Ledger: impianto hardware non autorizzato in un wallet venduto da CryptoBilis

• Ledger sospende le vendite tramite il rivenditore CryptoBilis dopo furti di fondi segnalati nel Sud-est asiatico
• Un dispositivo colpito conteneva un impianto hardware non autorizzato; numero di dispositivi "limitato"
• Perdite oltre 86 milioni di dollari secondo l'investigatore Specter
• Chi ha comprato da CryptoBilis negli ultimi 90 giorni non configuri il wallet o sposti i fondi su un nuovo seed

Ledger, produttore di hardware wallet per criptovalute, ha sospeso temporaneamente la vendita dei propri prodotti tramite il rivenditore CryptoBilis. La decisione segue le segnalazioni di furti di fondi collegati a dispositivi venduti da quel canale. L’azienda ha poi confermato che uno dei dispositivi degli utenti colpiti conteneva un impianto hardware non autorizzato.

Cosa è successo

Venerdì Ledger ha dichiarato di indagare su perdite di fondi subite da utenti del Sud-est asiatico che avevano acquistato da CryptoBilis. Secondo lo Specter, investigatore blockchain pseudonimo, le perdite supererebbero gli 86 milioni di dollari. La cifra non è confermata nella fonte da Ledger.

In un aggiornamento dell’11 ottobre 2026, Ledger ha precisato che l’incidente riguarda un numero “limitato” di dispositivi. Tutti i casi confermati coinvolgono apparecchi venduti tramite CryptoBilis. L’azienda sta contattando gli utenti interessati nell’ambito di un’indagine ancora in corso.

Per prudenza, CryptoBilis ha interrotto la vendita di tutto il proprio inventario di hardware wallet fino alla conclusione degli accertamenti.

Le raccomandazioni

Ledger invita chi ha acquistato dal rivenditore negli ultimi 90 giorni a non avviare la configurazione, se non l’ha già fatta. Chi ha già configurato il dispositivo dovrebbe valutare di spostare i fondi su un nuovo Ledger signer con un nuovo seed, cioè una nuova frase di recupero.

CryptoBilis ricorda che la frase di recupero deve essere generata dal dispositivo durante la configurazione e annotata dall’utente. Se il dispositivo arriva con una frase già stampata o scritta su una scheda, o se altri l’hanno vista, il wallet va considerato non sicuro. PIN e frase di recupero non vanno mai condivisi: né Ledger né CryptoBilis li chiedono. Le offerte di recupero dei fondi persi sono quasi sempre truffe.

Indicazioni per la filiera

Ledger consiglia a rivenditori e distributori di approvvigionarsi solo da canali autorizzati e di non rimettere mai in vendita prodotti restituiti. Agli utenti raccomanda di non acquistare da rivenditori non autorizzati, dove è alto il rischio di dispositivi sospetti, contraffatti o modificati, fuori dalle linee guida di sicurezza dell’azienda.

La fonte non chiarisce la natura tecnica dell’impianto né come sia stato inserito nel dispositivo.

Fonte: The Hacker News · Foto: The Hacker News