Tether blocca 10M$ legati al furto del wallet CryptoBilis Ledger

Tether ha bloccato 10 milioni di dollari della sua criptovaluta USDT dopo che un furto ha prosciugato fino a 93 milioni di dollari di attività dai portafogli hardware Ledger venduti da CryptoBilis, mentre prosegue l'indagine sul flusso dei fondi e Ledger sostiene che il problema sia isolato.

Informazioni confermate fornite finora da Ledger

Il produttore francese di portafogli per criptovalute non si è ancora pronunciato sulle perdite. Ledger ha affermato che tutti i casi identificati dall'azienda riguardano dispositivi venduti da CryptoBilis, un fornitore terzo che operava in Malesia, Indonesia e Filippine. L'azienda ha inoltre sottolineato che non vi erano segni di compromissione dei sistemi, dei servizi e delle vendite dirette di Ledger.

Una scoperta ha aggiunto un elemento di manomissione fisica al caso delle vulnerabilità software. Il 10 ottobre, l'azienda ha dichiarato che uno degli utenti colpiti possedeva un dispositivo su cui era stato installato un impianto fisico non autorizzato, diventando la prima prova di compromissione fisica dei portafogli Ledger in questo caso.

Il messaggio per gli acquirenti da parte sua è molto chiaro. Se hai acquistato un dispositivo CryptoBilis negli ultimi 90 giorni e non lo hai ancora configurato, lascialo intatto. Se stai utilizzando il dispositivo in questo momento, trasferisci le tue monete su un altro dispositivo con una nuova frase di recupero.

Come gli investigatori hanno calcolato le perdite

Queste cifre sono attribuite ad analisti on-chain piuttosto che a Ledger. Bitquery ha stimato che l'attacco abbia coinvolto 93,2 milioni di dollari sottratti da 315 portafogli su sei blockchain separate, principalmente USDT e monete TRON. La piattaforma di sicurezza YFarmX ha indicato una cifra superiore, affermando che l'attacco ha sottratto 94,5 milioni di dollari da 521 portafogli su sette blockchain diverse. Entrambe le stime si basavano sui dati pubblici della catena.

Secondo l'analisi di Bitquery, la maggior parte del denaro rubato è attribuita a TRON per circa 70,5 milioni di dollari, con altri 16,8 milioni in Bitcoin e 3,7 milioni in Ethereum, e importi molto più piccoli su BNB Chain, Polygon e Solana. L'operazione sarebbe stata pianificata per mesi: gli indirizzi coinvolti nel furto sono stati creati il 25 settembre e hanno effettuato decine di trasferimenti di prova fino all'inizio di ottobre.

Il trasferimento principale si è verificato il 9 ottobre, quando Bitquery afferma che gli aggressori hanno riscritto le autorizzazioni per 30 wallet su TRON prima di trasferire circa 203,8 BTC da 111 wallet Bitcoin all'interno di un singolo blocco un'ora dopo. Questo tipo di operazione può essere eseguita solo se l'attaccante possiede le chiavi necessarie.

Questo è importante poiché gli emittenti delle stablecoin possono inserire nella blacklist le monete utilizzate per attività illegali. Bitquery, che ha verificato il congelamento di Tether, ha segnalato che al 11 ottobre erano ancora presenti circa 81 milioni di dollari di token tracciabili on-chain, ma alcuni fondi sono passati attraverso i servizi di mixing di Tornado Cash e Zcash.

Reazione negativa nei confronti di un rivenditore autorizzato

Tuttavia, la caratterizzazione da parte di Ledger della situazione come un problema di CryptoBilis non è stata accolta con favore. Il rivenditore aveva un badge ufficiale di Ledger sul proprio sito web, rendendo quindi Ledger responsabile di questa situazione, poiché «Non si tratta di un incidente CryptoBilis, ma di un incidente Ledger». L'utente X MyCryptoParadise ha chiesto all'azienda di «assumersi la responsabilità di questo pasticc».

C'è un altro lato della storia legato alla cronologia del rivenditore. Secondo Arravind Prabu, uno dei co-fondatori, CryptoBilis è stata acquisita nel marzo 2026 e l'intero team ha trasferito tutti gli accessi ai sistemi durante l'acquisizione, come riportato in Learning Crypto.

L'unico nuovo investitore dell'azienda era registrato in Cina, secondo i documenti societari dichiarati. Finora non sono stati stabiliti collegamenti tra i furti e il cambiamento di proprietà, e le indagini non hanno riscontrato manipolazioni da parte dei nuovi investitori.

CryptoBilis ha sospeso le vendite e le consegne di tutti i marchi che commercializza e ha chiuso i propri negozi fisici in tutti e tre i paesi.

L'impianto smontato da Mark Karpelès

Forse la descrizione più definitiva dell'hardware può essere fornita dal fondatore di Mt. Gox, Mark Karpelès. Karpelès ha smontato un Ledger Nano X acquistato in Malesia e, come ha riportato riportato da Learning Crypto, ha scoperto componenti aggiuntivi nascosti sotto lo schermo: un modem cellulare, una eSIM e un minuscolo chip in grado di intercettare ciò che veniva visualizzato sullo schermo.

Durante la configurazione del portafoglio, le parole di recupero vengono visualizzate su quello schermo. Un componente in grado di intercettare i dati dallo schermo permetterebbe l'invio delle parole tramite la rete mobile e, di conseguenza, la ricreazione del portafoglio altrove e il furto dei fondi. Resta da dimostrare se tutti i dispositivi contenessero effettivamente tali componenti.

Va sottolineato che questo caso è distinto da un altro furto avvenuto a marzo, verificatosi ad aprile, quando i truffatori hanno utilizzato l'applicazione Ledger Live sull'App Store di Apple per sottrarre almeno 9,5 milioni di dollari.