Un presunto chip spyware del portafoglio Ledger è il tipo di storia che fa fermare anche i possessori di criptovalute più cauti. Secondo la copertura della newsletter Risky Bulletin e i servizi successivi, un impianto hardware occulto è stato trovato nei dispositivi Ledger, trasformando un prodotto venduto come strumento di sicurezza in un possibile canale di sorveglianza. Lo stesso bollettino ha anche segnalato un attacco informatico a un supermercato e una spinta europea per far emettere un segnale acustico agli occhiali intelligenti quando registrano. Insieme, questi elementi mostrano quanto della privacy moderna dipenda dalla fiducia nell'hardware che ci circonda.

Una nota sulle fonti: la voce della newsletter è essa stessa un breve riassunto. I dettagli seguenti provengono dai resoconti disponibili al momento della scrittura, e alcune cifre potrebbero cambiare con il proseguire delle indagini.

Cosa è stato trovato all'interno dei portafogli Ledger

Secondo i resoconti pubblicati, Ledger afferma che un hardware occulto è stato impiantato nei portafogli venduti da un rivenditore chiamato CryptoBilis. L'impianto avrebbe letto le frasi di recupero degli utenti dallo schermo del dispositivo e le avrebbe trasmesse tramite una rete mobile. I resoconti stimano le perdite intorno ai 90-93 milioni di dollari, anche se la cifra esatta varia a seconda della testata.

Due dettagli contano qui. Primo, il problema segnalato non è un difetto nel design centrale del portafoglio. Si tratta di manomissione di unità specifiche che hanno raggiunto gli acquirenti attraverso un rivenditore. Secondo, una frase di recupero è la chiave principale di un portafoglio. Chiunque la catturi può spostare fondi senza mai toccare il dispositivo originale.

Ledger starebbe riesaminando come i suoi dispositivi raggiungono gli acquirenti. Le domande su quante unità siano state colpite, e su come siano stati aggiunti gli impianti, sono ancora in fase di chiarimento nei resoconti pubblici.

Perché la manomissione della catena di fornitura hardware mina la fiducia

La maggior parte delle persone pensa alla sicurezza come a qualcosa che accade dopo aver acceso un dispositivo: password robuste, aggiornamenti, crittografia. La manomissione della catena di fornitura attacca la fase precedente. Se un dispositivo viene alterato prima di raggiungerti, le protezioni software possono essere aggirate o sorvegliate dall'interno.

Un portafoglio hardware è costruito attorno a una promessa semplice: le tue chiavi non lasciano mai il dispositivo. Questo lo rende un obiettivo di alto valore. Un impianto che si limita a guardare lo schermo e a trasmettere ciò che vede non ha bisogno di violare alcuna crittografia. Deve solo inserirsi tra il dispositivo e l'utente.

Questo è anche il motivo per cui la storia è rilevante al di là delle criptovalute. Router, telefoni, chiavi di sicurezza e qualsiasi altro dispositivo critico per la privacy dipendono dalla stessa assunzione: che ciò che è nella scatola sia ciò che il produttore ha spedito. Quando quella catena si spezza, l'acquirente di solito non ha un modo ovvio per accorgersene. L'incidente è un promemoria del fatto che la fiducia in un dispositivo include la fiducia in tutti coloro che lo hanno maneggiato. Un tema simile di strumenti che si comportano in modi non voluti dai loro proprietari appare nella nostra copertura del quarto incidente dell'agente AI di Anthropic, anche se quel caso riguarda il software e non l'hardware.

Cosa vuole l'UE dagli occhiali intelligenti

La stessa edizione del Risky Bulletin nota che l'UE vuole che gli occhiali intelligenti emettano un forte segnale acustico quando registrano. L'idea è semplice: se una telecamera indossabile può riprendere le persone a loro insaputa, gli astanti dovrebbero ricevere un segnale chiaro.

Il riassunto non specifica il meccanismo legale o la tempistica, quindi per ora è meglio considerarlo una proposta. Tuttavia, si collega alla storia di Ledger. In entrambi i casi, la preoccupazione è la cattura occulta: un chip che osserva silenziosamente uno schermo, o una telecamera che osserva silenziosamente una stanza. Regolatori e ricercatori di sicurezza stanno convergendo sullo stesso principio: la raccolta occulta di dati dovrebbe essere resa visibile o impedita fin dalla progettazione.

Il bollettino ha anche menzionato un attacco informatico che ha scongelato i frigoriferi dei supermercati e messo offline i negozi Ahold Delhaize in diversi luoghi. È un incidente separato, ma sottolinea come i guasti digitali possano avere conseguenze molto fisiche.

Come gli utenti attenti alla privacy possono ridurre il rischio dei dispositivi

Non puoi ispezionare ogni chip in ogni dispositivo, ma puoi ridurre la tua esposizione.

  • Acquista dal produttore o da un venditore autorizzato. I canali dei rivenditori aggiungono passaggi di manipolazione che non puoi vedere. Controlla la lista dei venditori autorizzati del produttore prima di acquistare.
  • Ispeziona l'imballaggio. Cerca sigilli rotti, segni di richiusura o qualsiasi cosa che sembri insolita. Non affidarti però solo all'imballaggio.
  • Non usare mai una frase di recupero preimpostata. Se un dispositivo arriva con una frase già scritta, smetti di usarlo. Genera sempre la tua sul dispositivo.
  • Esegui il controllo di autenticità del produttore. I produttori di portafogli hardware generalmente forniscono un modo per verificare un dispositivo. Usalo all'arrivo, e di nuovo se hai dei dubbi.
  • Fai attenzione a hardware strano. Radio inaspettate, componenti extra o un dispositivo che si comporta in modo strano, come riscaldarsi o scaricare rapidamente la batteria, meritano attenzione.
  • Limita quanto è in gioco su un singolo dispositivo. Distribuire i possedimenti tra più portafogli riduce il danno di un singolo compromesso.

Cosa significa per te

Se possiedi un portafoglio hardware, soprattutto uno acquistato tramite un rivenditore terzo, controlla da dove proviene. Se è stato venduto da CryptoBilis, segui le indicazioni ufficiali di Ledger e considera di spostare i fondi su un portafoglio appena generato da un dispositivo verificato. Se non sei sicuro dell'origine del tuo dispositivo, vale lo stesso passo di cautela.

Se non possiedi criptovalute, la lezione vale comunque. Qualsiasi dispositivo critico per la privacy, da una chiave di sicurezza a un router, è affidabile solo quanto la sua catena di fornitura. Acquistare dai canali ufficiali è una delle protezioni più economiche ed efficaci disponibili.

Punti chiave

La storia del chip spyware del portafoglio Ledger è ancora in evoluzione, e i dettagli potrebbero essere affinati man mano che Ledger e gli investigatori condividono ulteriori informazioni. Ciò che è già chiaro è che la fiducia nell'hardware non può essere data per scontata. Verifica l'integrità di qualsiasi portafoglio hardware o dispositivo critico per la privacy che possiedi, acquista solo dal produttore o da venditori autorizzati, e tratta come sospetto tutto ciò che arriva preconfigurato. Queste abitudini richiedono pochi minuti e possono prevenire perdite che nessuna correzione software può annullare.