#Finsubito news dalla rete – La rapina (informatica) del secolo: un piano diabolico fa sparire 100 milioni dalle «casseforti» di criptovalute Ledger

L’equivelante informatico di una rapina del secolo, degna per ingegno ed entità del bottino di film come Ocean’s Eleven. L’equivalente dei caveau di massima sicurezza perforati dalla banda del buco digitale sono i dispositivi di Ledger, una società francese che produce «casseforti» per criptovalute. Sono dispositivi che, più tecnicamente, servono a proteggere le chiavi private che controllano le criptovalute e le rispettive transazioni: Ledger è finita al centro di un piano inedito che ha portato alla sottrazione di oltre 100 milioni di dollari agli ignari clienti dell’azienda. 

Il misterioso acquirente cinese

La storia comincia in Malesia, a Petaling Jaya, una città alle porte di Kuala Lumpur. Qui ha sede CryptoBilis, un negozio specializzato in portafogli per criptovalute, fondato nel 2021 da due imprenditori, Arravind Prabu e Vimal Selvamany. L’attività ha successo e diventa uno dei principali rivenditori autorizzati di Ledger nel Sud-est asiatico, servendo clienti in Malesia, Indonesia e Filippine. Tutto legittimo e con reputazione specchiata. 
Nel marzo del 2026, però, i due fondatori vendono l’azienda e abbandonano ogni ruolo operativo, rinunciando anche all’accesso ai sistemi informatici, agli ordini e agli archivi dei clienti. Dai documenti societari, emersi successivamente, risulta che il 100% delle quote è passato nelle mani di un misterioso cittadino cinese, con un indirizzo registrato nella provincia di Heilongjiang, nel nord-est della Cina. Un protagonista centrale della vicenda di cui, almeno per ora, si sa pochissimo. La vendita infatti è coperta da un accordo di riservatezza, un Nda (Non-disclosure agreement), che impedisce ai precedenti proprietari di annunciare pubblicamente il passaggio fino al 19 ottobre e di divulgare ulteriori dettagli. 

Il negozio continua a operare con lo stesso nome, lo stesso sito e gli stessi marchi. Ma nel frattempo, qualcuno comincia a mettere in circolazione dispositivi Ledger Nano X modificati, del tutto indistinguibili, almeno all’apparenza, dagli originali. Il collegamento tra la nuova proprietà e la manomissione non è stato ancora accertato. Ma la coincidenza temporale sembra ben  più di una coincidenza e uno degli elementi sui quali si concentrano i sospetti.

La microspia dentro la cassaforte

Per capire il piano bisogna prima spiegare come funziona un Ledger. Un hardware wallet è un piccolo dispositivo elettronico, simile a una chiavetta Usb con uno schermo, che permette di custodire le chiavi necessarie per utilizzare bitcoin e altre criptovalute. Le monete digitali, in realtà, non si trovano fisicamente al suo interno: rimangono registrate sulla blockchain, il registro informatico distribuito che tiene traccia delle transazioni. Il Ledger conserva invece le chiavi segrete per disporne, tenendole isolate da Internet e quindi al riparo dai normali attacchi informatici. Quando si configura un nuovo dispositivo, sullo schermo compare una sequenza di 24 parole, chiamata frase di recupero. Il proprietario deve trascriverle e conservarle in un luogo sicuro. 
Sono una sorta di passpartout: se il Ledger viene perso o si rompe, permettono di recuperare il portafoglio su un altro apparecchio. Ma chiunque entri in possesso di quelle parole può fare la stessa cosa, impossessandosi delle criptovalute senza avere materialmente il dispositivo. È qui che entra in scena l’ingegno dei rapinatori. 

Anziché cercare di violare il sofisticato chip di sicurezza di Ledger, i ladri digitali scelgono una strada molto più semplice: spiare quello che compare sullo schermo nel momento in cui il proprietario configura il portafoglio.
Qualcuno ha aperto i dispositivi Nano X e inserito al loro interno una minuscola scheda elettronica clandestina, collegata ai circuiti che trasmettono le informazioni allo schermo. La scheda registra le 24 parole, le ricostruisce e le invia a distanza attraverso un modulo per la connessione alla rete mobile, completo di eSim e antenna. Tutto senza che il proprietario si accorga di nulla e senza dover collegare il Ledger a Internet. Il trucco è particolarmente efficace perché il chip che custodisce le chiavi rimane intatto. Il dispositivo è autentico e supera anche i controlli di sicurezza previsti dal produttore, che verificano l’originalità dei componenti protetti ma non riescono a individuare una microspia aggiunta ai circuiti circostanti. 
Per il proprietario, insomma, è tutto perfettamente normale. Ma qualcun altro, dall’altra parte del mondo, potrebbe avere già ricevuto la combinazione della sua cassaforte.

