Wallet Ledger manomessi: rubati 87 milioni in crypto, ecco come scoprire se sei a rischio

Se possiedi un hardware wallet per le tue criptovalute, probabilmente l'hai comprato pensando che fosse la soluzione più sicura in assoluto per proteggere i tuoi risparmi digitali. E in effetti lo è, a patto che il dispositivo che tieni in mano sia davvero quello che dovrebbe essere. Negli ultimi giorni è emerso un caso che ha fatto tremare l'intero mondo crypto: alcuni wallet Ledger, uno dei marchi più usati al mondo per custodire Bitcoin ed Ethereum, sono stati modificati di nascosto prima ancora di arrivare nelle mani dei clienti. Il risultato? Decine di milioni di dollari spariti nel nulla.

Non si tratta di un attacco informatico nel senso classico del termine: nessuno ha "bucato" il software di Ledger. Il problema sta tutto in un piccolo componente elettronico che qualcuno ha infilato fisicamente dentro alcuni dispositivi prima che venissero venduti. Vediamo cosa è successo, chi rischia davvero e, soprattutto, cosa devi controllare subito se possiedi uno di questi wallet.

Cosa è successo davvero

Ledger ha reso noto che alcuni hardware wallet venduti da un rivenditore del Sudest asiatico collegato al gruppo CryptoBilis contenevano un componente occulto capace di sottrarre la frase di recupero e trasmetterla tramite rete mobile. In pratica, dentro l'involucro del dispositivo qualcuno ha nascosto un piccolo "spione" elettronico.

Il meccanismo è semplice quanto inquietante: l'impianto era nascosto nell'involucro del dispositivo. Durante la configurazione, quando la frase veniva visualizzata sullo schermo, un microcontrollore riconosceva e decodificava le parole. A quel punto, il contenuto veniva quindi inviato a un attaccante via LTE, utilizzando una eSIM integrata nel circuito. Il sistema era progettato per restare invisibile all'utente e attivarsi soltanto nella fase di impostazione del wallet.

Per capire quanto sia grave questo furto, bisogna sapere cos'è la "frase di recupero": la frase rappresenta la chiave primaria del portafoglio crittografico: chi la possiede può ricostruire il wallet su un altro dispositivo e trasferire i fondi, senza disporre dell'unità fisica originale. In altre parole, chi ruba quella frase di 24 parole non ha bisogno di toccare il tuo wallet fisico: può semplicemente copiarlo altrove e svuotarlo con calma.

Quanto hanno rubato i criminali

Le cifre in gioco sono tutt'altro che piccole. Secondo gli analisti che hanno seguito la vicenda, Specter ha tracciato oltre 86 milioni di dollari di furti sospetti, con fondi sottratti da circa 86,96 milioni di dollari, sottratti da 98 indirizzi sulle reti Ethereum, TRON e Bitcoin. Numeri che fanno capire quanto sia stato organizzato questo colpo, e per quanto tempo sia rimasto sotto il radar prima di essere scoperto.

La buona notizia, se così si può dire, è che il problema sembra circoscritto. Ledger stessa ha chiarito che riteniamo che i fondi sottratti siano limitati ai dispositivi venduti tramite un rivenditore chiamato CryptoBilis nel Sud-est asiatico. Non abbiamo alcuna indicazione che l'infrastruttura di sicurezza, i sistemi o i servizi di Ledger siano stati compromessi. Il problema, quindi, non è nel prodotto in sé né nei server dell'azienda, ma nella catena di distribuzione: qualcuno ha intercettato i dispositivi prima che arrivassero ai clienti.

Passaggio 1: controlla dove hai comprato il tuo wallet

Il primo controllo da fare è il più semplice: dove hai acquistato il tuo Ledger? Se l'hai comprato direttamente dal sito ufficiale dell'azienda, puoi stare tranquillo. Il rischio riguarda solo chi ha acquistato tramite il rivenditore coinvolto: i dispositivi erano stati venduti da CryptoBilis, un marketplace attivo nel Sud-est asiatico. Se non hai mai sentito parlare di questo nome e il tuo wallet viene da Ledger.com o da un negozio fisico autorizzato in Italia, difficilmente sei coinvolto in questo specifico episodio.

Passaggio 2: ispeziona il dispositivo e la confezione

Se invece hai dei dubbi sulla provenienza del tuo wallet, o l'hai comprato di seconda mano o tramite un marketplace generico, vale la pena dare un'occhiata più attenta. Segnali di allarme da non sottovalutare: confezione che sembra già aperta o richiusa, sigilli di sicurezza mancanti o danneggiati, peso del dispositivo leggermente diverso dal normale, oppure la presenza di una lettera o di istruzioni che ti chiedono di inserire la frase di recupero in un'app invece che sullo schermo del dispositivo stesso. Ricorda sempre questa regola d'oro: la frase di recupero va digitata solo ed esclusivamente sullo schermo del wallet fisico, mai in un computer, in un'app o in un sito web, per nessun motivo.

Passaggio 3: compra sempre dal sito ufficiale

Per evitare questo tipo di problemi in futuro, la regola più importante è una sola: acquista l'hardware wallet solo ed esclusivamente dal sito ufficiale del produttore, mai da Amazon, da marketplace di terze parti o da rivenditori "scontati" che non riconosci. Il sito ufficiale di Ledger ti garantisce che il dispositivo arrivi sigillato direttamente dalla fabbrica, senza passaggi intermedi in cui qualcuno potrebbe manometterlo.

Passaggio 4: se hai dubbi, sposta subito i fondi

Se dopo questi controlli hai ancora dei sospetti sul tuo dispositivo, o se hai comprato il wallet tramite il rivenditore coinvolto nell'incidente, la cosa più sicura da fare è agire subito. Gli esperti consigliano di non usare il dispositivo sospetto per nuove operazioni e di trasferire al più presto le criptovalute verso un wallet nuovo e sicuro, acquistato direttamente dal produttore. Meglio perdere qualche minuto in più per fare le cose con calma, piuttosto che rischiare di perdere tutto.

Non è la prima volta: occhio ai pacchi "sostitutivi"

Questo non è purtroppo un caso isolato nella storia di Ledger. In passato sono già stati segnalati episodi simili, con criminali che inviavano per posta finti dispositivi "sostitutivi" identici a quelli originali, accompagnati da lettere che invitavano l'utente a inserire la frase di recupero in un'app per "verificare" il dispositivo. Un trucco che funziona solo se la vittima non conosce questa semplice regola: nessuna azienda seria ti chiederà mai di digitare la tua frase di recupero fuori dal tuo wallet fisico.

La lezione da portare a casa

Questo episodio dimostra una cosa importante: anche il miglior hardware wallet del mondo non serve a nulla se viene manomesso prima di arrivarti a casa. La sicurezza delle tue criptovalute non dipende solo dalla tecnologia dentro al dispositivo, ma anche da dove e come lo acquisti. Compra sempre dal sito ufficiale, controlla la confezione all'arrivo, e non inserire mai la tua frase di recupero da nessuna parte se non sullo schermo del wallet stesso. Sono tre abitudini semplici che possono fare la differenza tra proteggere i tuoi risparmi digitali e perderli per sempre.