Una falla fisica nei dispositivi hardware per criptovalute ha permesso il furto di 102 milioni di dollari in bitcoin da portafogli di utenti in più paesi. L’attacco è avvenuto sfruttando unità Ledger Nano X alterate, immesse sul mercato dopo la vendita di un negozio malese specializzato.
Alla periferia di Kuala Lumpur opera CryptoBilis, negozio fondato nel 2021 da Arravind Prabu e Vimal Selvamany. Nel marzo 2026 i due imprenditori hanno ceduto il 100% delle quote a un cittadino cinese, con un accordo di riservatezza che vietava annunci pubblici fino al 19 ottobre. Nei mesi successivi sono circolati dispositivi Ledger Nano X modificati.
I ledger hardware non contengono le monete digitali: conservano le chiavi segrete che autorizzano le transazioni sulla blockchain. Cruciale per il recupero dei fondi è la sequenza di 24 parole che funge da frase di recupero. Paolo Dal Checco, informatico forense, avverte che “le 24 parole mnemoniche, il cosiddetto ‘seed’ o seme, permettono a chiunque le possieda di accedere al wallet e svuotarlo completamente”.
Nei dispositivi manomessi è stata inserita una scheda elettronica collegata ai circuiti che pilotano lo schermo. La scheda registrava le 24 parole digitate dall’utente e le trasmetteva attraverso una SIM nascosta. I malintenzionati hanno così potuto disporre delle chiavi senza bisogno del PIN o di altre credenziali dell’utente, e agire anche molto tempo dopo la registrazione delle parole.
Gli svuotamenti si sono concentrati il 9 ottobre, eseguiti tutti nello stesso giorno per non allertare altre potenziali vittime. Dopo la segnalazione di un dispositivo manomesso in Germania, MediaMarkt Saturn — casa madre di MediaWorld — ha ritirato i prodotti Ledger dai propri negozi e siti.
L’ammontare complessivo del furto è stato quantificato in 102 milioni di dollari, sottratti a un numero di portafogli stimato tra 324 e 530. Il recupero integrale è ritenuto impossibile: oltre 80 milioni di dollari risultano già stati “ripuliti” tramite servizi ad hoc utilizzati dai pirati. Ledger, società francese produttrice dei dispositivi, non prevede rimborsi per le vittime del furto.
