Ledger conferma: dispositivi venduti da un rivenditore asiatico avevano un chip che rubava la frase di recupero. Chi rischia, cosa fa MediaWorld in Italia e come proteggere le tue criptovalute.
Segui Money.it su Google Aggiungici alle fonti preferite per vedere più spesso le nostre notizie nei risultati di ricerca.
Un piccolo circuito nascosto sotto lo schermo, con un modem cellulare e una eSIM, capace di leggere le 24 parole della frase di recupero nel momento in cui il dispositivo le mostra e di inviarle a chi lo ha installato. È l’attacco che negli ultimi giorni ha colpito alcuni possessori di hardware wallet Ledger, i dispositivi fisici usati per custodire criptovalute fuori dagli exchange. Le perdite stimate da analisti indipendenti sono comprese fra 86 e 93 milioni di dollari.
Secondo Ledger, tutti i casi confermati riguardano dispositivi venduti da CryptoBilis, un rivenditore del Sud-Est asiatico attivo in Indonesia, Malesia e Filippine. La società afferma che i suoi sistemi e i suoi canali di vendita diretta non sono stati compromessi. In Europa, però, il caso ha già avuto conseguenze, con MediaMarkt che ha sospeso la vendita dei dispositivi Ledger e in Italia MediaWorld che ha ritirato due modelli. Ecco cosa si sa, come capire se il proprio dispositivo è a rischio e cosa fare.
Hardware wallet Ledger sotto attacco. Cosa è successo?
Le prime segnalazioni di portafogli svuotati sono arrivate da utenti del Sud-Est asiatico. Il 9 ottobre Ledger ha avviato un’indagine e chiesto a CryptoBilis di sospendere vendite e spedizioni. Il giorno successivo ha confermato che «uno dei dispositivi degli utenti coinvolti conteneva un impianto hardware non autorizzato». L’11 ottobre ha precisato che tutti i casi confermati fino a quel momento erano legati a CryptoBilis e che il numero di dispositivi interessati appariva limitato.
leggi anche
I migliori wallet per conservare le criptovalute
Il 13 ottobre Donjon, il team di sicurezza di Ledger, ha descritto il funzionamento dell’impianto: un microcontrollore inserito nell’involucro legge la frase di recupero quando il dispositivo la mostra durante la configurazione e la trasmette su rete mobile LTE tramite una eSIM. Secondo Ledger l’impianto non modifica il Secure Element, cioè il chip che custodisce le chiavi, né il sistema operativo, e non altera transazioni o firme. La società lo definisce un attacco fisico alla catena di distribuzione, non una violazione dei propri sistemi.
Bitquery, società di analisi on-chain, stima circa 93 milioni di dollari sottratti da oltre 300 portafogli, altre ricostruzioni parlano di più di 86 milioni. Ledger non ha confermato alcuna cifra, secondo la società i numeri che circolano provengono da terze parti e non sono stati verificati.
La frase di recupero è il vero bersaglio
Un hardware wallet tiene le chiavi private isolate da Internet. Durante la configurazione, però, genera e mostra sullo schermo la frase di recupero, le 24 parole che permettono di ricostruire il portafoglio su qualsiasi altro dispositivo. Chi ne entra in possesso non ha bisogno del wallet originale: può ripristinarlo altrove e spostare i fondi.
Il dispositivo manomesso funziona normalmente e secondo quanto riportato da BleepingComputer il controllo di autenticità di Ledger, il Genuine Check, non rileva componenti aggiunti se il chip di sicurezza originale è intatto. Mark Karpelès, ex amministratore delegato di Mt. Gox, che ha pubblicato immagini di un dispositivo manomesso, ha raccontato che la confezione era integra e sigillata. Secondo i ricercatori, l’unico modo affidabile per individuare l’impianto è aprire il dispositivo.
