Rapportate perdite nell’incidente Ledger CryptoBilis hanno raggiunto una stima di $93,2 milioni distribuiti su 315 wallet su sei blockchain diverse, dopo drain coordinati avvenuti il 9 ottobre 2026, mentre Ledger ha confermato l’inserimento non autorizzato di un hardware in uno dei dispositivi colpiti. Ledger non ha ancora fornito una cifra precisa delle perdite, l’identità dell’attaccante, il modello del dispositivo compromesso, o se il meccanismo di impianto identificato nella ricerca pubblica spieghi tutte le fette di furto riportate.
Principale elemento chiave: L’incidente Ledger CryptoBilis è da interpretare come un attacco alla supply-chain di hardware-wallet, indirizzato alla catena di ripristino delle frasi di recupero, e non come una compromissione confermata del firmware Ledger, dell’elemento sicuro o dell’infrastruttura Ledger stessa.
Cosa è successo durante il drain dei wallet Ledger CryptoBilis?
Il drain dei wallet Ledger CryptoBilis è stato un furto multi-chain coordinato che ha avuto inizio intorno alle 05:07 UTC del 9 ottobre 2026, interessando utenti che avevano acquistato dispositivi Ledger tramite CryptoBilis in Malesia, Indonesia e Filippine. L’analisi blockchain stima che 315 wallet abbiano perso circa 93,2 milioni di dollari tra Bitcoin, Ethereum, TRON, BNB Chain, Polygon e Solana, anche se Ledger non ha ancora validato questa stima.
Il timing è importante perché la sequenza on-chain indica un accesso sincronizzato piuttosto che errori isolati da parte degli utenti. Intorno alle 05:00 UTC, 30 wallet TRON avevano ricevuto la stessa nuova chiave aggiunta ai permessi dell’account. Alle 05:07:48 UTC, 13 wallet TRON hanno firmato la stessa approvazione, seguiti da altri 12 wallet in pochi secondi. Le approvazioni iniziali su TRON hanno permesso di rimuovere circa 29 milioni di dollari.
Successivamente sono iniziati i drain su BNB Chain, Polygon e Ethereum tra le 05:07 e le 05:09 UTC. Alle 05:54 UTC, 111 wallet Bitcoin sono stati svuotati in un singolo blocco, eliminando circa 203 BTC. La sequenza si presenta coerente con un attore che controlla credenziali capaci di autorizzare attività su molti wallet quasi contemporaneamente.
Le indagini hanno pubblicamente segnalato gli indirizzi di drain intorno alle 12:00 UTC del 9 ottobre. Ledger ha rilasciato la prima dichiarazione alle 13:32 UTC, dichiarando di aver avviato un’indagine sui report collegati a CryptoBilis e invitando il rivenditore a sospendere le vendite. Il 10 ottobre, CryptoBilis ha sospeso le vendite e le spedizioni di tutti i brand di hardware-wallet e ha chiuso temporaneamente i negozi fisici come misura precauzionale.
Ledger ha confermato il 10 ottobre che uno dei dispositivi colpiti conteneva un impianto hardware non autorizzato. Entro l’11 ottobre, Ledger ha affermato che i casi confermati erano legati ai dispositivi CryptoBilis, che il volume di dispositivi coinvolti era limitato e che stava collaborando con le autorità competenti. Ledger ha anche dichiarato di non avere indicazioni che la propria infrastruttura, sistemi, servizi o canali di vendita diretta siano stati compromessi.
| Data e ora | Evento dell’incidente Ledger CryptoBilis | Dettaglio concreto riportato |
|---|---|---|
| 25 settembre 2026 | Indirizzi controllati dall’attaccante ricevono i primi fondi | Analisi blockchain identifica la prima attività di finanziamento |
| 26 settembre - 7 ottobre 2026 | Test su TRON ed Ethereum | 21 transazioni di test TRON e 20 Ethereum |
| 9 ottobre 2026, circa 05:00 UTC | Cambiamenti ai permessi TRON | 30 wallet vittima ricevono la stessa nuova chiave |
| 9 ottobre 2026, 05:07 UTC | Inizio del drain di massa | 25 wallet TRON firmano la stessa approvazione in pochi secondi |
| 9 ottobre 2026, 05:54 UTC | Svuta di wallet Bitcoin | 111 wallet Bitcoin svuotati in un blocco, circa 203 BTC |
| 9 ottobre 2026, 13:32 UTC | Primo comunicato pubblico Ledger | Ledger dichiara di aver avviato indagine sui report collegati a CryptoBilis |
| 10 ottobre 2026, 17:09 UTC | Ledger conferma evidenza di manomissione hardware | Un dispositivo interessato contiene un impianto hardware non autorizzato |
| 11 ottobre 2026, 07:00 UTC | La stima pubblica viene rivista | Circa $93,2 milioni da 315 wallet su sei blockchain |
| 11 ottobre 2026, 17:13 UTC | Update di 72 ore da Ledger | Ledger indica che il volume di dispositivi coinvolti è limitato |
La concentrazione delle perdite risulta anch’essa non uniforme. Dall’analisi dettagliata pubblica, 131 wallet TRON rappresentano circa $70,5 milioni, comprendendo circa 70.2 milioni USDT e alcuni TRX. Bitcoin copre 122 wallet e 203,8 BTC, valutati circa $16,8 milioni. Ethereum, BNB Chain, Polygon e Solana costituiscono le altre perdite identificate.
