Immagina di comprare una cassaforte di ultima generazione. La porti a casa, la apri per la prima volta, scrivi la combinazione su un foglietto… e qualcuno, senza che tu te ne accorga, ha già fotografato quel foglietto e se l’è portato via.
Benvenuti nel 2026, anno in cui anche i wallet hardware più blasonati possono diventare spie.
Cos’è un Ledger (e perché tutti lo vogliono)
Un Ledger è un hardware wallet, cioè una sorta di chiavetta USB (o piccolo dispositivo) progettata per custodire le chiavi private delle tue criptovalute in modo offline.
A differenza di un exchange o di un’app sul telefono, le chiavi non toccano mai internet. Restano chiuse dentro un chip di sicurezza chiamato Secure Element, lo stesso tipo di tecnologia usata nelle carte di credito contactless.
In pratica:
- Genera e conserva la tua seed phrase (le famose 24 parole di recupero).
- Firma le transazioni senza mai rivelare la chiave privata.
- Ti permette di gestire Bitcoin, Ethereum, Solana e centinaia di altre crypto con un livello di sicurezza considerato, fino a ieri, tra i più alti del mercato.
È il classico “not your keys, not your coins” portato all’estremo: la cassaforte è fisica, è tua e, almeno in teoria, nessuno può aprirla da remoto.
A cosa serve davvero
Serve a due cose fondamentali:
- Proteggere i tuoi fondi da hacker, malware e phishing.
- Darti il controllo totale: solo tu (e le tue 24 parole) puoi muovere i soldi.
Finché il dispositivo arriva integro e viene configurato in un ambiente sicuro, funziona magnificamente. Il problema nasce quando qualcuno mette le mani sul dispositivo prima che arrivi a te.
L’attacco: il chip che legge lo schermo
Tra settembre e ottobre 2026 è emerso un attacco di supply chain particolarmente elegante (e inquietante).
Alcuni Ledger, soprattutto venduti attraverso determinati rivenditori del Sud-Est asiatico, sono stati aperti e “arricchiti” con un piccolo circuito aggiuntivo nascosto sotto lo schermo o al posto della batteria originale.
Questo implant contiene:
- un microcontrollore
- un modulo LTE
- un’eSIM già attivata
- una minuscola antenna
Come funziona? In modo quasi geniale nella sua semplicità.
Quando configuri il wallet per la prima volta, il Secure Element genera le 24 parole e le invia allo schermo perché tu le possa scrivere.
Il chip spia è collegato al bus dati interno (SPI) che porta le informazioni allo schermo. Ascolta passivamente tutto ciò che passa, riconosce le schermate della seed phrase, le decodifica e, una volta raccolte tutte e 24 le parole, le trasmette via rete cellulare agli attaccanti.
Niente malware, niente modifica del firmware, niente alterazione del Secure Element.
Il dispositivo passa tranquillamente il Genuine Check di Ledger, perché il chip di sicurezza ufficiale è ancora quello originale. L’implant è solo un ospite discreto che legge da sopra la spalla.
Con la seed phrase in mano, gli attaccanti possono ricostruire il portafoglio su un altro dispositivo e svuotarlo quando vogliono. In molti casi hanno aspettato giorni o settimane prima di agire, proprio per non destare sospetti.
Perché questo attacco è diverso
Non è un classico Man-in-the-Middle di rete.
È un attacco fisico alla catena di fornitura: qualcuno ha manomesso i dispositivi tra la fabbrica e il cliente finale.
È silenzioso, non richiede che tu colleghi il wallet a un computer infetto e non lascia tracce software. Usa semplicemente la rete telefonica, che funziona quasi ovunque al mondo grazie all’eSIM.
La lezione (amara ma utile)
Anche la cassaforte più robusta diventa vulnerabile se qualcuno ci mette una telecamera dentro prima di vendertela.
Il Genuine Check controlla l’autenticità del Secure Element, non la presenza di componenti extra nascosti.
Consigli pratici:
- Preferisci l’acquisto diretto dal sito ufficiale.
