Il portafoglio crypto era autentico. Il chip che qualcuno ci ha aggiunto no.
Un portafoglio hardware dovrebbe essere la scelta prudente. Si tengono le chiavi offline, su un piccolo apparecchio in un cassetto, proprio perché niente sul PC possa arrivarci. Quell'assunto ha retto fino al momento in cui qualcuno ha aperto il guscio e ci ha saldato dentro un passeggero.
Ledger ha confermato il 12 ottobre che i dispositivi venduti tramite CryptoBilis, un rivenditore attivo in Malesia, Indonesia e Filippine a quasi metà del prezzo abituale, erano stati manomessi fisicamente prima di arrivare agli acquirenti. Sono emerse due versioni dell'impianto. Una era nascosta in una batteria di ricambio assottigliata, l'altra infilata sotto lo schermo OLED. Entrambe montavano un microcontrollore ST e un modulo eSIM di circa due millimetri di lato. Il chip osservava quello che lo schermo mostrava e quali tasti venivano premuti, isolava la frase di recupero di 24 parole durante la configurazione e la inviava agli attaccanti su una connessione dati mobile. Nessuna connessione internet, nessun PC, nessun malware in alcun momento.
I ricercatori che analizzano la blockchain stimano il danno in circa 93 milioni di dollari su oltre 300 portafogli, e Tether ha congelato 10 milioni di dollari in USDT collegati alla vicenda. Ledger sostiene che il software, l'elemento sicuro e la firma delle transazioni non sono mai stati compromessi, il che è vero e consola poco, perché l'azienda ammette anche che il suo Genuine Check non riesce a rilevare un impianto aggiunto finché l'elemento sicuro originale resta intatto. A chi possiede un dispositivo di quel rivenditore viene detto di non configurarne uno ancora nuovo e di spostare i fondi su un apparecchio nuovo con una frase generata da zero.
La lezione va ben oltre le criptovalute. L'hardware comprato a uno sconto sospetto da un venditore che non riuscite a identificare è hardware a cui state dando fiducia totale. Su un PC Windows il rischio equivalente riguarda di solito il software e non il silicio, e il controllo di sicurezza di Tendvane passa in rassegna quello che è installato e segnala ciò che è arrivato senza essere stato chiesto.