La società di analisi blockchain Chainalysis ha rivelato che una delle maggiori vittime del recente svuotamento di hardware wallet Ledger manomessi è stata una truffatrice che ha perso più di 60 BTC, per un valore di circa 4,8 milioni di dollari.

La rivelazione ha suscitato una certa schadenfreude tra gli osservatori, dopo che è emerso che i fondi rubati nell'incidente includevano i proventi di un'operazione fraudolenta gestita dalla vittima stessa.

Chainalysis ha illustrato le transazioni dietro il furto, che ha visto sottratti Bitcoin per circa 4,8 milioni di dollari, in un post su X giovedì. Secondo la società, il Bitcoin rubato proveniva da una truffa a compiti (task scam). In questo tipo di schema, le persone vengono pagate per simulare vendite e recensioni di articoli reali. A un certo punto, appare un "saldo negativo" nel conto del partecipante, che viene invitato ad aggiungere denaro proprio per poter ricevere il pagamento.

One of the biggest victims of the Ledger theft was a scammer themselves. They lost more than 60BTC, about $4.8M. The funds were from a task scam. In this task scam, people were paid to fake sales and reviews of real items. Then a "negative balance" appeared, and they were told… pic.twitter.com/pGXNJkZJUi

— Chainalysis (@chainalysis) October 15, 2026

Di fatto, il responsabile della truffa a compiti è finito sul lato perdente di un furto più grande. Il 22 settembre ha spostato i proventi in tre indirizzi Ledger distinti. Meno di tre settimane dopo, il 9 ottobre, i ladri hanno svuotato tutti e tre, inviando un trasferimento da ciascuno verso lo stesso wallet di destinazione, segnalato come contenente fondi rubati.

Un grafico condiviso da Chainalysis mostra i proventi della truffa passare attraverso un wallet di consolidamento prima di raggiungere i tre indirizzi Ledger, ciascuno dei quali è stato svuotato di circa 1,64 milioni di dollari.

Ledger ha divulgato l'incidente il 9 ottobre, lo stesso giorno in cui gli indirizzi sono stati svuotati.

I dispositivi Ledger manomessi

Il team di sicurezza Donjon di Ledger ha reso noto di aver trovato un implant nei wallet venduti tramite il rivenditore del Sud-est asiatico CryptoBilis. Secondo il team di sicurezza, l'implant legge la frase di recupero di 24 parole dallo schermo del dispositivo durante la configurazione e la trasmette via LTE. Ciò colpisce il presupposto fondamentale di un hardware wallet, progettato per mantenere la frase di recupero offline; una volta catturata, la frase da sola è sufficiente a ricreare il wallet altrove e spostare i fondi che protegge, indipendentemente da chi vi abbia depositato il denaro.

Ledger ha dichiarato che tutte le perdite confermate riguardano dispositivi venduti tramite CryptoBilis. Questo schema colloca la compromissione nel canale dei rivenditori anziché nelle vendite dirette di Ledger, evidenziando come la manomissione possa entrare nella catena di distribuzione dopo che i dispositivi lasciano il produttore e prima che arrivino agli acquirenti.

Chainalysis non ha indicato dove iluffatore ha acquistato i dispositivi manomessi.

L'investitore onchain Specter ha rintracciato più di 86 milioni di dollari in furti sospetti legati alla campagna dei dispositivi manomessi, anche se Ledger dichiara di non aver verificato tale cifra. Martedì, Ledger ha chiesto ai rivenditori e distributori di sei paesi del Sud-est asiatico e di Hong Kong di sospendere la vendita dei suoi dispositivi.

Ledger non ha confermato il numero totale di utenti coinvolti né il valore complessivo perso, e la sua indagine è ancora in corso — lasciando l'intera portata della campagna, e il divario tra stime di terze parti e perdite confermate, come questioni ancora aperte.