Trezor conferma impianti hardware rubacripto in tre Safe 5 venduti da un rivenditore asiatico

Trezor, azienda che produce portafogli hardware per criptovalute, ha confermato che tre esemplari del modello Safe 5 venduti dal rivenditore del Sud-est asiatico CryptoBilis contenevano impianti malevoli. Si tratta di componenti aggiunti fisicamente al dispositivo, progettati per rubare la frase di recupero del portafoglio. Quella frase, di solito una sequenza di parole, è la chiave di riserva che permette a chiunque la possieda di spostare i fondi, anche senza avere il dispositivo.

Secondo quanto riportato, gli impianti trasmettevano i dati agli attaccanti attraverso le reti cellulari. Il caso non nasce da un difetto del software di Trezor, ma da una manomissione avvenuta lungo il percorso che porta il dispositivo all'acquirente. Il produttore ha comunque distribuito una correzione. La vicenda mostra quanto sia delicato il rapporto di fiducia tra chi compra un oggetto pensato per la sicurezza e la filiera da cui lo riceve.

Che cosa è stato trovato nei dispositivi

Il nucleo della notizia è la natura fisica dell'attacco. Un portafoglio hardware serve a tenere le chiavi crittografiche lontane dal computer, dove i malware potrebbero rubarle. Qui però il pericolo era dentro il dispositivo stesso: un componente aggiuntivo, installato prima della consegna, in grado di catturare la frase di recupero e di spedirla all'esterno.

Il canale scelto è la rete cellulare, la stessa tecnologia degli smartphone. Questo dettaglio conta, perché un dispositivo del genere non dipende dal computer o dalla rete domestica dell'utente per far uscire i dati. La fonte parla di tre unità Safe 5 interessate, tutte collegate al rivenditore CryptoBilis, e non indica altri canali di vendita coinvolti.

Il pericolo non era nel software, ma in un componente nascosto dentro il dispositivo che doveva proteggere le chiavi.

Il nodo della catena di fornitura

Il caso rientra negli attacchi alla catena di fornitura, cioè quelli che colpiscono un prodotto prima che arrivi all'utente finale. Per un portafoglio hardware è uno scenario temuto: l'acquirente di solito ritiene che il dispositivo sia sicuro perché sigillato e di marca nota. Se la manomissione avviene presso un intermediario, quella fiducia viene sfruttata contro di lui.

Resta il fatto che il problema è emerso in un punto vendita specifico, non nella produzione ufficiale, per come lo descrive la fonte. È un elemento importante per valutare la portata, ma non elimina la necessità di cautela. Chi possiede un dispositivo acquistato fuori dai canali ufficiali ha motivo di controllarlo con maggiore attenzione.

Che cosa cambia per gli utenti

Trezor ha rilasciato una correzione, e gli utenti devono seguire le indicazioni dell'azienda. In termini pratici, chi sospetta un dispositivo compromesso non dovrebbe inserirvi una frase di recupero esistente né crearne una nuova su quel dispositivo. Conviene invece contattare l'assistenza del produttore e, se i fondi sono già stati caricati, spostarli verso un portafoglio nuovo e generato su un apparecchio affidabile.

La regola generale resta quella di comprare direttamente dal produttore o da rivenditori autorizzati, e di verificare l'integrità della confezione e del dispositivo all'accensione. Nessuna di queste misure offre una garanzia assoluta, ma riduce molto il rischio di ritrovarsi con un oggetto alterato lungo la filiera.

Perché conta. Chi usa un portafoglio hardware lo sceglie proprio per mettere le chiavi al riparo dalle minacce informatiche. Un impianto fisico che sfugge a quella protezione e trasmette i dati via rete cellulare dimostra che anche i dispositivi di sicurezza possono essere colpiti prima di arrivare nelle mani dell'utente. Il caso ricorda che l'origine dell'acquisto fa parte della sicurezza e che la fiducia nella filiera va verificata.