Le autorità di Singapore hanno identificato componenti hardware maligni all'interno di wallet di criptovalute Ledger acquistati tramite i canali retail nella città-stato, secondo un advisory emesso mercoledì dalla Singapore Police Force (SPF). Almeno due casi sono stati segnalati dal 10 settembre, con perdite combinate di circa 3,5 milioni di dollari di Singapore, ovvero circa 2,7 milioni di dollari.

Questa scoperta colpisce il presupposto fondamentale dei wallet hardware, costruiti per mantenere offline le chiavi private che controllano le holdings di criptovalute, con la frase di recupero — la sequenza di parole che permette di ripristinare un wallet su un nuovo dispositivo — che funge da backup principale per tali chiavi. Le indagini preliminari hanno accertato che alcuni dei componenti potevano essere usati per catturare le frasi di recupero o le chiavi private, consentendo a persone non autorizzate di aprire i wallet e spostare asset senza la conoscenza o il consenso dei proprietari. L'advisory non ha indicato alcun negozio specifico.

La polizia ha dichiarato di essere in contatto con Ledger, che sta esaminando i casi coinvolti, mentre le indagini della forza di polizia proseguono.

La SPF invita alla cautela con le frasi di recupero

Nell'advisory, la SPF ha avvisato gli utenti di non inserire frasi di recupero né effettuare transazioni su dispositivi che sospettano possano essere compromessi. La forza di polizia ha inoltre sconsigliato di consegnare chiavi o seed phrase a chiunque, incluse persone che si spacciano per fornitori di wallet, exchange o agenti di polizia.

Le segnalazioni di Singapore precedono di circa un mese l'allerta del 9 ottobre

La prima segnalazione a Singapore è stata presentata circa un mese prima che l'incidente più ampio diventasse pubblico il 9 ottobre, quando Ledger ha chiesto a CryptoBilis, un rivenditore autorizzato operante in Indonesia, Malesia e Filippine, di interrompere vendite e spedizioni.

All'epoca, Cryptopolitan aveva riferito che oltre 86 milioni di dollari in Bitcoin, Ethereum e Tron erano stati presunti rubati dai wallet venduti dal negozio. Ledger non ha confermato tale cifra.

Il 10 ottobre, Ledger ha dichiarato su X di aver scoperto un implant hardware non autorizzato sul dispositivo di un cliente. Il chip, nascosto all'interno del case di un Nano X, leggeva la frase di recupero di 24 parole dallo schermo durante la configurazione e la trasmetteva tramite una SIM integrata via LTE.

Il team di sicurezza Donjon di Ledger ha affermato che il chip non comprometteva il Secure Element, il sistema operativo né il processo di firma, motivo per cui non ha mai attivato il test di autenticità "Genuine Check" dell'azienda.

Nei giorni successivi, sono emerse due segnalazioni legate a Singapore. Mark Karpelès, ex amministratore delegato di Mt. Gox, ha dichiarato di aver acquistato un Ledger Flex in un aeroporto di Singapore che conteneva un implant spia. Un altro proprietario ha riferito che un dispositivo acquistato dal rivenditore IT locale Challenger era stato manomesso, e Ledger ha successivamente inviato un sostituto.

Il 13 ottobre, Ledger ha chiesto ai rivenditori di Indonesia, Singapore, Thailandia, Filippine, Vietnam, Malesia e Hong Kong di sospendere la vendita dei suoi prodotti.

In un post del 28 ottobre, l'azienda ha dichiarato che tutte le perdite confermate riguardavano dispositivi venduti tramite un numero limitato di rivenditori. Non ha confermato alcun drain collegato a un dispositivo acquistato al di fuori del Sud-est asiatico e non rileva indicazioni che la sua infrastruttura, i suoi sistemi o il canale di vendita diretto siano stati compromessi.

"Le cifre che circolano online provengono da terzi e Ledger non le ha pienamente verificate", ha dichiarato l'azienda il 22 ottobre.

La risposta a lungo termine di Ledger: Atom

La soluzione più durevole di Ledger è Atom, un dispositivo da 849 dollari presentato dall'azienda all'evento Op3n di Parigi il 15 ottobre. Atom non sarà spedito prima almeno dell'estate 2027, e le sue protezioni anti-manomissione non saranno applicate retroattivamente alle unità Nano, Flex e Stax già in circolazione. Finché le indagini della polizia e dell'azienda non saranno concluse, un eventuale futuro advisory che identifichi i negozi coinvolti rappresenterebbe il segnale più chiaro per i proprietari che cercano di determinare se i loro dispositivi rientrino nei canali retail interessati.