“L’ho preso su un grande marketplace, con la confezione sigillata: cosa poteva succedere?” Nella confezione c’era esattamente quello che sembrava. Con un pezzo in più, invisibile da fuori.
Cosa è successo?
Ledger, produttore di portafogli fisici per criptovalute, ha sospeso le vendite tramite alcuni rivenditori dopo segnalazioni di furti legati ai loro dispositivi. La sequenza:
- 9 ottobre 2026: Ledger indaga su perdite di fondi di utenti nel Sud-est asiatico che avevano comprato da un rivenditore; il rivenditore sospende le vendite. Secondo un investigatore indipendente, le perdite superano gli 86 milioni di dollari.
- 11 ottobre: Ledger conferma un componente non autorizzato nel dispositivo di una vittima e chiede ai rivenditori di non rimettere in vendita i prodotti resi.
- 13 ottobre: Ledger descrive il componente nascosto e conferma il caso di un cliente in Germania, che non ha perso fondi; una grande catena di elettronica sospende la vendita di quei dispositivi nei suoi negozi. Le verifiche sui magazzini in Europa non hanno trovato altri dispositivi manomessi.
Il componente sta dentro il guscio e legge quello che compare sullo schermo: quando il dispositivo mostra le 24 parole di recupero durante la configurazione, le decodifica e le trasmette via rete mobile con una eSIM. Non modifica il chip di sicurezza né il sistema del dispositivo. Una delle versioni analizzate era stata comprata su un grande marketplace da un venditore terzo, con una confezione indistinguibile da quella originale.
Perché è così grave?
Perché il dispositivo funziona perfettamente: il furto avviene nel momento più delicato, la configurazione. Le 24 parole di recupero sono la chiave di tutto: chi le conosce può ricreare il portafoglio altrove e svuotarlo, quando vuole. Il controllo di autenticità del produttore non basta, perché, come ammette Ledger, non vede le modifiche fisiche se il chip di sicurezza resta intatto.
Non serviva nessuna falla nel software: bastava mettere le mani sul dispositivo prima che arrivasse a te. È lo stesso principio dei negozi online che sembrano svizzeri: la confezione e il sito ti dicono quello che vuoi sentirti dire, non chi c’è dietro.
Riguarda anche chi non ha criptovalute?
Sì: la regola vale per ogni oggetto che custodisce una chiave. Una chiave di sicurezza per la verifica in due passaggi, un lettore di carte per l’e-banking, un router, una chiavetta USB cifrata: sono tutti oggetti che, se manomessi prima di arrivare a te, possono tradirti senza che tu te ne accorga.
Come compro un dispositivo di sicurezza senza rischi?
Dal produttore o da un rivenditore che il produttore indica come ufficiale.
- Compra dal sito del produttore o da un rivenditore elencato sul suo sito. Sui grandi marketplace, compra solo se il venditore è il produttore stesso, non un venditore terzo.
- Diffida dei prezzi più bassi del sito ufficiale: un dispositivo di sicurezza scontato da uno sconosciuto è un rischio, non un affare.
- La frase di recupero la genera il dispositivo, davanti a te, la prima volta che lo accendi. Se nella scatola trovi parole già stampate o scritte, il dispositivo non è sicuro: non usarlo.
- Non comprare usato dispositivi che custodiscono chiavi o criptovalute.
- Nessuno ti chiederà mai le 24 parole: né il produttore, né il rivenditore, né un “servizio di recupero fondi”. Chi le chiede ti sta derubando.
Il Metodo 3V applicato all’acquisto di un dispositivo
Tre domande prima di comprare un oggetto che custodirà una chiave. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nell’acquisto del dispositivo | |
|---|---|---|
| Verifica | Chi me lo vende è davvero autorizzato? | Il venditore è nell’elenco dei rivenditori ufficiali sul sito del produttore? |
| Validazione | L’offerta ha senso? | Un prezzo più basso del sito ufficiale, parole di recupero già nella scatola? |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Ultimi pezzi”, “offerta lampo”: per un dispositivo di sicurezza si può aspettare. |
Cosa fare se hai comprato da un rivenditore non ufficiale
- Se non l’hai ancora configurato, non configurarlo. Contatta il produttore.
- Se l’hai già configurato, come consiglia Ledger, valuta di spostare i fondi su un dispositivo nuovo, comprato dal canale ufficiale, con una frase di recupero nuova.
- Non dare la frase di recupero a nessuno, nemmeno a chi si presenta come assistenza.
- Segnala il venditore alla piattaforma dove hai comprato e, se hai perso fondi, fai denuncia: in Svizzera alla polizia e all’UFCS, in Italia alla Polizia Postale.
Domande frequenti
Ho un portafoglio Ledger: devo preoccuparmi?
Secondo Ledger, i casi confermati riguardano dispositivi venduti da rivenditori non autorizzati o da venditori terzi, soprattutto nel Sud-est asiatico, più un caso in Germania senza perdite. Se l'hai comprato dal sito del produttore o da un rivenditore ufficiale, il rischio è molto più basso. Se l'hai preso altrove negli ultimi mesi, valuta di spostare i fondi su un dispositivo nuovo con frase di recupero nuova.
Il portafoglio è arrivato con le parole di recupero già scritte: cosa faccio?
Non usarlo. La frase di recupero deve essere generata dal dispositivo davanti a te, al primo avvio, e scritta da te. Se arriva già stampata o compilata, qualcun altro la conosce e potrà svuotare il portafoglio. Contatta il produttore e il venditore.
Comprare una chiave di sicurezza su un marketplace è sicuro?
Solo se il venditore è il produttore stesso o un rivenditore che il produttore indica come ufficiale. Un venditore terzo con un prezzo più basso è proprio il canale da cui sono arrivati i dispositivi manomessi in questo caso. Per un oggetto che custodisce una chiave, il canale conta più del prezzo.
Le chiavi fisiche restano tra i metodi più forti per proteggere gli account, se comprate dal canale giusto: lo spiego nella guida alla verifica in due passaggi.
