Gli investitori in criptovalute a Singapore hanno perso circa 3,5 milioni di dollari di Singapore (2,7 milioni di dollari) dopo aver acquistato wallet hardware Ledger manomessi, secondo la polizia di Singapore. In un avviso emesso il 28 ottobre, le autorità hanno confermato almeno due casi e dichiarato che le segnalazioni hanno iniziato ad arrivare il 10 settembre — quasi un mese prima che la più ampia violazione della sicurezza divenisse pubblica a ottobre.

Le indagini preliminari hanno rilevato componenti dannosi all'interno di dispositivi Ledger acquistati in alcuni negozi al dettaglio di Singapore. Alterazioni di questo tipo rientrano in quelle descritte come compromissioni della supply chain, in cui singole unità vengono fisicamente modificate in un punto qualsiasi tra la produzione e la vendita al dettaglio, anziché essere attaccate tramite software dopo la configurazione.

Hardware non autorizzato ha catturato frasi di recupero e chiavi private

Gli investigatori hanno scoperto che i dispositivi compromessi contenevano hardware non autorizzato in grado di catturare frasi di recupero e chiavi private. Con queste informazioni, gli aggressori potevano accedere alle criptovalute detenute e trasferire fondi senza il permesso dei proprietari.

I wallet hardware sono progettati per proteggere gli asset digitali mantenendo le chiavi private offline. Gli incidenti di Singapore dimostrano come la manomissione fisica possa compromettere tale protezione prima ancora che i clienti inizino a utilizzare i propri dispositivi. Poiché una frase di recupero consente agli utenti di ripristinare l'accesso ai propri fondi, chiunque ne entri in possesso può potenzialmente prendere il controllo del wallet associato e spostarne gli asset — è per questo che la frase stessa è considerata la credenziale più sensibile negli arrangementi di auto-custodia.

Ledger sospende le vendite regionali in piena indagine

Ledger ha avviato un'indagine sulle segnalazioni relative a dispositivi distribuiti tramite il rivenditore del Sud-est asiatico CryptoBilis all'inizio di ottobre. Il 10 ottobre, l'azienda ha confermato la presenza di un implant hardware non autorizzato in almeno un dispositivo interessato. Entro il 13 ottobre, Ledger aveva richiesto una sospensione temporanea delle vendite tramite rivenditori e distributori regionali — una misura precauzionale che copre Singapore, Malaysia, Indonesia, Thailandia, Filippine, Vietnam e Hong Kong.

L'azienda ha continuato a esaminare i casi interessati collaborando con le autorità di Singapore, anche se l'entità completa della sospetta compromissione della supply chain resta incerta. Se ulteriori unità interessate emergeranno nelle sette giurisdizioni coperte è una delle domande aperte mentre tale revisione prosegue.

La polizia invita gli utenti a proteggere gli asset rimanenti

La polizia di Singapore ha consigliato ai possessori di criptovalute di smettere di utilizzare i dispositivi sospettati di manomissione, di evitare di inserire le frasi di recupero e di astenersi dall'effettuare ulteriori transazioni tramite hardware potenzialmente compromesso.

Laddove le credenziali potrebbero essere state esposte, le autorità hanno raccomandato di spostare le criptovalute rimanenti in un wallet affidabile con una frase di recupero appena generata, effettuando il trasferimento tramite un dispositivo non compromesso.

Il caso mette in luce le crescenti preoccupazioni relative ai canali di distribuzione dei wallet hardware per criptovalute, mostrando che anche dispositivi progettati per la sicurezza offline possono esporre gli investitori a perdite significative quando gli aggressori compromettono i prodotti fisici prima della consegna. Per gli investitori, rafforza l'importanza di verificare l'autenticità dei dispositivi e di seguire gli avvisi di sicurezza dei produttori.

La polizia di Singapore continua a indagare sulle perdite segnalate mentre Ledger esamina i wallet interessati. Quanti dispositivi siano stati coinvolti, dove nella catena di distribuzione sia avvenuta la manomissione e quando le vendite dei rivenditori regionali potranno riprendere sono tra i dettagli ancora irrisolti.