Ledger ha spiegato che alcuni hardware wallet venduti dal rivenditore CryptoBilis contenevano impianti non autorizzati capaci di leggere le frasi di recupero mostrate durante la configurazione e trasmetterle tramite rete LTE. Il caso ha portato CryptoBilis a fermare vendite e spedizioni di tutti i wallet, mentre Trezor e OneKey hanno interrotto i rapporti con il distributore.
Secondo Ledger, gli impianti non hanno violato i chip di sicurezza dei dispositivi né modificato le transazioni. Il rischio era però nel momento più delicato: la visualizzazione della frase di recupero di 24 parole, che consente di ripristinare l’accesso a un portafoglio.
Il team di ricerca Ledger Donjon riferisce che l’impianto usava un microcontrollore per decodificare le 24 parole visualizzate sullo schermo del wallet durante la procedura iniziale. I dati venivano poi inviati attraverso reti cellulari LTE mediante una eSIM integrata.
Si tratta di un attacco diverso dalla compromissione diretta del software o del chip sicuro del dispositivo. Stando alla ricostruzione di Ledger, la protezione interna del wallet restava intatta e le transazioni non venivano alterate; a essere esposta era la frase di recupero, cioè l’informazione che non dovrebbe mai uscire dall’ambiente controllato dall’utente.
Il caso è emerso dopo segnalazioni di perdite in criptovalute associate a dispositivi Ledger acquistati tramite CryptoBilis, indicato come rivenditore autorizzato in Indonesia, Malesia e Filippine. Ledger ha poi confermato di avere trovato un impianto non autorizzato in uno dei dispositivi interessati.
Le stime circolate sulle perdite non coincidono: l’investigatore blockchain Specter ha parlato di oltre 86 milioni di dollari, mentre Yfarmx ha indicato 103 milioni di dollari. Ledger non ha confermato alcun importo complessivo.
Le verifiche oltre CryptoBilis
Ledger ha invitato chi sospetta una manomissione a contattare l’assistenza e a presentare una denuncia alla polizia. Per gli acquisti effettuati presso altri canali, l’azienda rimanda a una guida per l’ispezione del dispositivo, avvertendo che l’apertura del wallet può danneggiarlo e suggerendo di mettere prima al sicuro la frase di recupero.
L’azienda sta inoltre valutando segnalazioni che vanno oltre CryptoBilis. Un utente di X, Johannes, ha pubblicato fotografie di due dispositivi Ledger che dichiara di avere acquistato in due negozi MediaMarkt distinti e nei quali afferma di avere trovato impianti. Ledger non ha confermato un collegamento fra questi casi europei e l’episodio CryptoBilis.
CryptoBilis sospende le vendite, Trezor e OneKey reagiscono
CryptoBilis ha dichiarato di avere sospeso vendite e spedizioni di ogni marchio di hardware wallet in Malesia, Filippine e Indonesia. La decisione amplia il precedente stop, inizialmente limitato ai prodotti Ledger. Il rivenditore ha anche chiuso temporaneamente i negozi fisici e avviato una revisione delle procedure con specialisti indipendenti.
Trezor ha comunicato di non avere ricevuto segnalazioni di dispositivi Trezor manomessi venduti da CryptoBilis e di non avere elementi che indichino un coinvolgimento dei suoi prodotti. Ha comunque rimosso il rivenditore dalla propria rete autorizzata.
Anche OneKey non ha segnalato perdite riconducibili al caso, ma ha revocato l’autorizzazione a CryptoBilis, sospeso l’ingresso di nuovi rivenditori e avviato un controllo della rete distributiva esistente. L’azienda offre inoltre una sostituzione gratuita per i dispositivi OneKey acquistati da CryptoBilis tra il 1° marzo e il 12 ottobre 2026; la domanda può essere presentata entro il 31 dicembre.
Domande frequenti
Gli impianti hanno compromesso il chip di sicurezza Ledger?
No, secondo Ledger gli impianti individuati non hanno compromesso i chip di sicurezza dei dispositivi e non hanno alterato le transazioni. Il loro scopo era intercettare la frase di recupero mostrata durante il setup.
Sono coinvolti anche wallet acquistati fuori da CryptoBilis?
Le perdite confermate finora riguardano dispositivi venduti da CryptoBilis. Ledger sta però esaminando segnalazioni ulteriori; le immagini pubblicate da un utente su presunti casi MediaMarkt non sono state confermate dall’azienda.
Trezor e OneKey hanno rilevato prodotti manomessi?
Trezor afferma di non avere ricevuto segnalazioni sui propri dispositivi e OneKey dichiara di non avere registrato perdite correlate. Entrambe hanno comunque cessato il rapporto commerciale con CryptoBilis.
Considerazioni finali
Il punto più grave non è una falla dichiarata nei chip di Ledger, ma l’aggiramento fisico del momento in cui un wallet dovrebbe offrire la maggiore fiducia: la generazione e la visualizzazione della frase di recupero. Un impianto che la acquisisce prima ancora che l’utente possa custodirla correttamente svuota di significato la protezione offerta dal dispositivo.
La sospensione generalizzata delle vendite di CryptoBilis e il taglio dei rapporti da parte di Trezor e OneKey sono quindi misure proporzionate ai fatti emersi. Resta decisivo distinguere i prodotti effettivamente coinvolti dalle segnalazioni ancora da verificare, senza confondere questo caso con una compromissione confermata dell’architettura di sicurezza dei wallet Ledger.