Il bottino avrebbe dovuto perdersi nei mixer. Eppure resta visibile, passo dopo passo, sulle blockchain pubbliche. Da diversi giorni, alcuni investigatori seguono i fondi sottratti a clienti di Ledger i cui portafogli hardware erano stati acquistati presso uno stesso rivenditore. La vicenda si inserisce in un 2026 già pesante per il settore crypto.
Ciò che è accertato e ciò che è stimato
I fatti confermati da Ledger sono limitati. Il produttore ha riconosciuto la presenza di un impianto hardware non autorizzato in almeno un dispositivo interessato. Secondo il Journal du Coin, questa conferma risale al 10 ottobre; Ledger ha poi fatto il punto in un comunicato pubblicato domenica 11 ottobre su X. Tutti i casi confermati riguardano dispositivi venduti da CryptoBilis, un rivenditore attivo in Indonesia, Malaysia e nelle Filippine, elencato come autorizzato sul sito di Ledger. Il produttore assicura che i propri sistemi e i propri canali di vendita diretta non sono stati toccati, senza dire come i dispositivi siano stati modificati.
Gli importi, invece, sono stime basate sui dati pubblici on-chain: Ledger non ha confermato alcun totale. Bitquery parla di 93,2 milioni di dollari sottratti da 315 portafogli su sei blockchain. La piattaforma investigativa YFarmX indica circa 103,4 milioni di dollari su 530 indirizzi e sette blockchain, di cui tre quarti in USDT su Tron. Altre stime citate vanno da 86 a 93 milioni.
Come circola il bottino
Primo anello, l’emittente di stablecoin. Tether ha inserito nella lista nera 37 indirizzi legati al furto già il 9 ottobre, bloccando circa 10 milioni di USDT. Questo potere di congelamento non esiste per il bitcoin o l’ether. L’hacker aveva previsto la mossa: già la mattina del furto ha convertito USDT in USDD, lo stablecoin di Tron, tramite un modulo che la lista nera di Tether non tocca, per poi scambiare il tutto contro ether su THORChain, una piattaforma di scambio tra blockchain.
Secondo anello, il mixer. YFarmX ha contato sette ondate di depositi su Tornado Cash, un servizio che spezza il legame visibile tra il portafoglio che deposita e quello che preleva. I fondi transitano attraverso pool da 100, 10 e 1 ETH, per poi riemergere entro un’ora verso portafogli nuovi.
Terzo anello, Zcash. Nei suoi pool «schermati», mittente, importo e destinatario delle transazioni sono mascherati. YFarmX afferma tuttavia di aver ricollegato 108 prelievi su 108 al rispettivo lotto d’origine, «fino all’ultimo zatoshi», analizzando la costruzione, l’autore e la marcatura temporale delle transazioni di prelievo. Si tratta di una dichiarazione della piattaforma, non di una verifica indipendente. I fondi riemersi finanziano poi vendite di ZEC contro USDC, versati su due portafogli che detenevano 1,79 milioni di USDC non spesi al momento dell’indagine, una parte che Circle, l’emittente dell’USDC, potrebbe ancora congelare. La quota maggiore del bottino resta tuttavia in ether, che nessun emittente può congelare.
Un anno già pesante
Secondo il cruscotto di CertiK, aggiornato al 12 ottobre, gli hacker hanno sottratto al settore crypto 2,81 miliardi di dollari da gennaio, in 693 incidenti. Dopo 452,4 milioni congelati o restituiti, la perdita netta si attesta a 2,35 miliardi. Ottobre conta già 116,1 milioni di dollari in 26 incidenti, in gran parte provenienti dai dispositivi Ledger manomessi.
Il caso Ledger si distingue per il modus operandi. Durante la campagna di phishing di aprile, una falsa applicazione Ledger Live era costata 9,5 milioni di dollari a utenti che vi avevano inserito la propria frase di recupero. Questa volta l’aggressore disponeva delle chiavi stesse: le vittime non hanno commesso alcun errore, è la catena di approvvigionamento a essere stata compromessa.
Cosa significa per i detentori in Svizzera
I casi confermati riguardano un rivenditore del Sud-est asiatico, e nulla nelle informazioni disponibili indica che siano coinvolti dispositivi venduti in Svizzera. La vicenda ricorda tuttavia che un portafoglio hardware è affidabile solo se lo è la sua provenienza.
Le istruzioni di Ledger sono precise. Non inizializzare un dispositivo acquistato presso questo rivenditore negli ultimi 90 giorni. Se è già configurato, trasferire i fondi verso una nuova frase di recupero, su un dispositivo acquistato direttamente dal produttore. E tenere a mente che nessun dipendente di Ledger chiederà mai le 24 parole.
Al di là di questo caso, alcuni principi di prudenza valgono per ogni detentore, in Svizzera come altrove: acquistare il dispositivo direttamente dal produttore anziché tramite un intermediario, esaminare il dispositivo e la sua confezione al momento della ricezione, e considerare con diffidenza qualsiasi frase di recupero che non sia generata dal dispositivo stesso durante l’inizializzazione.
Resta una questione aperta: chi sosterrà le perdite. Non è accertato che Ledger indennizzi le vittime, né che i congelamenti ottenuti porteranno a restituzioni.
