Dispositivi Ledger falsi e truffe Ledger: come riconoscerli e proteggere i Suoi fondi

Ledger è il marchio di hardware wallet più usato al mondo – ed è anche il più impersonato. Le truffe rivolte agli utenti di Ledger sono numerose, ben finanziate e progettate per sembrare del tutto legittime: è per questo che anche gli utenti esperti ci cascano. La protezione che funziona consiste nel capire come opera ogni tipo di attacco e cosa fare nei primi minuti dopo essersi resi conto di essere stati presi di mira.

Perché gli utenti Ledger sono il bersaglio preferito

Un hardware wallet è forte tanto quanto la frase di recupero di 24 parole che lo protegge. Il dispositivo in sé è blindato, ma la frase è l'unico punto debole: chi possiede quelle 24 parole può rigenerare ogni chiave privata e svuotare ogni conto senza mai toccare il Suo Ledger. I truffatori lo sanno, e ogni truffa Ledger ha lo stesso obiettivo: ottenere la frase, oppure convincerLa ad approvare una transazione che non capisce.

Questo unico obiettivo rende più facile decifrare l'intero panorama delle truffe. Se un'email, un sito, un'app o una persona Le chiede la frase di recupero, una «verifica» delle Sue parole o una foto della Sua scheda seed, quella conversazione è una truffa, per quanto ufficiale possa sembrare.

Email di phishing e messaggi di testo

Nel luglio 2020, il database e-commerce e marketing di Ledger è stato violato, esponendo nomi, indirizzi email e, in molti casi, indirizzi postali di circa 272.000 clienti. La violazione ha riguardato solo dati di contatto: nessuna chiave privata, nessuna frase di recupero, nessun dato del wallet. Quello che è seguito è stata una campagna di phishing prolungata che usava quei dati reali dei clienti per rendere credibili i contatti falsi: email con il Suo vero nome, che citavano il Suo vero indirizzo, affermavano che il dispositivo richiedeva un aggiornamento del firmware, che i Suoi conti erano a rischio o che poteva beneficiare di una migrazione «Ledger Recover». Ognuna di quelle email portava a un sito che chiedeva la frase di recupero di 24 parole.

Ledger non Le chiederà mai la frase di recupero via email, SMS o modulo online. La frase si inserisce solo sul dispositivo fisico, durante la configurazione iniziale o il ripristino. Non viene mai digitata su un sito, in un'app o in una finestra di chat: non per una «verifica», non per «motivi di sicurezza», non per l'assistenza. Se una comunicazione gliela chiede, è una truffa. Elimini il messaggio, non clicchi sul link e non risponda.

Siti falsi e app Ledger Live false

Domini fraudolenti che imitano Ledger compaiono nei risultati di ricerca, negli spazi pubblicitari a pagamento e nelle email di phishing. I pattern più comuni includono domini che aggiungono trattini o parole extra, errori di battitura deliberati e varianti con «support» o «download» del nome Ledger. Questi siti possono sembrare identici a quello vero e offrirLe di sincronizzare, verificare o ripristinare il Suo wallet. Tutti hanno bisogno della Sua frase di recupero.

L'unico dominio legittimo è ledger.com, e il sito di assistenza ufficiale è support.ledger.com. Ledger Live si scarica solo dal sito ufficiale Ledger o dagli store ufficiali di app: mai da un link in un'email, da un annuncio di ricerca, da una descrizione YouTube o da un pop-up. False app «Ledger Live» sono state distribuite anche tramite store Android non ufficiali e APK sideloadati, ed estensioni del browser dannose che imitano Ledger sono comparse negli store di estensioni. Controlli il nome dello sviluppatore, controlli il numero di download e tratti qualsiasi estensione che chieda permessi sul portafoglio come se non fosse di Ledger.

Dispositivi Ledger falsi

L'hardware Ledger contraffatto è stato documentato e analizzato da ricercatori di sicurezza. Esternamente questi dispositivi possono sembrare identici ai Ledger autentici; internamente il firmware è modificato. La variante più pericolosa arriva precaricata con una frase di recupero già nota all'attaccante: qualsiasi fondo inviato agli indirizzi derivati da quella frase è immediatamente a sua disposizione, prima ancora che l'acquirente configuri il dispositivo.

Alcuni dispositivi falsi chiedono agli utenti di inserire una frase stampata su una carta nella confezione, invece di generarne una nuova. Un Ledger autentico genera sempre una frase di 24 parole nuova e casuale durante la configurazione iniziale e non fornisce mai una frase prestampata. Acquisti solo su ledger.com o dai rivenditori autorizzati ufficialmente elencati da Ledger: mai sui marketplace. Quando arriva un nuovo dispositivo, esegua il genuine check in Ledger Live prima di aggiungere fondi: usa una sfida crittografica per verificare che il chip Secure Element sia autentico. Plastica di scarsa qualità o uno schermo allentato possono richiedere ulteriori verifiche. L’assenza di un sigillo sulla confezione, però, non dimostra una contraffazione: Ledger usa Genuine Check per verificare l’autenticità.

