Gli impianti hardware nei wallet Ledger e Trezor aprono un nuovo fronte rispetto ai furti sospetti, stimati in oltre 86 milioni di dollari da Specter e in circa 102 milioni da Bitquery. Un utente in Germania segnala impianti in due Ledger comprati in negozi MediaMarkt (il primo un Nano X), e Trezor riduce i rivenditori autorizzati. Lo riportano Zero Day e Decrypt.
Ledger ha chiesto a rivenditori e distributori in sette mercati asiatici di sospendere le vendite, e la catena MediaMarkt Saturn ha smesso di vendere i dispositivi Ledger. Per chi custodisce bitcoin in autonomia (self-custody, cioè con chiavi private tenute in proprio) il punto è dove si compra il portafoglio, non solo quale marca.
Ledger sospende le vendite in sette mercati asiatici
Secondo Decrypt, Ledger ha chiesto martedì 13 ottobre (comunicato su X) a rivenditori e distributori di Indonesia, Singapore, Thailandia, Filippine, Vietnam, Malaysia e Hong Kong di sospendere le vendite e di togliere i prodotti dagli scaffali mentre l’indagine è in corso. Ledger sostiene che gli unici incidenti confermati restano nel Sud-Est asiatico e dice di non avere verificato un furto legato a un dispositivo acquistato altrove.
Sempre secondo Decrypt, il team di sicurezza di Ledger (Donjon) ha stabilito che l’impianto legge dallo schermo le 24 parole di recupero (la seed phrase, da cui si può ripristinare l’intero portafoglio) durante la configurazione e le invia via LTE, la rete dati mobile. Chi possiede quelle parole può spostare i fondi. L’investigatore on-chain Specter ha tracciato oltre 86 milioni di dollari di furti sospetti, cifra che Ledger dice di non avere verificato. Il caso era già stato ricostruito in Ledger e CryptoBilis: stimati 86 milioni di dollari di furti.
Impianti segnalati anche in Germania, secondo Zero Day
Secondo la giornalista Kim Zetter su Zero Day, un utente di nome Johannes dice di avere trovato l’impianto in un Ledger Nano X comprato in agosto in un negozio MediaMarkt in Germania, e in un secondo esemplare acquistato in un altro negozio della stessa catena. Johannes ha dichiarato di non avere subìto furti. La segnalazione risale a lui (foto su X e dichiarazioni a Zero Day) e non risulta verificata in modo indipendente. MediaMarkt, scrive Zetter, ha circa 1.000 negozi in dieci Paesi europei ed è indicata come rivenditore autorizzato di Ledger in Austria, Germania, Spagna e Turchia.
Per Decrypt, MediaMarkt Saturn ha smesso di vendere i dispositivi Ledger nei negozi e online, con il consenso di Ledger, dopo la segnalazione di un cliente in Germania; nessuna perdita di fondi è stata riportata. Ledger suggerisce, riferisce Zetter, che i rivenditori possano avere ricevuto prodotti da canali illegittimi o rimesso in vendita dispositivi resi dopo la manomissione.
Johannes ritiene invece che sia stata compromessa la catena di fornitura; un dipendente MediaMarkt gli avrebbe detto che i resi tornano a Ledger e non vengono rivenduti. Secondo Zero Day Ledger afferma di non avere indizi di compromissione di infrastrutture, sistemi o servizi; per Decrypt questo vale anche per il canale di vendita diretta.
| Elemento | Cosa risulta | Fonte |
|---|---|---|
| Furti sospetti (Specter) | oltre 86 milioni di dollari (non verificati da Ledger) | Decrypt |
| Stima alternativa | circa 102 milioni di dollari da circa 315 account legati ai Ledger CryptoBilis (Bitquery) | Zero Day |
| Mercati con vendite sospese | 7 (Indonesia, Singapore, Thailandia, Filippine, Vietnam, Malaysia, Hong Kong) | Decrypt |
| Rivenditore europeo | MediaMarkt Saturn ha sospeso le vendite di Ledger | Decrypt |
| Modelli Ledger citati | Nano X; segnalazioni anche su Flex e Stax (non tutte confermate) | Zero Day |
| Rivenditori Trezor | lista ridotta: dal 1° gennaio 2027 cessano le autorizzazioni di una parte dei venditori | Zero Day |
Trezor riduce i rivenditori, ma Zero Day riporta impianti nei suoi dispositivi
Secondo Decrypt, Trezor ha dichiarato martedì che dal 1° gennaio 2027 terminerà le autorizzazioni dei rivenditori, definendo la mossa una misura precauzionale, e che non ci sono prove di compromissione dei propri dispositivi. Zero Day precisa che Trezor riduce drasticamente la lista dei venditori approvati e che quelli che perdono l’autorizzazione potranno vendere le scorte già in magazzino ma non riceveranno nuovo inventario. Il direttore commerciale Danny Sanders ha scritto su X che non esiste «una sola prova» di dispositivi Trezor compromessi.