L’uomo che ha scoperto il trucco

A ricostruire il funzionamento della microspia è stato soprattutto Mark Karpelès, nome ben conosciuto nel mondo crypto. Francese, ex amministratore delegato di Mt. Gox, la piattaforma giapponese protagonista di un clamoroso fallimento nel 2014 dopo la scomparsa di centinaia di migliaia di bitcoin, Karpelès si occupa oggi anche di ricerca sulla sicurezza dei portafogli elettronici. Da settimane stava indagando su alcuni Ledger sospetti. Ne ha smontato uno proveniente dalla Malesia, scoprendo che dietro lo schermo era stato nascosto un piccolo sistema di sorveglianza. Il lavoro di Karpelès e dei ricercatori di Tibane Labs ha consentito di identificare diverse versioni dell’impianto.
In una, per trovare spazio, i criminali avevano sostituito la batteria originale con una più piccola, collocando accanto una scheda con i componenti necessari per registrare e trasmettere le informazioni. In un’altra, più raffinata, avevano conservato la batteria e nascosto l’elettronica nello spazio normalmente occupato dall’imbottitura protettiva sotto lo schermo. Alcuni componenti avevano i numeri identificativi raschiati via, per ostacolare le indagini.
L’unico indizio visibile, una volta aperto il dispositivo, era un sottilissimo filo utilizzato come antenna. 
Non è ancora chiaro chi materialmente abbia fatto la modifica, né in quale punto della catena di distribuzione siano stati sostituiti o manomessi. Il risultato, però, è che centinaia di persone hanno utilizzato quella che credevano una cassaforte sicurissima, consegnando inconsapevolmente ai ladri le chiavi per aprirla.
Secondo Karpeles, per altro, «un fornitore in Europa sta ancora vendendo Ledger da spia. Ciò significa che il problema è tutt’altro che limitato a CryptoBilis».

Il 9 ottobre scatta la rapina

La fase conclusiva del diabolico piano scatta venerdì 9 ottobre 2026. Dopo settimane di preparazione, qualcuno comincia a svuotare contemporaneamente centinaia di portafogli elettronici. I trasferimenti partono a una velocità impossibile per un essere umano: secondo la ricostruzione di Bitquery, società specializzata nell’analisi delle blockchain, in appena tre secondi 25 portafogli sulla rete Tron autorizzano operazioni riconducibili allo stesso soggetto. In meno di un’ora vengono colpiti portafogli che contengono bitcoin, Ethereum e altre cripto. Gli investigatori informatici scoprono anche che gli attaccanti avevano effettuato piccoli trasferimenti di prova nelle due settimane precedenti, per verificare che il sistema funzionasse prima di passare al colpo grosso.
Il bilancio della rapina digitale cresce man mano che gli esperti ricostruiscono le transazioni. Secondo gli ultimi conteggi di Bitquery, sono stati sottratti 102 milioni di dollari da 324 portafogli su sei blockchain. Un’altra società di analisi, YFarmX, arriva a stimare 103,4 milioni di dollari e 530 indirizzi coinvolti su sette reti. 
Parte del denaro viene subito trasferita attraverso servizi che rendono più difficile seguirne le tracce, mentre Tether riesce a congelare circa 10 milioni di dollari in criptovalute Usdt, impedendo ai ladri di utilizzarli. 
Ledger interviene pubblicamente, apre un’indagine e chiede a CryptoBilis di sospendere immediatamente vendite e spedizioni. 

Perché è un attacco geniale

Come osserva Paolo Dal Checco, esperto di informatica forense, l’attacco è geniale nella sua semplicità: invece di superare le difese informatiche di un dispositivo, i criminali le hanno aggirate aggiungendo un minuscolo componente elettronico. E la stessa tecnica potrebbe in futuro essere applicata, almeno in teoria, ad altri apparecchi, dagli smartphone ai tablet fino ai computer, per intercettare informazioni riservate senza lasciare tracce evidenti.