I 100 milioni di bitcoin spariti con una chiavetta Usb truccata

La rapina del secolo sui bitcoin è il semplice furto di una chiavetta Usb. Ma una di quelle della Ledger, società francese che ne produce di apposite per le criptovalute. Hanno un piccolo display e sono pensati per chi vuole possedere bitcoin e altre criptovalute e portarle con sé. La storia che ha portato alla sparizione di un totale di 100 milioni di dollari dal portafogli dei clienti dell’azienda comincia in Malesia.

La rapina del secolo

Il Corriere della Sera racconta che alle porte di Kuala Lumpur ha sede CryptoBilis, un negozio specializzato in dispositivi per criptovalute, fondato nel 2021 da due imprenditori locali, Arravind Prabu e Vimal Selvamany. Nel marzo 2026 i due vendono e il 100% delle quote finisce a un cittadino cinese con un accordo di riservatezza che impediva ogni annuncio fino al 19 ottobre. Nel frattempo qualcuno mette in circolazione dispositivi Ledger Nano X modificati. Il dispositivo non contiene materialmente bitcoin, che rimangono sulla blockchain ovvero il registro informatico distribuito che tiene traccia delle transazioni. Il Ledger conserva invece le chiavi segrete per disporne, isolate da Internet e al riparo dai normali attacchi informatici.

La sequenza

La sequenza di 24 parole è la frase di recupero che il proprietario deve ricordare. «Le 24 parole mnemoniche, il cosiddetto “seed” o seme, permettono a chiunque le possieda di accedere al wallet e svuotarlo completamente», spiega al quotidiano Paolo Dal Checco, informatico forense. «Agli attaccanti non interessano il pin del dispositivo, le password o altri codici dell’utente: con quelle parole hanno in mano una sorta di chiave primaria universale per spostare tutti i fondi associati al wallet, utilizzabile in qualunque momento, da qualunque luogo e senza bisogno del dispositivo».

La scheda

Dentro i dispositivi viene inserita una scheda elettronica collegata ai circuiti che trasmettono le informazioni allo schermo. La scheda registra le 24 parole e le invia con una sim nascosta. «Altro enorme vantaggio per gli attaccanti», spiega ancora Dal Checco, «è che il furto può avvenire anche molto tempo dopo la lettura delle 24 parole. Nel caso specifico, gli svuotamenti si sono concentrati il 9 ottobre, tutti insieme per non lasciare segnali che potessero allertare altre potenziali vittime». MediaMarkt Saturn (casa madre di MediaWorld) ha ritirato i prodotti Ledger da negozi e siti dopo la segnalazione di un dispositivo manomesso in Germania.

Il furto

Il furto ammonta in totale a 102 milioni di dollari, sottratti a un numero di portafogli compreso tra 324 e 530. Recuperare l’intera somma è impossibile: oltre 80 milioni di dollari sono già stati ripuliti dai pirati tramite servizi ad hoc. E Ledger non prevede rimborsi.