- Se il dispositivo arriva da rivenditori terzi, controlla attentamente peso, batteria e eventuali anomalie fisiche.
- Se hai già configurato un wallet sospetto, sposta i fondi su un nuovo dispositivo con una seed phrase generata da zero.
- Non inserire mai una seed phrase esistente su un hardware di provenienza dubbia.
I Ledger restano uno degli strumenti più solidi per custodire crypto.
Ma questa storia ci ricorda una verità scomoda: la sicurezza non finisce al chip. Inizia dalla fiducia nella catena che porta quel chip fino alle tue mani.
E a volte, la minaccia più sofisticata è quella che non tocca il software… ma si limita a guardare lo schermo.
E se lo stesso attacco arrivasse sul tuo smartphone?
Finora abbiamo parlato di un dispositivo specializzato, piccolo, relativamente semplice da aprire e ispezionare. Ma proviamo a fare un esercizio di immaginazione (e di inquietudine produttiva): e se la stessa tecnica venisse applicata a un cellulare?
Un implant nascosto all’interno di uno smartphone sarebbe, con ogni probabilità, quasi invisibile.
Il telefono ha già un modulo cellulare, una batteria, decine di componenti miniaturizzati e una struttura interna estremamente densa. Un piccolo circuito aggiuntivo che intercetta ciò che viene mostrato sullo schermo (o che passa su certi bus dati) e lo invia via eSIM o LTE potrebbe mimetizzarsi perfettamente. Nessun cavo sospetto, nessuna batteria sostituita in modo evidente, nessun comportamento software anomalo. L’utente vedrebbe solo il proprio telefono funzionare normalmente.
E qui nasce il vero problema: su un hardware wallet l’attacco, per quanto sofisticato, resta confinato a un dispositivo che molti utenti (soprattutto quelli più attenti) sono disposti ad aprire e controllare. Su uno smartphone, invece, la probabilità che una persona comune si accorga di qualcosa è vicina allo zero. Chi di noi smonta regolarmente il proprio telefono per verificare se c’è un componente in più sotto lo schermo o vicino alla batteria?
La domanda, a questo punto, non è più solo “è possibile?”. La domanda diventa: come possiamo difenderci da minacce che non lasciano tracce software e che sfruttano la fisicità stessa del dispositivo?
Una prima risposta, pragmatica, riguarda il monitoraggio del consumo energetico. Un modulo LTE che si attiva di tanto in tanto per trasmettere dati, anche se in modo discreto, produce un consumo anomalo. Strumenti in grado di analizzare nel dettaglio i profili di batteria — non solo la percentuale residua, ma i picchi di assorbimento, i momenti in cui il radio cellulare si accende senza motivo apparente, le sessioni di trasmissione in background non giustificate — potrebbero rappresentare un campanello d’allarme precoce. Non sarebbero infallibili, ma alzerebbero significativamente il costo e la complessità per un attaccante.
Altre strade meritevoli di esplorazione includono:
- sistemi di integrità hardware più aggressivi, capaci di verificare non solo il Secure Element ma anche la presenza di componenti non dichiarati;
- tecniche di attestation fisica (misurazioni di peso, capacità della batteria, firma elettromagnetica del dispositivo);
- una maggiore trasparenza e tracciabilità della supply chain, con meccanismi di verifica indipendenti;
- e, forse, un cambio culturale: iniziare a trattare i dispositivi che custodiscono valore (o dati estremamente sensibili) con lo stesso livello di sospetto che riserviamo a una cassaforte fisica.
Il caso Ledger ci ha ricordato che la sicurezza non finisce al software o al chip “sicuro”. Esiste un livello più basso, quello della materia, dei componenti fisici, della catena di montaggio e distribuzione. Finché non inizieremo a prendere sul serio anche quello, resteremo vulnerabili a attacchi che non hanno bisogno di violare nessuna password: bastano solo un cacciavite, un po’ di elettronica e la pazienza di aspettare che l’utente faccia la cosa più normale del mondo… leggere ciò che appare sullo schermo.
