Il caso dei Ledger manomessi venduti nel Sud-est asiatico ha ora un seguito via e-mail. Secondo Journal du Coin, una campagna di phishing spinge gli utenti preoccupati verso un falso «aggiornamento del firmware». La pagina imita il controllo di autenticità di Ledger, poi chiede la frase di recupero. L’allerta arriva da SlowMist, la società di sicurezza che aveva confermato lo schema dei primi impianti. Il messaggio da ricordare è semplice: nulla si aggiorna da un sito web.

Lo scenario del falso aggiornamento Ledger

L’e-mail è firmata «The Ledger Team». Annuncia una correzione del firmware contro «minacce spyware» individuate in Malesia e cita cinque dispositivi interessati: Nano S Plus, Nano X, Flex, Stax e Nano Gen5. Il pulsante «Update Now» porta a una pagina che riproduce il «Genuine check» che Ledger effettua nella sua applicazione. L’utente sceglie il proprio modello, poi gli vengono chieste le sue 24 parole per «ripristinare» o «sincronizzare» il dispositivo.

A quel punto, la partita è persa. Come ricorda Journal du Coin, chi possiede la frase di recupero può ricreare il wallet su qualsiasi dispositivo e svuotarlo senza mai toccare il Ledger. L’impianto hardware scoperto la settimana scorsa mirava esattamente a questo risultato: leggeva le 24 parole sullo schermo durante la configurazione. Il phishing ottiene la stessa cosa senza chip, puntando sulla paura. I domini usati dai truffatori non erano stati resi pubblici al momento dell’allerta.

Un caso già pesante

Il contesto spiega l’efficacia della trappola. Dal 9 ottobre, centinaia di possessori di Ledger acquistati da CryptoBilis, rivenditore autorizzato in Indonesia, Malesia e Filippine, hanno visto sparire le loro criptovalute. Bitquery conta 102 milioni di dollari sottratti su 324 wallet e sei blockchain, una cifra verificata al 15 ottobre che Ledger non ha né confermato né contestato. Chainalysis ha persino rilevato che una delle vittime più colpite era a sua volta un truffatore, alleggerito di oltre 60 bitcoin, ossia circa 4,8 milioni di dollari.

Ledger parla di un «gruppo criminale molto organizzato» che ha aperto dispositivi autentici per innestarvi dei componenti, prima di rimetterli in circolazione tramite rivenditori del Sud-est asiatico. Il produttore sottolinea che il chip, il sistema operativo e i server sono rimasti intatti: «è stato un attacco localizzato sulla distribuzione», scrive l’azienda.

Perché una frase di recupero non si inserisce mai online

Le indicazioni di Ledger, riprese da Journal du Coin, si riassumono in poche regole. Un aggiornamento del firmware si fa unicamente nell’applicazione Ledger Wallet (l’ex Ledger Live), e ogni passaggio si conferma sullo schermo del dispositivo. Ledger non invia alcuna e-mail che chieda un aggiornamento. Le 24 parole si inseriscono solo sul dispositivo stesso, mai su un computer, un telefono o una pagina web, e l’assistenza non le chiede mai.

Ledger non contatta nessuno via SMS, WhatsApp, Telegram, telefonata o posta. Gli unici domini legittimi sono ledger.com, ledger.fr, ledgerwallet.com e ledger.zendesk.com: attenzione alle varianti come «legder» o «leqder». Non bisogna mai convalidare sul dispositivo una transazione di cui non si è l’autore. Infine, un Ledger non può essere disattivato a distanza, per cui qualsiasi minaccia di blocco «per mancata verifica» è una truffa. SlowMist riassume la contromisura: non cliccare mai su un link per aggiornare, non inserire mai la propria frase di recupero da nessuna parte.

Verificare il proprio dispositivo e acquistarlo tramite un canale ufficiale

L’autenticità di un dispositivo si controlla nell’applicazione ufficiale, non su una pagina ricevuta via e-mail. Ledger raccomanda di scaricare Ledger Wallet unicamente da shop.ledger.com e di ignorare i messaggi privati sui social network. I falsi account si segnalano a @ledgerprotect su X.

Per l’acquisto, meglio passare da un canale ufficiale. Secondo Ledger, i controlli effettuati nei negozi e nei magazzini in Europa non hanno trovato alcuna unità modificata. Il produttore ha sospeso le vendite presso i suoi rivenditori autorizzati del Sud-est asiatico e di Hong Kong, vietato la rivendita di dispositivi restituiti ed esige che lo stock resti in magazzino fino all’acquisto.

Per un dispositivo acquistato da CryptoBilis o da un altro rivenditore della regione, Ledger chiede di non configurarlo se è ancora nella confezione sigillata. Se è già in uso, l’indicazione è di creare un nuovo wallet su un dispositivo sicuro, con una nuova frase di recupero, trasferirvi i fondi, poi contattare l’assistenza unicamente tramite la chat di support.ledger.com. La stessa regola vale per chiunque abbia già inserito le sue 24 parole su una pagina sospetta: il wallet va considerato compromesso.

La risposta sul fronte del prodotto arriverà più tardi. Il Ledger Atom, presentato a 849 euro, rileverà l’apertura del suo involucro, ma uscirà solo nell’estate 2027. Fino ad allora, la protezione si basa su una regola: le 24 parole non lasciano mai il dispositivo.

Fonti

  • Journal du Coin: «Ledger : Une attaque phishing exploite l’affaire des implants espions»
  • Journal du Coin: «Ledger piégés : un escroc perd 60 bitcoins»