Assistenza falsa e truffatori del «recupero»

I truffatori monitorano attivamente Reddit, Telegram, Discord e Twitter/X alla ricerca di utenti che pubblicano problemi con il loro portafoglio e offrono aiuto tramite messaggio diretto. L'aiuto porta sempre allo stesso punto: una richiesta della Sua frase di recupero, o un link a un sito fraudolento. Il canale di assistenza ufficiale di Ledger è support.ledger.com. Non esiste alcun supporto ufficiale Ledger tramite piattaforme di messaggistica diretta, e il personale Ledger non chiede mai la frase di recupero, in nessuna circostanza.

Una seconda ondata, ancora più crudele, colpisce chi è già stato truffato. Dopo aver perso fondi su un sito di phishing o un portafoglio falso, degli «agenti di recupero» contattano la vittima sostenendo di poter rintracciare e recuperare le criptovalute rubate, dietro pagamento anticipato o percentuale. Sono truffe di recupero. Le aziende legittime non La contattano di propria iniziativa, non chiedono pagamenti anticipati per «sbloccare» o «rintracciare» fondi rubati e non hanno mai bisogno della Sua frase di recupero né delle Sue chiavi private. Se qualcuno promette di recuperare criptovalute rubate in cambio di un pagamento anticipato, quella promessa è la truffa.

Se ha già dato la Sua frase a un truffatore

Agisca subito. Il portafoglio è compromesso nel momento in cui qualcun altro ha quelle 24 parole: può rigenerare ogni chiave privata e svuotare ogni conto, spesso in pochi minuti o poche ore.

1. Sposti i fondi rimanenti in un portafoglio completamente nuovo, generato su un dispositivo pulito con una frase di recupero fresca. Lo faccia per primo, prima di qualsiasi altra cosa.
2. Trasferisca ogni attività da ogni conto derivato dalla frase compromessa, compresi i conti di altri portafogli che usavano la stessa frase.
3. Solo dopo aver spostato i fondi, ripristini il dispositivo compromesso, e non riutilizzi mai la vecchia frase.

Non cerchi di «bloccare» il portafoglio cambiando il PIN o aggiornando il firmware: nessuno di questi passaggi protegge da chi possiede già la frase. E non usi alcun servizio che Le chieda di inviare la frase compromessa, una sua foto o ipotesi di password: una frase passata tra le mani di un truffatore è bruciata, non recuperabile. Se ha dubbi sul fatto che qualcosa sia una truffa, la guida ai segnali di allarme La aiuta a verificare prima di agire.

Cosa fa Crypto Recovers

Lavoriamo sul recupero legittimo dell'accesso: persone che possiedono ancora i loro fondi ma non riescono a raggiungerli a causa di un PIN dimenticato, una frase di recupero persa o parzialmente danneggiata, o un backup rotto. Non gestiamo casi di furto o frode: la stessa regola che protegge i nostri clienti dai truffatori del recupero. Se la Sua situazione è perdita di accesso e non furto, richieda una valutazione confidenziale per recuperare il Suo portafoglio Ledger.

FAQ: truffe Ledger

Come faccio a sapere se il mio Ledger è autentico?

Usi Genuine Check nell’app ufficiale di Ledger: verifica il dispositivo tramite un controllo crittografico. Sigilli e adesivi olografici non ne dimostrano l’autenticità. Quando crea un nuovo portafoglio, è il dispositivo a generare la frase. Non usi mai una frase o un PIN forniti nella confezione.

Ledger mi chiede mai la frase di recupero via email o nella chat di assistenza?

Mai. La frase di recupero si inserisce solo sul dispositivo fisico. Qualsiasi email, chat o sito che la chieda è una truffa, anche se usa il Suo vero nome e il Suo vero indirizzo.

Ho ricevuto un messaggio che dice che il mio conto Ledger è a rischio. Cosa devo fare?

Non clicchi su nessun link. I veri avvisi di sicurezza di Ledger puntano a ledger.com o support.ledger.com e non Le chiedono mai di inserire la frase né di scaricare un file. Apra direttamente ledger.com e controlli il dispositivo in Ledger Live.

Un dispositivo Ledger falso può rubare i miei fondi?

Sì. I dispositivi contraffatti possono essere precaricati con una frase di recupero nota all'attaccante, quindi i fondi inviati agli indirizzi derivati possono essere svuotati immediatamente. Acquisti solo su ledger.com o da rivenditori autorizzati ufficiali ed esegua il genuine check prima di aggiungere fondi.

Ho già inviato la mia frase di recupero a un truffatore. Cosa faccio ora?

Sposti subito ogni saldo rimanente in un nuovo portafoglio con una frase fresca, generato su un dispositivo pulito. Non aggiunga altri fondi, non cambi prima il PIN e non riutilizzi mai la frase compromessa.