Nel lavoro di sicurezza degli smart-contract e infrastrutture di Soken, approvazioni sincronizzate e alterazioni di credenziali tra wallet non correlati sono un segnale forte di risposta agli incidenti: i risponditori dovrebbero innanzitutto identificare i confini di fiducia condivisi, anziché considerare ogni wallet coinvolto come una compromissione separata.
Perché le evidenze indicano un attacco alla supply-chain hardware?
Le evidenze disponibili puntano a un attacco alla supply-chain hardware perché Ledger ha confermato l’inserimento non autorizzato di un impianto hardware in uno dei dispositivi colpiti, mentre afferma che i propri sistemi e canali di vendita diretti non sono stati influenzati. Il metodo proposto per l’impianto consiste nel catturare le parole di recupero quando vengono visualizzate sullo schermo del dispositivo, bypassando così la necessità di violare l’elemento sicuro o modificare il firmware Ledger.
La ricerca hardware pubblica ha descritto dispositivi contenenti una scheda aggiuntiva nascosta sotto l’area dello schermo. Una ipotesi pubblicamente discussa utilizza un modulo cellulare LTE, eSIM di dati e un microcontrollore collegato al bus dati del display. Secondo questa ipotesi, l’impianto aspetta che venga configurato il dispositivo, riconosce la frase di recupero in chiaro sullo schermo, e la esfiltra tramite connessione mobile.
Ledger non ha confermato tale meccanismo, né il modello di dispositivo esaminato, e non ha specificato quanti dispositivi siano stati realmente interessati. Il meccanismo dovrebbe quindi essere considerato come una possibile spiegazione tecnica supportata da ricerche esterne, e non come un resoconto confermato di ogni furto Ledger CryptoBilis.
La distinzione fondamentale è che un elemento sicuro protegge le operazioni con le chiavi private all’interno del dispositivo. Un impianto di lettura dello schermo non ha bisogno di estrarre la chiave privata dall’elemento sicuro se può catturare la frase di recupero mentre l’utente inizializza il wallet. Una volta che un attacker ottiene la frase di recupero, può ricreare l’accesso al wallet altrove e firmare transazioni senza bisogno di un accesso fisico continuo al dispositivo originale.
Ciò spiega perché le analisi pubbliche abbiano mostrato cambi di chiave coordinati, approvazioni di token e drain su più blockchain. I record blockchain possono dimostrare che lo stesso attore ha controllato i wallet interessati, ma la blockchain stessa non può rivelare come siano state ottenute le frasi di recupero o le credenziali di firma.
L’incidente Ledger CryptoBilis si differenzia inoltre da una truffa con wallet pre-seedato. Ledger ha affermato che i dispositivi genuini non arrivano mai con una frase di recupero o PIN già impostati. Nessun rapporto pubblico di questo incidente suggerisce che i dispositivi contengano seed stampati, cartelletta di recupero o credenziali pre-configurate. Il rischio qui descritto riguarda l’esposizione di una frase appena generata nel momento esatto in cui l’utente si aspetta che il processo di setup sia privato.
Per le organizzazioni che gestiscono asset di tesoreria, questa distinzione dovrebbe guidare revisioni di sicurezza tecnica. Una revisione limitata al codice del contratto o al firmware del dispositivo non potrà identificare ogni esposizione creata dall’acquisto, dall’inizializzazione, dalla manipolazione fisica e dalle procedure di ripristino della seed.
Perché Ledger Genuine Check non ha rilevato l’impianto presunto?
Ledger Genuine Check non è stato progettato per rilevare un impianto che preserva l’elemento sicuro originale, poiché verifica un’attestazione crittografica piuttosto che la completa storia fisica della supply-chain del dispositivo. Il modello di minaccia di Ledger afferma che Genuine Check non può individuare modifiche fisiche non autorizzate quando l’elemento sicuro originale resta intatto.
