Ledger ha sospeso le vendite tramite rivenditori in sette mercati asiatici, dopo aver confermato che i wallet hardware venduti da CryptoBilis erano stati modificati fisicamente per catturare le frasi di recupero di 24 parole dei clienti e trasmetterle a un soggetto non autorizzato.
Secondo un rapporto di BleepingComputer datato 14 ottobre 2026, Ledger ha avviato un'indagine il 9 ottobre, dopo le segnalazioni di perdite di criptovalute arrivate da più utenti. Il rapporto non fornisce cifre sulle perdite né il numero di clienti coinvolti.
Ledger ha dichiarato che ogni perdita confermata riguardava un dispositivo venduto da CryptoBilis, un rivenditore del Sud-est asiatico. Alcuni utenti hanno inoltre segnalato dispositivi sospetti provenienti da altri canali di vendita al dettaglio in Asia e in Europa, ma Ledger non ha confermato questi casi.
Un componente separato cattura la frase di recupero
Il team di sicurezza Donjon di Ledger ha scoperto che i wallet alterati contenevano un microcontrollore aggiuntivo. L'impianto rileva e decodifica la frase di recupero di 24 parole inserita durante la configurazione o il ripristino del wallet, poi la invia tramite una connessione LTE che usa una eSIM预configurata.
Secondo Donjon, il componente non modifica il Secure Element del wallet né il sistema operativo di Ledger. Anche l'elaborazione delle transazioni e delle firme resta invariata.
Questa progettazione ha una conseguenza difensiva importante: i controlli di integrità interni di Ledger non possono rilevare l'impianto, perché i componenti e il software di sicurezza legittimi restano intatti. Un dispositivo può quindi superare quei controlli mentre un componente aggiunto monitora la frase di recupero.
Secondo il rapporto, i risultati tecnici concordano in larga misura con le segnalazioni precedenti di Mark Karpelès e Tibane Labs.
Per chiunque sia confermato come utente di un'unità modificata, lo scopo documentato dell'impianto implica che la frase di recupero vada considerata esposta. Il rischio riguarda il controllo del wallet stesso: chi ottiene la frase può usarla per ripristinare il wallet su un altro dispositivo.
Vendite sospese in sette mercati
Ledger ha chiesto a rivenditori e distributori di interrompere la vendita dei propri wallet e di ritirare dagli scaffali i prodotti presenti in:
- Indonesia
- Singapore
- Tailandia
- Filippine
- Vietnam
- Malesia
- Hong Kong
La sospensione dovrebbe restare in vigore finché proseguiranno le indagini sulla sicurezza dei dispositivi. Il rapporto descrive l'azione sia come richiesta ai venditori sia come blocco più ampio che riguarda i distributori in quei mercati.
Ledger sostiene che la propria infrastruttura, i servizi, i sistemi interni e il canale di vendita diretta siano sicuri. Questa è la posizione dell'azienda; le manomissioni confermate finora riguardano i dispositivi distribuiti tramite CryptoBilis.
Parallelamente, alcuni utenti hanno riferito di aver acquistato wallet modificati da un rivenditore di tecnologia Metapod in un aeroporto di Singapore e tramite MediaMarkt in Europa. Ledger non ha confermato questi casi. MediaMarkt, che si rifornisce di dispositivi Ledger tramite Aqipa GmbH, ha rimosso il prodotto dagli scaffali dopo le segnalazioni.
Trezor riduce la rete di rivenditori in via precauzionale
Trezor ha dichiarato di non aver trovato prove che i propri wallet siano stati compromessi. L'azienda intende comunque ridurre la rete di rivenditori, introdurre un quadro giuridico aggiornato e rafforzare la supervisione su come i dispositivi vengono approvvigionati, conservati e gestiti.
Secondo una lettera inviata ai venditori interessati, le partnership con i rivenditori coinvolti termineranno il 1° gennaio 2027, data in cui sarà revocata l'autorizzazione a vendere dispositivi Trezor.
Per i clienti Ledger, il canale di acquisto è ora un elemento decisivo per valutare la propria esposizione. I dispositivi confermati come provenienti da CryptoBilis rientrano nell'incidente individuato, mentre le segnalazioni che riguardano altri venditori restano non confermate. Da sola, la verifica di integrità integrata di Ledger non può escludere l'impianto descritto da Donjon.
