Compri un hardware wallet perché nessuno possa toccare le tue criptovalute. La confezione arriva sigillata, il dispositivo supera la verifica ufficiale di autenticità e annoti le tue 24 parole su un foglio. Eppure qualcuno si porta via i tuoi fondi. È quello che è successo a centinaia di acquirenti di dispositivi Ledger venduti da un rivenditore, CryptoBilis: dentro c’era un chip spia.
La risposta breve: il difetto non era in Ledger, ma nel percorso fatto dalla confezione fino a casa dell’acquirente. Se hai comprato il tuo Ledger sul sito ufficiale, non c’è alcun indizio che ti riguardi. Se l’hai comprato da un rivenditore, da un privato o su un marketplace, ci sono passi concreti che conviene fare. In CryptoImpuestos abbiamo seguito l’indagine dal primo avviso e qui trovi cosa si sa, cosa no e come comprare un wallet senza questo rischio.
Cosa è successo con Ledger?
Ledger è il produttore di wallet fisici più conosciuto: un dispositivo grande come una chiavetta USB che custodisce la chiave delle tue criptovalute senza dipendere da nessun exchange. È quello che si chiama hardware wallet o cold wallet.
I fatti, in ordine:
- 9 ottobre 2026. Ledger annuncia di indagare su furti ai danni di utenti dopo che alcuni analisti blockchain hanno stimato oltre 86 milioni di dollari sottratti.
- Dal 10 al 12 ottobre. Ledger conferma che il dispositivo di una delle vittime conteneva un impianto hardware non autorizzato e che tutte le perdite confermate riguardano dispositivi venduti da CryptoBilis, un rivenditore del Sud-est asiatico che compariva sul suo sito come distributore. CryptoBilis smette di vendere Ledger.
- 13 ottobre. Ledger pubblica come funzionava l’impianto. Lo stesso giorno MediaMarkt Saturn smette di vendere dispositivi Ledger dopo che un cliente in Germania ne ha trovato uno manomesso.
Le stime delle perdite dei ricercatori arrivano a 93,2 milioni di dollari in oltre 300 wallet, secondo CoinDesk. Ledger non ha confermato questa cifra e parla di un volume «limitato». Tether ha congelato circa 10 milioni in USDT legati al furto.
Come rubava il chip le 24 parole?
Quando configuri un Ledger per la prima volta, il dispositivo genera la tua frase di recupero e te la mostra sul suo schermo perché tu la copi: 24 parole che sono il backup della tua chiave. Chi ha quelle parole ha le tue criptovalute.
L’impianto era nascosto dentro la scocca. Secondo la spiegazione di Ledger, un piccolo microcontrollore leggeva lo schermo mentre mostrava le parole, le decifrava e le inviava tramite rete mobile grazie a una eSIM e a un’antenna. Con questo, l’attaccante poteva ripristinare il tuo wallet su un altro dispositivo e svuotarlo quando voleva.
La cosa più inquietante: l’impianto non modificava il chip sicuro né il sistema del dispositivo, e non alterava nemmeno le operazioni. Per questo lo strumento ufficiale di verifica dell’autenticità di Ledger, il Genuine Check, dava il dispositivo per buono. Le analisi pubblicate descrivono due varianti: una sostituiva la batteria con una più piccola per fare spazio e l’altra si nascondeva dietro lo schermo. L’antenna era l’indizio che tradiva la manomissione all’apertura del dispositivo.
Il difetto era nel percorso, non nel wallet
Ledger insiste che i suoi sistemi non sono stati attaccati e lo descrive come un attacco fisico alla catena di fornitura. Non si sa ancora chi abbia inserito il chip né in quale punto tra la fabbrica e l’acquirente. Secondo le analisi pubblicate, i dispositivi venivano venduti come nuovi e con la confezione sigillata.
C’è un elemento che complica le cose: Mark Karpelès, l’ex responsabile di Mt. Gox, ha raccontato di aver trovato un impianto in un Ledger Flex comprato in un negozio dell’aeroporto di Singapore, e Ledger dice che sta esaminando altre segnalazioni in luoghi diversi. Nel frattempo, ha chiesto a negozi e distributori di non rimettere in vendita dispositivi restituiti.
Come capire se il tuo Ledger è coinvolto?
Non esiste una prova casalinga affidabile: il Genuine Check non lo rileva e aprire il dispositivo non è qualcosa che dovresti fare. Quello che puoi fare è rispondere a due domande.
Dove l’hai comprato?
- Sul sito ufficiale di Ledger: non c’è alcun indizio che quei dispositivi siano coinvolti.
- Da CryptoBilis: Ledger chiede di non inizializzarlo se non l’hai ancora fatto e, se lo usi già, di spostare i tuoi fondi su un dispositivo nuovo.
- In un altro negozio, su un marketplace o da un privato: non ci sono prove che ti riguardi, ma non puoi nemmeno escluderlo del tutto. Valuta l’importo che custodisci.
Come ti sono arrivate le 24 parole?
Le parole le genera sempre il dispositivo stesso e te le mostra sul suo schermo. Se erano stampate nella confezione, su una scheda o te le ha date qualcuno, non usare quel dispositivo: è una truffa nota da anni, con o senza chip.
