Portafogli Ledger ritirati in 7 paesi asiatici per indagine su chip spia

Sette mercati in stallo

In un aggiornamento sull’incidente pubblicato il 13 ottobre, il produttore francese di portafogli hardware ha dichiarato:

[We are] chiedendo ai rivenditori e ai distributori nel Sud-Est asiatico e a Hong Kong di sospendere le vendite dei dispositivi Ledger mentre sono in corso le indagini. Ciò include il ritiro dei prodotti dagli scaffali.

La sospensione riguarda Indonesia, Singapore, Thailandia, Filippine, Vietnam, Malesia e Hong Kong. Si tratta di un’estensione significativa rispetto alla risposta iniziale, che riguardava un unico rivenditore regionale.

Ledger ha avuto cura di limitare la portata della propria ammissione, sottolineando che, con il progredire delle indagini, gli unici incidenti confermati rimangono circoscritti al Sud-Est asiatico. L’azienda ha inoltre chiarito:

Non abbiamo verificato alcun prelievo collegato a un dispositivo acquistato altrove. Non vi è alcuna indicazione che l’infrastruttura, i sistemi o i servizi di Ledger, né il canale di vendita diretta, siano stati compromessi.

Infine, l’azienda ha dichiarato che Ledger Donjon, il proprio team interno di ricerca sulla sicurezza, analizzerà i dispositivi ricevuti per scoprire chi abbia manomesso l’hardware e in quale punto della catena di distribuzione sia avvenuto.

Come si è arrivati a questo punto con la vicenda del chip spia di Ledger

La crisi è venuta alla luce il 9 ottobre, quando alcuni utenti hanno segnalato il prelievo di criptovalute dai portafogli acquistati tramite Cryptobilis, un rivenditore operante nel Sud-Est asiatico. Ledger ha chiesto a Cryptobilis di sospendere tutte le vendite e le spedizioni; da allora, le perdite stimate ammontano a ben 93,4 milioni di dollari.

Successivamente, il 10 ottobre, Ledger ha confermato la presenza di un dispositivo nascosto all’interno del dispositivo di un utente coinvolto. Il dispositivo era in grado di leggere la frase di recupero di 24 parole visualizzata durante la configurazione e di trasmetterla agli aggressori tramite LTE utilizzando una eSIM.

L’allarme si è poi esteso all’Europa e un utente ha dichiarato di aver trovato un dispositivo nascosto in un Ledger acquistato in un negozio Mediamarkt in Germania, mentre l’ex amministratore delegato di Mt. Gox, Mark Karpeles, ha fatto notare che l’antenna era etichettata come “versione eurasiatica”. Il 13 ottobre, Mediamarkt Saturn ha interrotto del tutto la vendita dei dispositivi Ledger, una decisione che l’azienda ha dichiarato di sostenere, a seguito della segnalazione di un dispositivo con chip nascosto da parte di un cliente in Germania. Ledger ha affermato che in quel caso non è stata segnalata alcuna perdita di fondi.

Anche i fornitori concorrenti sono in allerta: Trezor ha dichiarato che interromperà alcune partnership con i rivenditori a partire dal 1° gennaio 2027, per costruire una rete «abbastanza piccola da consentirci di vagliare e controllare ogni partner rimanente», pur insistendo sul fatto che non vi siano prove che i propri dispositivi siano stati compromessi.

Cosa dovrebbero fare ora gli acquirenti di Ledger

I clienti che hanno effettuato acquisti presso Cryptobilis negli ultimi 90 giorni non dovrebbero configurare i dispositivi non utilizzati, mentre chi lo ha già fatto dovrebbe trasferire i fondi su un nuovo portafoglio con una nuova frase di recupero. Gli utenti che hanno domande su qualsiasi dispositivo possono contattare Ledger tramite il suo canale di assistenza ufficiale.

L’azienda ha inoltre avvertito che i truffatori tendono a sfruttare incidenti come questo e ha successivamente pubblicato il seguente avviso:

"Ledger non vi chiamerà mai, non vi invierà mai messaggi direttamente né vi chiederà mai la vostra frase di recupero di 24 parole. Molte affermazioni e cifre che circolano online non sono verificate."