Una vulnerabilità Ethereum su Ledger è stata corretta in silenzio il 12 agosto 2026, ma il pubblico l’ha scoperta soltanto undici giorni più tardi, quando un ricercatore di sicurezza ha deciso di renderla nota senza passare prima dal produttore. Nel mezzo restano una patch pubblicata senza alcun avviso ufficiale, un ricercatore che accusa Ledger di scarsa trasparenza e un CTO che parla di allarmismo gratuito. La vicenda racconta molto di come oggi funzioni davvero la sicurezza informatica nel settore degli hardware wallet.
Summary
Punti chiave
- Ledger ha corretto una vulnerabilità Ethereum su Ledger il 12 agosto 2026, integrando la patch nella versione 1.22.2 dell’app Ethereum.
- Il bug era una race condition che poteva permettere a un’app malevola di sostituire una transazione legittima con una fraudolenta durante la firma.
- Il team interno Donjon ha individuato il difetto usando strumenti assistiti dall’intelligenza artificiale, prima di qualsiasi segnalazione esterna.
- Il ricercatore TestMachine ha divulgato pubblicamente il bug tra il 21 e il 23 agosto 2026, scatenando la reazione del CTO Charles Guillemet.
- Al 24 agosto 2026 non risultavano segnalazioni confermate di fondi sottratti collegate a questa falla.
La correzione silenziosa di Ledger per la vulnerabilità Ethereum
Ledger ha risolto il problema quasi due settimane prima che qualcuno ne parlasse pubblicamente. La patch di sicurezza per l’hardware wallet è arrivata con la versione 1.22.2 dell’app Ethereum, ma senza alcun bollettino di sicurezza, comunicato stampa o avviso agli utenti: per circa dieci giorni l’azienda non ha detto nulla.
La natura del bug race condition e la versione corretta
Il difetto era una race condition legata ai comandi APDU, l’Application Protocol Data Unit che gestisce la comunicazione tra il software del computer e il chip sicuro all’interno del dispositivo Ledger. Nei flussi di clear signing, quelli in cui il device mostra sullo schermo i dettagli leggibili della transazione, un comando malevolo concorrente poteva insinuarsi e sostituire la transazione originale con una diversa, prima che l’utente completasse l’approvazione. In pratica, un utente convinto di autorizzare un piccolo trasferimento di token avrebbe potuto, in un attacco reale, concedere accesso illimitato ai propri token a un indirizzo controllato da un attaccante. È esattamente il tipo di scenario che la correzione dell’app Ethereum mirava a scongiurare, colpendo il cuore della promessa di Ledger: mostrare sullo schermo esattamente ciò che si sta firmando.
Tempistiche tra scoperta interna e divulgazione pubblica
Il cuore della controversia non riguarda tanto il bug quanto chi l’ha trovato per primo e quando lo ha reso noto. Le due parti coinvolte raccontano versioni diverse dello stesso mese di agosto.
Donjon e la scoperta assistita dall’intelligenza artificiale
Il team di sicurezza interno di Ledger, noto come Donjon, ha individuato la falla prima che qualsiasi ricercatore esterno la segnalasse, utilizzando strumenti di ricerca assistiti dall’intelligenza artificiale. È un dettaglio che pesa: significa che il bug race condition è stato scovato e riparato internamente, con la patch distribuita il 12 agosto senza clamore.
La divulgazione pubblica di TestMachine e il bounty rifiutato
Il quadro è cambiato quando un ricercatore che opera sotto il nome TestMachine ha rivelato pubblicamente il bug tra il 21 e il 23 agosto 2026. TestMachine ha dichiarato di aver validato la falla su un dispositivo Ledger Flex e di aver condiviso i risultati con Ledger, rifiutando però l’offerta di una ricompensa (bounty). Il ricercatore ha inoltre sostenuto che lo stesso codice condiviso relativo ai comandi APDU e all’interfaccia utente renderebbe potenzialmente coinvolti anche i modelli Nano X, Nano S Plus, Stax e Apex.
La risposta di Charles Guillemet e la disputa sulla linea temporale
Il CTO di Ledger, Charles Guillemet, ha respinto con forza la narrazione di TestMachine, definendo la divulgazione un tentativo di generare attenzione mediatica più che un vero contributo alla sicurezza. Secondo Guillemet, i ricercatori avrebbero contattato il programma di bounty di Ledger solo dopo che la correzione era già stata distribuita, senza un reale confronto preventivo con l’azienda. Il fix, ha sottolineato, era attivo da circa due settimane quando TestMachine ha reso pubblica la vicenda. TestMachine, dal proprio lato, mantiene di aver scoperto e validato il bug in modo indipendente, di averlo condiviso con Ledger e di aver scelto consapevolmente di pubblicare i risultati dopo aver rinunciato al bounty. Non risulta al momento un proof of concept pubblico completo che dimostri il furto di fondi su tutti i dispositivi citati.
Cosa rischiano davvero gli utenti Ledger e cosa fare adesso
Nessuna perdita di fondi è stata finora confermata, ma la finestra temporale tra scoperta e patch pubblica lascia margini di incertezza per chi non ha ancora aggiornato il proprio dispositivo.
Nessuna perdita di fondi confermata al 24 agosto
Al 24 agosto 2026 non erano emerse segnalazioni verificate di fondi sottratti collegate a questa vulnerabilità Ethereum su Ledger. È un dato importante, perché riduce la portata immediata del danno, ma non elimina il rischio per chi utilizza ancora versioni datate dell’app.
Aggiornamento consigliato e assenza di un piano di risarcimento
Ledger consiglia agli utenti di aggiornare sia il firmware del dispositivo sia l’app Ethereum alla versione 1.22.2 o successiva. Aggiornare solo il software desktop o mobile non basta: se l’app installata sul hardware resta obsoleta, il problema di firma delle transazioni continua a esistere. Al momento, Ledger non ha annunciato alcun processo di compensazione né misure di emergenza specifiche legate a questo episodio, un silenzio che, insieme alla scelta iniziale di non pubblicare un avviso di sicurezza, alimenta i dubbi sulla trasparenza dell’azienda proprio mentre il settore degli hardware wallet vive una fase di crescente scrutinio pubblico sulle proprie pratiche di disclosure.
FAQ
Qual era il difetto di sicurezza nell’app Ethereum di Ledger?
Si trattava di una race condition legata ai comandi APDU, che poteva permettere a un’app malevola di sostituire una transazione legittima con una dannosa durante la fase di firma.
Come e quando Ledger ha scoperto la vulnerabilità?
Il team di sicurezza interno di Ledger, Donjon, ha individuato la falla utilizzando strumenti assistiti dall’intelligenza artificiale, prima che qualsiasi ricercatore esterno la segnalasse.
Quando è stata divulgata pubblicamente la vulnerabilità?
Il ricercatore di sicurezza TestMachine ha rivelato pubblicamente il bug tra il 21 e il 23 agosto 2026.
Esistono prove che siano stati sottratti fondi a causa di questa vulnerabilità?
No, al 24 agosto 2026 non erano emerse segnalazioni confermate di fondi sottratti collegate a questa vulnerabilità.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
