La chiavetta sembrava sicura: così sono spariti 102 milioni in bitcoin

Oltre cento milioni di dollari in criptovalute sono stati sottratti dopo la manomissione di alcuni dispositivi Ledger Nano X. Il raggiro è stato scoperto in Germania, ma l’origine della vicenda porta a un negozio vicino a Kuala Lumpur e a una cessione societaria avvenuta mesi prima.

La parte più insidiosa dell’attacco riguarda i tempi: le informazioni necessarie a trasferire i fondi sarebbero state raccolte molto prima del furto vero e proprio. Il 9 ottobre, secondo la ricostruzione disponibile, numerosi portafogli sono stati svuotati quasi contemporaneamente.

Il colpo è partito dalla Malesia

Alle porte della capitale malese opera CryptoBilis, attività specializzata nella vendita di strumenti per custodire criptovalute. Il negozio era stato creato nel 2021 da Arravind Prabu e Vimal Selvamany, che nel marzo 2026 hanno ceduto l’intero capitale a un cittadino cinese.

L’intesa prevedeva un vincolo di riservatezza, con il divieto di rendere pubblico il passaggio fino al 19 ottobre. Nel frattempo, però, sul mercato sarebbero comparsi apparecchi Ledger modificati. Dopo la segnalazione di uno di questi prodotti in Germania, MediaMarkt Saturn, società proprietaria di MediaWorld, ha tolto i dispositivi dai propri punti vendita e dai negozi digitali.

La trappola nascosta nell’apparecchio

Un dispositivo Ledger non contiene direttamente i bitcoin: questi restano registrati sulla blockchain. Lo strumento custodisce invece le chiavi private che permettono di autorizzare i trasferimenti, mantenendole normalmente isolate dalla rete e più difficili da raggiungere per i criminali informatici.

La manomissione avrebbe introdotto una piccola scheda nei circuiti collegati allo schermo. Quando l’utente visualizzava la sequenza di 24 parole necessaria per recuperare l’accesso, il componente la registrava e la spediva attraverso una scheda telefonica nascosta.

«Le 24 parole mnemoniche, il cosiddetto “seed” o seme, permettono a chiunque le possieda di accedere al wallet e svuotarlo completamente», ha spiegato l’informatico forense Paolo Dal Checco. In questo modo non servivano il codice di accesso dell’apparecchio né le altre credenziali del proprietario: la sequenza poteva essere utilizzata in seguito e da qualsiasi luogo.

Centinaia di portafogli prosciugati

La sottrazione complessiva è stimata in 102 milioni di dollari. Le vittime sarebbero comprese tra 324 e 530, una forbice che riflette il numero ancora non definitivo dei portafogli coinvolti.

Gli autori non avrebbero agito subito dopo aver ottenuto le parole di recupero. «Gli svuotamenti si sono concentrati il 9 ottobre, tutti insieme per non lasciare segnali che potessero allertare altre potenziali vittime», ha aggiunto Dal Checco, descrivendo una strategia basata sull’attesa e sull’azione simultanea.

Il denaro è quasi impossibile da recuperare

Più di 80 milioni di dollari risultano già passati attraverso servizi utilizzati per rendere più difficile seguire l’origine delle somme. Questa operazione di ripulitura rende estremamente improbabile il recupero integrale del denaro sottratto.

Ledger, inoltre, non ha previsto rimborsi per i clienti colpiti. Il caso mostra quindi come un apparecchio progettato per proteggere le chiavi digitali possa diventare il punto di partenza del furto se viene alterato prima della vendita.