Ledger ha confermato la presenza di un impianto hardware non autorizzato nel portafoglio di un cliente colpito, mentre gli investigatori stimano che circa 93,2 milioni di dollari in presunti furti di criptovalute siano legati a dispositivi manomessi venduti tramite un rivenditore del Sud-Est asiatico. L'azienda ha dichiarato di non aver trovato alcuna indicazione che la propria infrastruttura di sicurezza, i sistemi o i servizi siano stati compromessi.
CryptoBilis, un rivenditore autorizzato con sede nella regione, ha sospeso le vendite di tutto l'inventario di portafogli hardware in attesa della conclusione dell'indagine.
Cosa ha trovato Tibane Labs all'interno dei dispositivi
L'indagine è iniziata dopo che i clienti hanno segnalato la perdita di criptovalute dopo aver acquistato dispositivi Ledger dal rivenditore. Tibane Labs ha documentato tre generazioni di impianti Ledger Nano X progettati per intercettare le frasi di recupero, combinando il teardown di Joe Grand di un impianto precedente con due esemplari esaminati a settembre.
Gli impianti funzionano monitorando i segnali elettronici inviati tra l'elemento sicuro di un portafoglio e il suo display. Da questi segnali, gli attaccanti possono ricostruire la frase di recupero di 24 parole e trasmetterla tramite un modem cellulare — senza necessità di furto fisico e senza compromettere il chip sicuro di Ledger.
La versione più avanzata esaminata da Tibane conteneva una scheda circuitale personalizzata nascosta sotto lo schermo, con un modem LTE, un'antenna e componenti le cui marcature identificative erano state rimosse. Secondo il laboratorio, conservava la batteria originale e poteva superare l'ispezione visiva anche dopo l'apertura dell'involucro.
I due esemplari di Tibane sono stati acquistati tramite marketplace giapponesi anziché da CryptoBilis. Il laboratorio ha anche lanciato un avvertimento diretto: qualsiasi frase di recupero visualizzata su un dispositivo compromesso dovrebbe essere considerata esposta, e i fondi dovrebbero essere spostati su un portafoglio con una nuova frase generata su un dispositivo affidabile.
Perché Genuine Check non lo rileva
Il Genuine Check di Ledger verifica l'autenticità dell'elemento sicuro. Non può rilevare modifiche fisiche non autorizzate, come impianti spia, se tale elemento rimane intatto. Questa lacuna è centrale nel caso: un dispositivo può superare il controllo e essere comunque compromesso.
Ledger non ha reso noto quanti dispositivi siano stati modificati e non ha stabilito che l'impianto abbia causato tutte le perdite segnalate. L'azienda ha affermato di essere in contatto con gli utenti colpiti e di coordinarsi con le autorità.
Due stime, due metodi, stessa scala
Alex Thorn, dirigente della ricerca di Galaxy Digital, ha riportato circa 91 milioni di dollari su 477 indirizzi su Bitcoin, reti correlate a Ethereum e Tron. Thorn ha attribuito 64,5 milioni di dollari dei presunti furti a Tron, inclusi circa 64,3 milioni di USDT. Bitcoin rappresentava 17,7 milioni di dollari, ovvero circa 213 BTC. Ethereum e le reti correlate contribuivano per 8,8 milioni di dollari.
Bitquery ha contato circa 93,2 milioni di dollari da 315 portafogli su sei blockchain. Le due stime utilizzano set di indirizzi e metodi diversi, e nessuna delle due conta il numero di dispositivi manomessi.
Bitquery ha identificato schemi di transazione che suggeriscono che gli attaccanti abbiano ottenuto il controllo di più portafogli prima di un prelievo coordinato il 9 ottobre. Venticinque portafogli Tron hanno firmato la stessa approvazione di token entro tre secondi, consentendo il prelievo di circa 29 milioni di dollari in USDT in pochi istanti. Piccole transazioni di prova sono state effettuate per circa due settimane prima dei furti più consistenti, suggerendo che i preparativi fossero in corso ben prima che gli utenti segnalassero la mancanza di fondi.
Bitquery ha stimato che Tether abbia congelato circa 10 milioni di dollari in USDT rubati. Ha inoltre identificato 5,35 milioni di dollari in USDC che l'emittente Circle potrebbe congelare dopo che i fondi sono passati attraverso Tornado Cash e Zcash.
La questione del rivenditore
L'analista di CryptoQuant Darkfost ha suggerito di esaminare altri rivenditori regionali per una possibile esposizione della catena di approvvigionamento, riconoscendo tuttavia che la preoccupazione era speculativa e non supportata da prove confermate. CryptoBilis non ha indicato quando potrebbe riprendere le vendite.
Per ora, i fatti concreti rimangono limitati: un impianto confermato, un rivenditore sospeso e due stime indipendenti che concordano sulla scala ma non sugli indirizzi. Ledger non ha spiegato come i dispositivi modificati siano arrivati ai clienti, e non è stata fornita alcuna tempistica per la conclusione dell'indagine.
