Aggiungi La Voce di Venezia come fonte preferita su Google
Una falla fisica nei dispositivi hardware per criptovalute ha permesso il furto di 102 milioni di dollari in bitcoin da portafogli di utenti in più paesi. L’attacco è avvenuto sfruttando unità Ledger Nano X alterate, immesse sul mercato dopo la vendita di un negozio malese specializzato.
Alla periferia di Kuala Lumpur opera CryptoBilis, negozio fondato nel 2021 da Arravind Prabu e Vimal Selvamany. Nel marzo 2026 i due imprenditori hanno ceduto il 100% delle quote a un cittadino cinese, con un accordo di riservatezza che vietava annunci pubblici fino al 19 ottobre. Nei mesi successivi sono circolati dispositivi Ledger Nano X modificati.
I ledger hardware non contengono le monete digitali: conservano le chiavi segrete che autorizzano le transazioni sulla blockchain. Cruciale per il recupero dei fondi è la sequenza di 24 parole che funge da frase di recupero. Paolo Dal Checco, informatico forense, avverte che “le 24 parole mnemoniche, il cosiddetto ‘seed’ o seme, permettono a chiunque le possieda di accedere al wallet e svuotarlo completamente”.
Nei dispositivi manomessi è stata inserita una scheda elettronica collegata ai circuiti che pilotano lo schermo. La scheda registrava le 24 parole digitate dall’utente e le trasmetteva attraverso una SIM nascosta. I malintenzionati hanno così potuto disporre delle chiavi senza bisogno del PIN o di altre credenziali dell’utente, e agire anche molto tempo dopo la registrazione delle parole.
Gli svuotamenti si sono concentrati il 9 ottobre, eseguiti tutti nello stesso giorno per non allertare altre potenziali vittime. Dopo la segnalazione di un dispositivo manomesso in Germania, MediaMarkt Saturn — casa madre di MediaWorld — ha ritirato i prodotti Ledger dai propri negozi e siti.
L’ammontare complessivo del furto è stato quantificato in 102 milioni di dollari, sottratti a un numero di portafogli stimato tra 324 e 530. Il recupero integrale è ritenuto impossibile: oltre 80 milioni di dollari risultano già stati “ripuliti” tramite servizi ad hoc utilizzati dai pirati. Ledger, società francese produttrice dei dispositivi, non prevede rimborsi per le vittime del furto.
