Il produttore di hardware wallet Trezor sta ridimensionando la propria rete di rivenditori autorizzati dopo la scoperta di implant dannosi in dispositivi Ledger venduti tramite distributori terzi, mentre gli investigatori blockchain hanno innalzato a 102 milioni di dollari la stima delle perdite derivanti dall'incidente CryptoBilis.

L'episodio mostra come una manomissione introdotta prima che un dispositivo arrivi all'acquirente possa aggirare completamente la crittografia integrata nel wallet, spostando la questione della sicurezza dall'hardware in sé alla catena di distribuzione che lo consegna.

Trezor ha annunciato le modifiche cautelative il 13 ottobre in una dichiarazione sulla supply chain, confermando che i partner di distribuzione coinvolti perderanno la loro autorizzazione il 1° gennaio 2027. Le nuove spedizioni a quei rivenditori sono già state sospese. L'azienda ha inoltre rimosso CryptoBilis, un rivenditore del Sud-est asiatico, dalla propria rete autorizzata dopo che Ledger ha identificato dispositivi manomessi distribuiti attraverso la stessa attività. Trezor ha sottolineato di non aver ricevuto evidenze di dispositivi compromessi recanti il proprio marchio.

Trezor chiude gli accordi con i rivenditori a partire da gennaio 2027

Il Chief Commercial Officer Danny Sanders ha illustrato le modifiche in una lettera ai partner di distribuzione, spiegando che Trezor non poteva più mantenere lo stesso livello di supervisione sull'attuale rete di rivenditori.

I partner coinvolti potranno vendere le rimanenze rimaste durante le festività, ma non riceveranno ulteriore merce e la loro autorizzazione scadrà all'inizio del 2027. Trezor prevede di introdurre verifiche più rigorose dei partner, insieme a requisiti contrattuali aggiornati che coprano l'approvvigionamento, lo stoccaggio e la movimentazione dei prodotti. I rivenditori terzi sono da sempre centrali nel modo in cui i produttori di wallet raggiungono i mercati locali, ma ogni intermediario aggiunge un altro anello tra la fabbrica e il cliente — esattamente la parte della supply chain ora sottoposta a un'attenzione rafforzata in tutto il settore dopo i rilievi su CryptoBilis.

Sanders ha sottolineato che la decisione non indicava cond illecite da parte dei rivenditori coinvolti. Ha inoltre ringraziato pubblicamente i partner di lunga data e si è scusato per la chiusura dei rapporti commerciali. Trezor non ha reso noto quanti rivenditori perderanno l'autorizzazione né quali mercati saranno coinvolti.

Ledger collega i svuotamenti di wallet a implant LTE nascosti

La revisione della rete di rivenditori segue l'indagine di Ledger sui svuotamenti di wallet legati a CryptoBilis che hanno colpito clienti in tutto il Sud-est asiatico. Il team di sicurezza Donjon di Ledger ha individuato un implant elettronico non autorizzato nascosto all'interno degli hardware wallet coinvolti. Il componente intercettava la frase di recupero di 24 parole visualizzata durante l'inizializzazione del dispositivo e trasmetteva i dati tramite LTE usando una SIM incorporata. Poiché la sola frase di recupero ripristina un wallet su qualsiasi dispositivo compatibile, una frase catturata durante l'inizializzazione garantisce a un aggressore l'accesso ai fondi che il wallet deterrà in seguito — senza alcuna necessità di toccare nuovamente l'hardware.

Secondo Ledger, l'implant operava indipendentemente dal Secure Element e non modificava il sistema operativo del dispositivo né le firme delle transazioni. L'azienda ha confermato che i casi indagati riguardavano dispositivi venduti tramite CryptoBilis, mantenendo al contempo che i propri sistemi interni e i canali di vendita diretti restano immutati (post X). L'incidente aggiunge una nuova dimensione legata alla supply chain fisica alle preoccupazioni già sollevate sul percorso di sicurezza di Ledger, che includeva precedenti violazioni dei dati dei clienti e un exploit della supply chain software.

La società di intelligence blockchain Bitquery ha successivamente tracciato una stima di 102 milioni di dollari in asset rubati su 324 wallet e sei blockchain, superando le stime iniziali di 86 milioni di dollari, come indicato nella sua indagine pubblicata. L'analisi ha identificato prelievi coordinati su Tron, Bitcoin, Ethereum, Solana, BNB Chain e Polygon, mentre Tether ha bloccato circa 10 milioni di dollari in USDT collegati ai trasferimenti sospetti. Ledger non ha confermato indipendentemente il dato totale delle perdite.

MediaMarkt sospende la vendita di prodotti Ledger mentre l'indagine si amplia

L'indagine ha coinvolto anche i rivenditori europei. MediaMarktSaturn ha sospeso la vendita dei prodotti Ledger coinvolti dopo che un cliente ha segnalato hardware modificato acquistato in Germania, avendo trovato cablaggi aggiuntivi e componenti per comunicazioni cellulari all'interno di due dispositivi acquistati in diverse sedi MediaMarkt.

Ledger ha preso atto della segnalazione tedesca ma ha dichiarato che non sono state identificate perdite di fondi associate, e l'azienda non ha stabilito un collegamento tra quei dispositivi e i furti legati a CryptoBilis.

Separatamente, un altro produttore di wallet, OneKey, ha revocato l'autorizzazione di rivendita a CryptoBilis e ha offerto la sostituzione gratuita dei dispositivi ai clienti che hanno acquistato i suoi prodotti tramite il rivenditore tra il 1° marzo e il 13 ottobre.

Ledger continua a consigliare ai clienti di CryptoBilis di non inizializzare i dispositivi non utilizzati. Chi ha già configurato i wallet coinvolti dovrebbe trasferire i propri asset in un wallet generato in modo sicuro con una nuova frase di recupero.

Tra i temi ancora aperti da seguire figurano il dato totale delle perdite non ancora confermato da Ledger, l'eventuale collegamento definitivo tra i dispositivi MediaMarkt tedeschi e i furti legati a CryptoBilis, e ulteriori tracciamenti o congelamenti di asset derivanti dall'indagine di Bitquery e dall'azione di Tether sui 10 milioni di dollari in USDT.

Le modifiche più ampie di Trezor alla rete di rivenditori entreranno in vigore il 1° gennaio 2027, con i nuovi controlli di distribuzione intesi a rid il numero di intermediari che manipolano i dispositivi dei clienti.

Fonte: Crypto Adventure