In un secondo articolo, Zero Day riferisce che l’hacker hardware Joe Grand ha trovato impianti in due dispositivi Trezor e li ha segnalati all’azienda in agosto: un Model T acquistato su Facebook Marketplace in Canada nel 2025 e un Trezor One acquistato in agosto su TikTok Shop. Entrambi provenivano da venditori non autorizzati ed entrambi sono modelli fuori produzione. Zetter sottolinea che il caso è diverso da quello di Ledger: qui i dispositivi non erano stati venduti da rivenditori autorizzati.
Il meccanismo è diverso. Secondo i rilievi di Grand e Karpelès riferiti da Zetter, nei Ledger l’impianto copia la seed phrase quando viene generata e la trasmette in seguito. Nei Trezor, secondo Grand, il microcontrollore è stato sostituito con un firmware che mostra una tra circa una dozzina di seed phrase prestabilite, note a chi l’ha programmato, e aggira i controlli di integrità facendoli eseguire prima su una copia del firmware originale.
Secondo Zetter, Trezor aveva risposto a Grand in agosto con interesse e in settembre gli aveva chiesto di essere avvisato prima di una pubblicazione: per questo Grand si è detto sorpreso dalla dichiarazione pubblica di martedì. Zetter ha chiesto un commento a Trezor e scrive che aggiornerà l’articolo.
Perché conta per chi custodisce bitcoin
Secondo Zero Day, Ledger e Trezor avvertono da anni di comprare i wallet solo dai propri siti o da rivenditori autorizzati, ma i casi di Malaysia e Germania indicano, secondo la giornalista, che gli aggressori possono ora colpire anche i canali autorizzati, sfruttando la fiducia dei clienti. Gli impianti, aggiunge Zetter, sono diventati più sofisticati: una versione trovata dal ricercatore Mark Karpelès ha una scheda flessibile su misura e un’antenna con un numero di parte stampato sopra, segno secondo lui di una produzione in serie.
Le fonti non dicono chi ci sia dietro gli impianti né quanti dispositivi siano stati venduti. Tra i fondi sottratti, scrive Zero Day, figurano bitcoin, ether e Tron. Zetter scrive che non ci sono prove di un coinvolgimento di persone legate a CryptoBilis; secondo Decrypt, Ledger sta ancora cercando di stabilire chi abbia manomesso i dispositivi e in quale punto della catena di distribuzione.
Cosa aspettarsi
Restano aperti tre punti: la conferma di Ledger su dispositivi comprati fuori dal Sud-Est asiatico, la risposta di Trezor all’articolo di Zero Day e l’esito dell’indagine sull’origine degli impianti. Ledger dice che il problema non riguarda solo la sua azienda ma l’intero settore, e chiede collaborazione agli altri operatori del settore. Per il quadro regolatorio dei wallet in self-custody si veda anche FinCEN ritira le regole su mixer e unhosted wallet.
Per seguire gli aggiornamenti sulla sicurezza dei portafogli e le notizie Bitcoin in tempo reale, scarica l’app BitcoinLive24.
Domande frequenti su Ledger, Trezor e impianti hardware
Che cos’è un impianto hardware in un wallet?
È un componente elettronico aggiunto di nascosto al dispositivo, oppure un chip sostituito con firmware modificato, come nei Trezor descritti da Zero Day. Nei Ledger registra la seed phrase mostrata sullo schermo durante la configurazione e la trasmette ai malintenzionati tramite modulo LTE.
Anche i wallet Trezor sono stati manomessi?
Trezor dice di non avere prove di dispositivi compromessi. Zero Day riferisce però che Joe Grand ha trovato impianti in due Trezor (un Model T e un One) comprati da venditori non autorizzati; non risultano rivenditori autorizzati coinvolti.
Dove conviene comprare un hardware wallet?
Ledger sta ancora verificando in quale punto della catena di distribuzione siano avvenute le manomissioni e dice di non avere indizi di compromissione del proprio canale diretto, mentre, come ricorda Zero Day, Ledger e Trezor raccomandano da anni i propri siti ufficiali o i rivenditori autorizzati, anche se i casi recenti coinvolgono anche questi ultimi.
