Trezor avverte gli acquirenti di CryptoBilis: sospetta manomissione del portafoglio

Trezor ha esortato i clienti che hanno acquistato i suoi portafogli hardware dall’ex rivenditore autorizzato CryptoBilis da marzo a trasferire i fondi dopo la segnalazione di un possibile impianto malevolo in un dispositivo Safe 5.

Un cliente in Indonesia ha riferito la presenza di una scheda elettronica non autorizzata all’interno di un Trezor Safe 5 acquistato su Tokopedia ad agosto. Secondo la segnalazione, l’impianto sospetto potrebbe acquisire informazioni mostrate sullo schermo del dispositivo, incluse le frasi di recupero, e trasmetterle tramite una rete cellulare.

Trezor ha precisato di non aver ancora esaminato il dispositivo e di non aver ricevuto segnalazioni di perdite correlate, ma tratta l’avviso come credibile.

Danny Sanders ha dichiarato:

“Non abbiamo ancora il dispositivo nel nostro laboratorio, ma consideriamo la segnalazione credibile e preferiamo avvertire le persone ora piuttosto che aspettare la conferma e scoprire che qualcuno ha perso i propri fondi nel frattempo.”

Un portavoce di Trezor ha definito le vendite attraverso il rivenditore come «molto limitate», senza fornire cifre precise. L’azienda ha anche riconosciuto di non aver ancora determinato dove si sia verificata la presunta manomissione e ha avviato una revisione delle protezioni hardware, ammettendo che sigilli e confezionamento non sono da soli sufficienti a garantire l’integrità del dispositivo.

Precedenti di manomissione e alert precedenti

La comunicazione arriva a valle di segnalazioni precedenti relative a perdite di criptovalute su dispositivi Ledger venduti tramite CryptoBilis, dove era stato individuato un impianto hardware non autorizzato in almeno un’unità. Tali episodi hanno già messo in luce la vulnerabilità della filiera di distribuzione quando dispositivi autentici vengono alterati senza modificare il firmware.

Il ricercatore di sicurezza Joe Grand aveva segnalato ad agosto a Trezor la presenza di Trezor One e Model T manomessi acquistati tramite venditori non autorizzati su TikTok e altri canali social. Trezor aveva in precedenza precisato che le sue verifiche iniziali erano rivolte a identificare dispositivi contraffatti o firmware modificato, mentre gli impianti scoperti in alcuni casi leggevano lo schermo senza alterare il software del dispositivo.

Una frase di recupero sottratta può permettere ad un attaccante di ripristinare un portafoglio su un altro dispositivo e trasferirne i fondi. Per questa ragione, Trezor ha annunciato l’intenzione di ridurre la sua rete di rivenditori, misura volta a restringere i canali di vendita e aumentare il controllo sulla provenienza dei dispositivi.

Consigli pratici per gli utenti

Agli utenti di portafogli hardware si raccomanda di acquistare esclusivamente da rivenditori autorizzati, verificare l’integrità delle confezioni e, in caso di sospetto, non inizializzare il dispositivo ma contattare il produttore. È inoltre prudente trasferire immediatamente le chiavi private o i fondi qualora il dispositivo sia stato acquistato tramite canali secondari non certificati.

Per gli investitori e gli operatori del settore, questi episodi evidenziano l’importanza della catena di custodia fisica dei dispositivi e suggeriscono una maggiore attenzione nella due diligence sui partner commerciali e logistici.

In sintesi

• La fiducia nel mercato dei portafogli hardware può essere erosa da manomissioni lungo la catena di distribuzione; per il mercato italiano ciò significa crescita della domanda di canali di vendita certificati e servizi professionali di custodia.
• Per gli investitori, l’incertezza sulla sicurezza fisica dei dispositivi aumenta il premio per soluzioni di custodia più sicure e può accelerare l’adozione di servizi di custodia istituzionale o multisig.
• Le autorità e i regolatori potrebbero intensificare i controlli sulla filiera logistica e richiedere standard più stringenti di tracciabilità e imballaggio per i dispositivi crittografici venduti al dettaglio.