Il processo Genuine Check funziona tramite un sistema di sfida e risposta. L’elemento sicuro Ledger dimostra la sua autenticità creando una firma crittografica corretta per una sfida. Questo metodo garantisce l’autenticità dell’elemento sicuro, molto utile contro dispositivi contraffatti che sostituiscono componenti chiave di fiducia.
Un impianto fisico può sfuggire a questa verifica, se aggiunge circuiteria senza sostituire l’elemento sicuro autentico. In tal caso, l’elemento sicuro può comunque rispondere correttamente alla sfida di attestazione. Il dispositivo potrebbe quindi superare il Genuine Check anche se un componente aggiuntivo ha intercettato lo schermo o interagito con comunicazioni esterne.
Questo non costituisce una prova di fallimento del Genuine Check per la sua funzione crittografica prevista. Attesta invece che l’autenticità del dispositivo e l’integrità della supply-chain sono due proprietà di sicurezza distinte.
| Domanda sulla sicurezza | Ledger Genuine Check | Controllo della supply-chain richiesto per lo scenario Ledger CryptoBilis |
|---|---|---|
| L’elemento sicuro è autentico? | L’elemento sicuro firma una sfida di attestazione | Verificare origine autorizzata e custodia prima dell’inizializzazione |
| Il dispositivo può dimostrare la propria storia fisica? | No, Ledger afferma che Genuine Check non può verificare la storia della supply-chain fisica | Mantenere rintracciabilità di rivenditori, distributori, magazzini e processi di reso |
| Può essere identificato un impianto di osservazione dello schermo aggiunto? | No, se l’elemento sicuro rimane intatto | Utilizzare ispezioni anti-manomissione e procedure di configurazione controllate |
| La procedura protegge la frase di recupero di 24 parole durante il setup? | Non da sola | Generare e registrare la frase solo in un ambiente fisico affidabile |
| La procedura conferma che i sistemi Ledger sono stati compromessi? | No | Ledger ha dichiarato di non avere alcuna indicazione di compromissione della propria infrastruttura o dei canali di vendita diretta |
Il pattern di attacco rafforza un principio di sicurezza più ampio: la crittografia può essere solida, mentre il percorso intorno alla crittografia può essere compromesso. La frase di recupero viene mostrata deliberatamente in chiaro per consentire all’utente di salvarla. Quel momento di usabilità indispensabile diventa una superficie di attacco critica se un componente malevolo può osservare il display.
Le équipe dovrebbero quindi evitare di considerare la verifica hardware-wallet come un processo in un solo passaggio. Un processo robusto combina controlli di autenticità del dispositivo, acquisti tracciati, ricezione anti-manomissione, inizializzazione controllata, revisione indipendente delle transazioni e procedure di migrazione definite per esposizioni sospette.
I servizi di sicurezza di Soken possono aiutare le squadre a mappare questi controlli su distribuzione dei wallet, accesso operativo, permessi smart-contract e workflow di risposta agli incidenti. La domanda rilevante non è soltanto se un firmatario è genuino, ma se tutte le fasi che gestiscono la frase di recupero e l’autorizzazione alle transazioni sono affidabili.
Cosa dovrebbero fare ora gli utenti e le organizzazioni interessate dal Ledger CryptoBilis?
Gli utenti Ledger CryptoBilis coinvolti non dovrebbero inizializzare dispositivi inutilizzati acquistati tramite CryptoBilis e dovrebbero trasferire gli asset da qualsiasi dispositivo CryptoBilis già inizializzato a un nuovo Ledger con una nuova seed. Riutilizzare la vecchia frase di recupero su un dispositivo di ricambio conserverebbe l’esposizione sospetta e non costituirebbe una migrazione sicura.
Le linee guida di Ledger inizialmente riguardavano gli utenti che avevano acquistato da CryptoBilis entro i 90 giorni precedenti, poi sono state estese per consigliare di evitare di inizializzare dispositivi CryptoBilis inutilizzati senza un limite temporale specifico. Ledger ha inoltre indicato agli utenti di contattare i canali di supporto ufficiali e di presentare eventuali reclami alle autorità locali, se opportuno.
Una migrazione dovrebbe essere trattata come un’operazione di sicurezza controllata, e non come un semplice trasferimento tra interfacce wallet:
- Interrompi l’uso del dispositivo sospetto. Non inizializzare un Ledger collegato a CryptoBilis inutilizzato, né usarne uno già configurato per creare nuove strutture di wallet a lungo termine.
- Crea una frase di recupero veramente nuova. Il nuovo signer deve generare una seed di nuova creazione. Importare una vecchia frase di recupero su un altro wallet mantiene il rischio che la frase originale sia stata divulgata.