Se hai dubbi, la soluzione è la stessa che indica Ledger: compra un dispositivo nuovo sul sito ufficiale, genera parole nuove e sposta lì le tue criptovalute. Spostare fondi da un tuo wallet a un altro tuo wallet non è una vendita.
Come comprare un hardware wallet sicuro
Vale per Ledger e per qualsiasi altro marchio:
- Compra sul sito ufficiale del produttore. È il percorso più breve tra la fabbrica e casa tua.
- Diffida degli affari troppo belli. Un prezzo molto più basso di quello ufficiale su un marketplace è un segnale, non un’opportunità.
- Mai di seconda mano. Anche se è «mai usato».
- Le parole le genera il dispositivo, davanti a te. Se arrivano già scritte, restituiscilo.
- Annotale su carta o su metallo, mai sul telefono, in una foto o nel cloud.
- Nessuno di legittimo te le chiederà mai: né il produttore, né l’assistenza, né noi.
- Fai prima un piccolo invio di prova e controlla l’indirizzo e la rete.
Se non ti è chiaro cosa custodisce davvero un wallet e perché quelle 24 parole valgono tanto, lo spieghiamo da zero in cos’è un wallet crypto.
E con il fisco spagnolo? Spostare le crypto su un wallet nuovo non si tassa
Due dubbi che ci arrivano in questi giorni:
- Spostare le tue criptovalute su un wallet nuovo non è una vendita. Non c’è plusvalenza né minusvalenza finché restano tue. Detto questo, conserva la prova che i due indirizzi sono tuoi: quando venderai, dovrai giustificare da dove provengono. Lo spieghiamo in come estrarre l’operatività dei tuoi wallet.
- Tenere criptovalute in autocustodia non ti esonera dal dichiararle. L’Agenzia delle Entrate spagnola (AEAT) può seguire la traccia di ciò che esce da un exchange verso un wallet, come spieghiamo in come fa il fisco spagnolo a sapere che hai un cold wallet.
Se hai subito un furto, il trattamento fiscale di quella perdita dipende da ogni caso e da ciò che puoi dimostrare: denuncia, movimenti on-chain e titolarità degli indirizzi. Conserva tutta la documentazione dal primo giorno.
Riepilogo: cosa fare in base a dove hai comprato il tuo Ledger
| Dove l’hai comprato | Rischio secondo quanto si sa | Cosa fare |
|---|---|---|
| Sito ufficiale di Ledger | Nessun indizio di coinvolgimento | Niente di particolare; segui le buone pratiche |
| CryptoBilis | Tutte le perdite confermate vengono da qui | Non inizializzarlo o spostare i fondi su un dispositivo nuovo con parole nuove |
| Altro negozio, marketplace o privato | Nessuna prova, ma non si può escludere | Valuta di spostare i fondi su un dispositivo nuovo comprato sul sito ufficiale |
| Arrivava con le parole stampate | Truffa sicura | Non usarlo |
Domande frequenti
Ledger è stato hackerato?
Secondo Ledger, no: i suoi sistemi e il suo software non sono stati compromessi. Si è trattato di una manomissione fisica di dispositivi in qualche punto della catena di distribuzione, e l’indagine è ancora aperta.
Il Genuine Check rileva il chip spia?
No. L’impianto non toccava il chip sicuro, che è ciò che verifica il Genuine Check, quindi il dispositivo manomesso superava la prova come autentico.
Ho comprato il mio Ledger su Amazon: sono in pericolo?
Non ci sono prove che i dispositivi venduti su altri canali siano coinvolti, ma ci sono altre segnalazioni che Ledger sta esaminando. Se custodisci un importo rilevante, l’opzione più prudente è spostare i fondi su un dispositivo comprato sul sito ufficiale e con parole nuove.
Quanto denaro è stato rubato?
Gli analisti blockchain stimano fino a 93,2 milioni di dollari in oltre 300 wallet, secondo CoinDesk. Ledger non ha confermato la cifra e parla di un volume limitato.
Spostare le mie crypto su un altro mio wallet si tassa?
No. Spostare criptovalute tra wallet tuoi non è né una vendita né una permuta. Saranno tassate quando le venderai, le cambierai con un’altra o pagherai con esse.
Le tue crypto, ben custodite e ben dichiarate
Un wallet sicuro protegge le tue criptovalute; uno storico ordinato ti protegge davanti al fisco spagnolo. Se hai spostato fondi tra exchange e wallet e non sai come far quadrare i conti, inviaci il tuo storico e noi generiamo il documento con tutti i tuoi exchange e wallet con il metodo FIFO globale richiesto dal fisco spagnolo.
Fonti: CoinDesk: Ledger spiega il chip spia dei dispositivi di CryptoBilis (13/10/2026) · BleepingComputer: Ledger conferma l’impianto (12/10/2026) · CoinDesk: Ledger indaga su furti per 86 milioni (09/10/2026) · Ledger Support su X: raccomandazioni
Víctor Lázaro
Direttore marketing, Cryptoimpuestos.es
