidente di sicurezza.

Finora nel 2026, sei marchi di hardware wallet hanno reso noti problemi di sicurezza. Galaxy Research ha quantificato perdite superiori a 115 milioni di dollari nel caso Coldcard, e la divulgazione di Ledger di inizio ottobre segna il secondo incidente in cui sono stati persi fondi. Cryptopolitan ha anche riportato la violazione di BasedApp che la scorsa settimana ha esposto i record KYC dei clienti.