Il caso arriva in Europa: cosa si sa su MediaMarkt e MediaWorld
Il 12 ottobre un utente di X ha sostenuto di aver trovato componenti non autorizzati in due dispositivi Ledger acquistati in negozi MediaMarkt in Germania. Ledger ha dichiarato di aver avviato un’indagine su un caso segnalato da un utente tedesco, precisando che finora non risultano perdite di fondi e che il suo team analizzerà i dispositivi sospetti ricevuti.
Nel frattempo MediaMarktSaturn ha sospeso dal 13 ottobre la vendita dei dispositivi Ledger, nei negozi e online. In Italia il gruppo controlla MediaWorld, che secondo quanto riferito da un portavoce a Criptovaluta.it ha ritirato dalla vendita i modelli Nano S Plus e Nano X. Al momento non risultano casi di manomissione confermati in Italia. Il ritiro va letto quindi come una misura precauzionale.
Il tuo Ledger è a rischio?
Il criterio decisivo è il canale di acquisto.
Se hai comprato il dispositivo direttamente dal sito ufficiale di Ledger, al momento non ci sono indicazioni di rischio: la società afferma che i propri canali diretti non sono stati compromessi.
Se, invece, lo hai comprato da CryptoBilis, Ledger indica di trattarlo come compromesso. La società fa riferimento agli acquisti degli ultimi 90 giorni, ma secondo Bitquery oltre otto portafogli svuotati su dieci avevano ricevuto i primi fondi da giugno in poi: la finestra di rischio potrebbe quindi essere più ampia.
Se l’acquisto è stato fatto da MediaMarkt o MediaWorld, oggi non ci sono casi confermati. Chi ha dubbi può rivolgersi all’assistenza ufficiale di Ledger, come indicato dalla società stessa.
Infine, se lo hai comprato su marketplace, aste online, da venditori privati o di seconda mano, il rischio è più alto a prescindere da questo caso. Diversi dispositivi manomessi analizzati dai ricercatori erano stati acquistati su piattaforme online, alcuni a un prezzo vicino alla metà di quello di listino.
Cosa fare se hai dubbi sul tuo dispositivo
Se il dispositivo è ancora nella confezione, non avviare la configurazione. L’impianto entra in azione proprio quando lo schermo mostra la frase di recupero. Se lo hai già configurato, invece, la frase di recupero va considerata potenzialmente esposta. Ledger consiglia di acquistare un nuovo dispositivo direttamente dal sito ufficiale, generare su questo una nuova frase di recupero e trasferirvi i fondi. Cambiare il PIN non basta e non basta nemmeno ripristinare la vecchia frase su un nuovo dispositivo: chi l’ha intercettata può comunque usarla.
Se hai già subìto un furto, Ledger invita a contattare l’assistenza attraverso i canali ufficiali e a presentare denuncia alle autorità. La società raccomanda inoltre di non aprire il dispositivo prima di essersi coordinati con le forze dell’ordine, perché potrebbe servire come prova. In Italia il riferimento è la Polizia Postale.
Attenzione alle truffe che sfruttano l’allarme
Episodi come questo sono il terreno ideale per il phishing. Ledger ricorda che non telefona, non invia messaggi privati e non chiede mai la frase di recupero. Chiunque la chieda, presentandosi come assistenza, investigatore o servizio di recupero fondi, sta tentando una truffa. Le informazioni vanno cercate solo sui canali ufficiali della società.
Commenti
2Mamma mia, un chip spia in un portafoglio? Siamo davvero arrivati al punto che bisogna stare attenti anche a come si tengono le criptovalute! Sembra di essere in un film di spionaggio, ma invece di 007 abbiamo i ladri con l’elettronica più avanzata.
La verità è che, se non stiamo attenti, possiamo perdere più di un semplice investimento; ci andiamo a giocare la nostra sicurezza digitale! Questo è un bel campanello d’allarme, e sinceramente, chi di noi si fida ancora a pieno dei dispositivi? Dobbiamo sempre tenere alta la guardia!
Ma davvero ci si può fidare di questi aggeggi? Se il campo non aspetta i decreti, figuriamoci se possiamo aspettare di essere derubati mentre pensiamo di essere al sicuro!