- Trasferisci gli asset verso indirizzi derivati dalla nuova seed. Conferma l’indirizzo di destinazione tramite il display affidabile del nuovo signer e verifica attentamente ogni transazione.
- Revisione delle autorizzazioni delegate. Su TRON, Ethereum, BNB Chain, Polygon, Solana e altre reti interessate, esamina approvazioni, permessi sull’account e autorità di firma delegata associati al vecchio wallet.
- Attendi possibili tentativi di social engineering secondari. Ledger ha dichiarato che non chiamerà mai, invierà messaggi diretti o richiederà la frase di recupero di 24 parole. Durante le migrazioni si possono ricevere pagine di phishing, contatti falsi di supporto o applicazioni wallet fraudolente.
- Preserva le prove. Conserva ricevute di acquisto, imballaggi, ricevute, comunicazioni e documenti registrati relativi ai wallet. Non smontare un dispositivo se potrebbe compromettere prove utili a investigatori o autorità.
Il movimento post-drain dei fondi dimostra perché la risposta tempestiva è fondamentale. Analisi blockchain pubblica evidenzia che l’attaccante ha trasferito 20 milioni di USDT in 40 pezzi uguali, scambiato quell’importo per circa 7.994 ETH e convertito circa 14,9 milioni di USDT in USDD. Altre rotte riportate includono Relay.link, Chainflip, HiFiSwap, NEAR Intents, e circa 2.990 ETH sono transitati attraverso Tornado Cash.
Tether ha congelato circa $10.0 milioni di USDT su 20 wallet collegati all’attaccante il 9 ottobre. Nessun fondo è stato restituito alle vittime e nessuna compensazione è stata annunciata fino al 12 ottobre. Il recupero degli asset dipende dalla rapidità d’azione, dalla qualità delle evidenze, dalla coordinazione legale e dai percorsi scelti dall’attaccante tra chain e servizi. Le organizzazioni coinvolte in perdite multi-giurisdizionali di wallet potrebbero anche aver bisogno di supporto legale e di conformità insieme a una efficace limitazione tecnica.
Cosa cambia l’incidente Ledger CryptoBilis per la sicurezza degli hardware-wallet?
L’incidente Ledger CryptoBilis dimostra che la sicurezza degli hardware-wallet deve includere il percorso di fiducia dall’acquisto presso il rivenditore fino all’inizializzazione della frase di recupero, perché una crittografia solida di base non protegge una frase osservata prima che diventi un segreto. La conferma di un impianto hardware in un dispositivo rende la gestione delle controlli fisici della supply-chain una necessità pratica di sicurezza, e non un semplice dubbio teorico.
L’evento non dovrebbe essere considerato come un zero-day confermato su Ledger. Ledger ha riferito che la propria infrastruttura e i canali di vendita diretta sono rimasti immuni, e nessuna fonte pubblica afferma che l’elemento sicuro Ledger o il firmware siano stati compromessi. Allo stesso modo, nessun attaccante o gruppo è stato fino ad ora attribuito con credibilità, e le affermazioni sui social media di un coinvolgimento di stato restano mere speculazioni.
L’incidente non dovrebbe inoltre essere generalizzato come una falla universale di ogni dispositivo Ledger, rivenditore o hardware-wallet. Ledger ha dichiarato che tutti i casi confermati riguardano dispositivi CryptoBilis e che non ci sono segnalazioni relative a dispositivi acquistati direttamente da Ledger. La risposta più adeguata consiste in una riduzione del rischio mirata, fondata sulle evidenze di acquisto e setup.
Un confronto utile è quello tra l’incidente Ledger CryptoBilis e altre modalità di fallimento degli hardware-wallet. Nell’incidente di Coldcard di luglio 2026, il firmware vecchio avrebbe generato seed con una casualità debole. Nel caso Ledger CryptoBilis, la preoccupazione riguarda l’osservazione fisica di una seed generata correttamente. In uno scenario di dispositivo contraffatto, tutto il sistema hardware può essere fraudolento. Ogni caso attacca un segmento diverso del percorso di fiducia.
Per un’ulteriore analisi di contesto, i lettori possono consultare il hub di ricerca sulla sicurezza, in particolare quando si sviluppano policy di wallet connesse a controlli tecnici e decisioni operative.
Considerate l’incidente Ledger CryptoBilis come un test di sicurezza della supply-chain: identificare ogni hardware-wallet acquistato tramite CryptoBilis, fermare la configurazione di unità inutilizzate e migrare ogni dispositivo già inizializzato a una seed nuova generata ex novo. Quel passo concreto di inventario e migrazione affronta più direttamente il percorso di rischio verificato rispetto al solo affidarsi a un controllo Genuine Check.