Trezor conferma: impianti hardware per rubare cripto in tre Safe 5 venduti da un rivenditore asiatico

Trezor, uno dei produttori più noti di portafogli hardware per criptovalute, ha confermato che tre esemplari del modello Safe 5 erano stati manomessi prima di arrivare ai clienti. All'interno dei dispositivi c'erano impianti hardware malevoli, cioè componenti fisici aggiunti di nascosto, progettati per rubare le cosiddette frasi di recupero e inviarle agli aggressori attraverso le reti cellulari. I tre apparecchi erano stati venduti da CryptoBilis, un rivenditore attivo nel Sud-Est asiatico.

La frase di recupero è una sequenza di parole che funziona come chiave di riserva dell'intero portafoglio: chi la conosce può spostare i fondi su un altro indirizzo senza bisogno del dispositivo fisico né del PIN. Per questo un impianto in grado di leggerla e trasmetterla a distanza è particolarmente insidioso. Il caso riporta l'attenzione su un rischio che molti utenti sottovalutano: un portafoglio hardware è sicuro solo se lo è anche il percorso che lo porta dalla fabbrica alle loro mani.

Che cosa è stato trovato nei dispositivi

Secondo quanto confermato da Trezor, i tre Safe 5 interessati contenevano componenti non previsti dal progetto originale. Il loro scopo era intercettare la frase di recupero e spedirla fuori dal dispositivo usando una connessione cellulare, la stessa tecnologia delle schede SIM dei telefoni. È un dettaglio importante: un canale di questo tipo non dipende dal computer o dalla rete domestica dell'utente, quindi la trasmissione può avvenire anche senza che la vittima se ne accorga.

Si tratta di una manomissione fisica, molto diversa dai malware che arrivano via internet. Un attacco del genere richiede di intervenire sull'hardware prima della vendita, e per questo viene classificato come attacco alla catena di fornitura (supply chain): il prodotto viene alterato in un punto qualsiasi tra produzione, magazzino e rivendita. La fonte indica come canale di vendita il rivenditore CryptoBilis, mentre non emergono, dalle informazioni disponibili, conferme di altri canali coinvolti.

Un portafoglio hardware è sicuro solo quanto il percorso che lo porta dalla fabbrica alle mani dell'utente.

La risposta di Trezor e la correzione

Trezor ha confermato il problema e ha rilasciato una correzione. Il fatto che l'azienda abbia riconosciuto pubblicamente l'accaduto è un elemento positivo per la trasparenza, anche se resta il limite di fondo: un aggiornamento software può migliorare i controlli sul dispositivo, ma non può cancellare un componente saldato fisicamente all'interno di un apparecchio già manomesso.

Per chi ha acquistato un portafoglio hardware, la lezione pratica è che l'integrità del dispositivo va verificata fin dall'apertura della confezione. Acquistare direttamente dal produttore o da rivenditori ufficiali dichiarati, controllare i sigilli e seguire le procedure di verifica indicate dal costruttore sono le contromisure più semplici. Chi avesse dubbi su un esemplare acquistato da un canale non ufficiale dovrebbe contattare il supporto del produttore.

Perché la supply chain è il punto debole

I portafogli hardware nascono per tenere le chiavi private lontane dai computer, che sono più facili da infettare. Questa protezione funziona finché il dispositivo è quello progettato dal produttore. Se un intermediario o un anello della filiera lo altera, l'utente si trova con un oggetto che sembra originale ma lavora contro di lui. Colpire la distribuzione, invece del software, è un metodo più laborioso ma può dare accesso diretto ai fondi.

Il numero di dispositivi coinvolti confermati è piccolo, tre, ma ciò non rende l'episodio trascurabile. Una manomissione fisica con trasmissione cellulare indica un'operazione pianificata e con una certa competenza tecnica. Resta da capire, e la fonte non lo chiarisce, quanti utenti possano essere stati esposti e se esistano altri esemplari alterati in circolazione. Fino ad allora, la prudenza sull'origine del dispositivo è la difesa più efficace.

Perché conta. L'episodio mostra che anche i dispositivi pensati per proteggere le criptovalute possono essere compromessi prima della vendita. Una frase di recupero rubata permette di svuotare un portafoglio senza lasciare margine di rimedio, e gli aggiornamenti software non risolvono una manomissione fisica. Per gli utenti, scegliere con cura il canale d'acquisto e verificare l'integrità del dispositivo è parte della sicurezza quanto la custodia della frase stessa.