Gli utenti crypto stanno letteralmente pesando i loro cold wallet in seguito a uno scandalo di wallet hardware manomessi, collegato a furti per circa 93 milioni di dollari. Tuttavia, questa cosiddetta prova del peso può svelare un impianto nascosto senza però garantire che il dispositivo sia davvero pulito.
La verifica ha preso piede dopo che Ledger ha confermato la presenza di un impianto nascosto all’interno di un dispositivo venduto tramite CryptoBilis, un rivenditore elencato da Ledger per il Sud-Est asiatico. Ledger afferma che i propri sistemi non sono stati compromessi, eppure il dispositivo interessato sarebbe comunque arrivato all’acquirente tramite quel canale indicato.
Perché i proprietari stanno pesando i loro wallet hardware
Pesare il dispositivo convince perché consente di lasciarlo sigillato e intatto. I produttori pubblicano i valori di riferimento da confrontare.
Ledger indica per il Nano X 34 grammi, mentre Trezor dichiara per la Safe 3 14 grammi. I proprietari poi confrontano questi valori con ciò che rilevano.
In teoria, una scheda aggiuntiva, un’antenna e un modem cellulare incrementano la massa, quindi un wallet hardware più pesante appare sospetto.
L’ex CEO di Mt. Gox, Mark Karpelès, ha trovato proprio questa configurazione in un Nano X sigillato acquistato in Malesia. Secondo lui, un chip spia nascosto leggeva la recovery phrase dallo schermo e la inviava tramite una connessione cellulare.
Perché pochi grammi in più non significano nulla
Tuttavia, l’impianto non ha mai avuto bisogno di una corrispondenza perfetta. Nel dispositivo di Karpelès, la scheda era montata dietro lo schermo mentre una batteria più corta liberava spazio, riducendo il peso aggiunto.
Karpelès stesso ha stimato la differenza residua in circa un grammo. Secondo lui, rientra nelle normali variazioni di fabbrica, dato che batterie con la stessa capacità possono comunque pesare diversamente.
Una bilancia da cucina con precisione al grammo non riesce a distinguere questa differenza da un piccolo impianto. Bilance di precisione micro fanno meglio, ma solo se sono tarate con un peso di riferimento. Aprire la scocca rimane l’unico modo diretto per ispezionare la scheda di un wallet hardware.
Il consiglio di Ledger va anche oltre. L’azienda ha sospeso le vendite tramite rivenditori e ha invitato chi ha acquistato da CryptoBilis di recente a non effettuare affatto la configurazione del wallet hardware.
In definitiva, una bilancia da cucina può solo rilevare un impianto grossolano, non uno installato con attenzione. Poiché gli attacchi ai wallet hardware stanno passando dal software al dispositivo stesso, acquistare direttamente dal produttore può contare più di qualsiasi test domestico.
