Tether ha congelato 10 milioni di dollari in USDT, la sua stablecoin, in relazione a un furto che ha prosciugato fino a 93 milioni di dollari in asset da hardware wallet Ledger venduti dal rivenditore CryptoBilis. Il congelamento arriva mentre gli investigatori continuano a tracciare il flusso dei fondi rubati e mentre Ledger sostiene che l'incidente sia limitato ai dispositivi venduti da un unico venditore terzo.

Cosa ha confermato Ledger finora

Ledger, il produttore francese di wallet per criptovalute, non ha ancora commentato l'entità delle perdite. L'azienda ha dichiarato che ogni caso identificato riguarda dispositivi venduti da CryptoBilis, un venditore terzo attivo in Malesia, Indonesia e Filippine. Ha inoltre sottolineato che non ci sono segni di compromissione dei sistemi, dei servizi o delle vendite dirette di Ledger. Questa distinzione è importante perché il modello di sicurezza di un hardware wallet si basa sul fatto che il dispositivo arrivi al proprietario non manomesso, con chiavi private che non lo lasciano mai.

Il caso ha assunto anche una dimensione di manomissione fisica, oltre alle vulnerabilità legate al software. Il 10 ottobre, l'azienda ha dichiarato che un utente colpito possedeva un dispositivo con un impianto fisico non autorizzato installato: la prima prova di compromissione fisica dei wallet Ledger in questo caso.

Il messaggio dell'azienda agli acquirenti è chiaro: chi ha acquistato un dispositivo CryptoBilis negli ultimi 90 giorni e non lo ha ancora configurato deve lasciarlo intoccato. Chi sta attualmente usando tale dispositivo deve trasferire le proprie monete su un altro dispositivo con una nuova recovery phrase. L'enfasi su una frase nuova è il cuore del consiglio: le parole di recupero sono il backup principale di un hardware wallet, e un wallet può essere ripristinato su qualsiasi dispositivo compatibile dalla sola frase. Acquistare solo tramite canali ufficiali e verificare l'autenticità del dispositivo durante la configurazione sono le difese standard contro questo tipo di manomissione pre-vendita.

Come gli investigatori hanno calcolato le perdite

I dati sulle perdite sono attribuiti agli analisti on-chain e non a Ledger. Bitquery ha stimato che l'attacco abbia sottratto 93,2 milioni di dollari da 315 wallet su sei blockchain separate, principalmente in USDT e monete TRON. La piattaforma di sicurezza YFarmX ha indicato una cifra più alta, sostenendo che l'attacco ha portato via 94,5 milioni di dollari da 521 wallet su sette blockchain diverse. Entrambe le stime si basano su dati pubblici delle chain.

Secondo l'analisi di Bitquery, la maggior parte del denaro rubato era su TRON, circa 70,5 milioni di dollari, con altri 16,8 milioni in Bitcoin e 3,7 milioni in Ethereum, oltre a importi molto minori su BNB Chain, Polygon e Solana.

L'operazione sarebbe stata pianificata per mesi: gli indirizzi coinvolti nel furto sono stati creati il 25 settembre e hanno effettuato decine di trasferimenti di prova fino a inizio ottobre. Il movimento principale è avvenuto il 9 ottobre,, secondo Bitquery, gli attaccanti hanno riscritto i permessi di 30 wallet TRON prima di trasferire circa 203,8 BTC da 111 wallet Bitcoin entro un singolo blocco un'ora dopo. Un'operazione di questo tipo può essere eseguita solo se l'attaccante possiede le chiavi necessarie.

Questo è rilevante perché gli emittenti di stablecoin possono inserire in blacklist i token utilizzati per attività illegali. Bitquery, che ha verificato il congelamento di Tether, ha riportato che all'11 ottobre restavano on-chain circa 81 milioni di dollari in token tracciabili, sebbene parte dei fondi sia già passata attraverso i servizi di mixing Tornado Cash e Zcash. Tornado Cash aggrega le transazioni per offuscarne la traccia, mentre Zcash offre trasferimenti schermati progettati per nascondere mittente, destinatario e importo: per questo la questione di quanti dei fondi tracciabili rimanenti finiranno congelati e se i fondi mescolati potranno ancora essere seguiti è il prossimo interrogativo naturale del caso.

Reazioni sul rivenditore autorizzato

La descrizione della situazione come un problema di CryptoBilis da parte di Ledger non è passata indenne. Il rivenditore mostrava un badge ufficiale di Ledger sul proprio sito, il che, secondo i critici, rende Ledger responsabile della situazione. "Non è un incidente di CryptoBilis, è un incidente di Ledger", ha detto l'utente X MyCryptoParadise, che ha chiesto all'azienda di "prendersi la responsabilità di questo pasticcio". La controversia tocca una caratteristica strutturale del settore degli hardware wallet: i produttori si affidano ai rivenditori per ampliare la distribuzione, ma ogni intermediario aggiunto è un anello della catena che il produttore non controlla direttamente.

C'è anche un retroscena sulla proprietà del rivenditore. Secondo il cofondatore Arravind Prabu, CryptoBilis è stata acquisita a marzo 2026, e l'intero team ha trasferito tutti gli accessi ai sistemi durante l'acquisizione, come citato da Learning Crypto. I registri riportati dall'azienda mostrano che l'unico nuovo investitore era registrato in Cina. Finora non è stato stabilito alcun legame tra i furti e il cambio di proprietà, e l'indagine non ha rilevato manomissioni legate ai nuovi investitori.

CryptoBilis ha sospeso la vendita e la consegna di tutti i marchi che commercializza e ha chiuso i propri negozi fisici in tutti e tre i paesi.

L'impianto smontato da Mark Karpelès

Forse lo sguardo più definitivo sull'hardware manomesso viene dal fondatore di Mt. Gox, Mark Karpelès. Karpelès ha smontato un Ledger Nano X acquistato in Malesia e, come riportato da Learning Crypto, ha scoperto componenti aggiuntivi nascosti sotto lo schermo: un modem cellulare, un eSIM e un chip minuscolo in grado di intercettare ciò che viene mostrato sullo schermo.

Quando si configura un wallet, le parole di recupero vengono visualizzate su quello schermo. Un componente capace di intercettare i dati del display potrebbe trasmettere quelle parole tramite la rete mobile, consentendo di ricreare il wallet altrove e di rubarne i fondi. Un impianto di questo tipo è un esempio di supply-chain attack, in cui un dispositivo viene alterato da qualche punto tra la produzione e la consegna anziché essere compromesso da remoto: e poiché i componenti si trovavano sotto lo schermo di un'unità che funzionava normalmente, sarebbero stati difficili da individuare per un acquirente comune. Resta da dimostrare se tutti i dispositivi contenessero tali componenti, e se emergeranno altre unità con impianti resta una domanda aperta nell'indagine.\nVa notato che questo caso è distinto da un altro furto riportato a marzo, avvenuto ad aprile, quando truffatori hanno usato l'applicazione Ledger Live sull'App Store di Apple per rubare almeno 9,5 milioni di dollari.