Cosa è successo davvero?
Il produttore di portafogli hardware Ledger, secondo Kryptonovinky.cz e Kryptonovinky.sk, martedì ha pubblicato un'analisi dell'attacco ai propri dispositivi che sono arrivati ai clienti tramite il rivenditore CryptoBilis. Secondo il team di sicurezza di Ledger, chiamato Donjon (come citano le sue conclusioni entrambe le Kryptonovinky), nell'involucro del dispositivo era nascosto un impianto fisico, cioè un piccolo chip con un microcontrollore. Questo doveva monitorare ciò che veniva visualizzato sul display del portafoglio. Nel momento in cui durante la configurazione iniziale compariva la frase di recupero, l'impianto doveva catturarla e inviarla altrove attraverso la rete mobile.
Una precisazione importante sulle fonti: l'analisi primaria di Ledger e del team Donjon non è stata letta dalla redazione di charliedesk da una fonte diretta di Ledger, ma è nota in modo indiretto attraverso il reportage di Kryptonovinky. La descrizione dell'attacco la riportiamo quindi come ciò che, secondo Ledger, ha scoperto Donjon, non come un risultato tecnico verificato in modo indipendente.
La frase di recupero (in inglese seed phrase, tipicamente 24 parole) è la chiave principale dell'intero portafoglio. Chi la possiede controlla i fondi. Proprio per questo è così delicata: l'attacco descritto non prende di mira il software né la crittografia, ma il percorso fisico del dispositivo dalla produzione al cliente, cioè la cosiddetta catena di approvvigionamento.
Perché è un problema della catena di approvvigionamento e non (solo) di un produttore?
L'elemento essenziale è il punto da cui il componente dannoso è entrato nel dispositivo. Secondo la descrizione non si trattava di un difetto nella progettazione del portafoglio, ma di una manipolazione della merce ancora prima che il cliente la ricevesse in mano. Questo cambia il punto di vista: il punto debole non è necessariamente il prodotto stesso, ma la distribuzione (rivenditori, riconfezionamento, stoccaggio intermedio).
Proprio questa dimensione spiega perché alla scoperta reagisca anche la concorrenza. Secondo CryptoSlate e Cointelegraph, il direttore commerciale (CCO) di Trezor Danny Sanders ha inviato una lettera datata 13 ottobre, nella quale ha comunicato a partner selezionati che dal 1 gennaio 2027 perderanno lo status di rivenditore autorizzato. Trezor, secondo CryptoSlate, lo inquadra come un inasprimento della supervisione sulla propria catena di approvvigionamento e come un passo preventivo.
Cosa cambia esattamente Trezor?
| Cosa | Dettaglio | Fonte |
|---|---|---|
| Forma della decisione | Lettera del CCO Danny Sanders del 13 ottobre | CryptoSlate, Cointelegraph |
| Chi riguarda | Rivenditori autorizzati selezionati (non tutti) | CryptoSlate, Cointelegraph |
| Da quando | Revoca dell'autorizzazione dal 1 gennaio 2027 | CryptoSlate |
| Motivo | Inasprimento del controllo della catena di approvvigionamento, prevenzione | CryptoSlate |
Secondo CryptoSlate, Trezor ha dichiarato di non aver trovato prove di manipolazione nei propri dispositivi. Si tratta quindi di una restrizione preventiva della cerchia dei rivenditori, non di una reazione a un impianto trovato nei propri prodotti.
E quei posti scomparsi dall'offerta?
Le Kryptonovinky ceche e slovacche riferiscono allo stesso modo che i portafogli Ledger stanno sparendo da parte della vendita; la versione slovacca menziona concretamente i negozi MediaMarkt. L'entità di questo ritiro, se si tratti di una misura temporanea o di una decisione generalizzata e quali mercati riguardi esattamente, non emerge chiaramente dalle fonti disponibili. Questo per ora lo collochiamo tra gli elementi non verificati.
Cosa ne consegue per l'utente comune?
Questa non è una guida su cosa fare con i soldi, ma una descrizione di dove, in questo tipo di incidente, risieda il rischio. In un attacco alla catena di approvvigionamento è decisiva l'origine del dispositivo e il modo in cui la frase di recupero viene generata e visualizzata. In generale vale che i produttori di portafogli hardware, per situazioni simili, rimandano all'acquisto da canali ufficiali e alla verifica dell'autenticità del dispositivo. Le procedure concrete variano a seconda del produttore e non sono oggetto di queste quattro fonti, perciò non le riportiamo qui come un fatto.
Cosa seguire (per poterlo poi verificare)
- Se Ledger pubblicherà l'entità dei pezzi colpiti venduti tramite CryptoBilis e quanti fondi (se mai) sono stati rubati. Per ora sconosciuto.
- Come esattamente Trezor attuerà la restrizione dei rivenditori e quali partner riguarderà. Per ora è stato reso pubblico solo il principio e la data.
- Se e su quali mercati Ledger tornerà davvero nell'offerta fisica e online, incluse catene come MediaMarkt.
Charliedesk segue questo caso come una storia sulla distribuzione, non sul fallimento della crittografia. Non appena arriveranno numeri verificati, li aggiungeremo e ci lasceremo controllare su di essi.