Il mondo della criptovaluta, notoriamente avventuroso, ha ancora delle crepe burocratiche che i criminali sanno sfruttare. Ledger, il gigante degli hardware wallet, si trova ora nel mirino di una causa di classe che richiede un sacco di soldini (parliamo di 500 milioni di dollari!) a causa di gravi falle nella gestione dei dati. La storia, che affonda le radici in un incidente del 2023, non riguarda il superamento del chip fisico, ma piuttosto l’ecosistema digitale circostante. Un cliente, che ha perso quasi 2 milioni di dollari in un secondo momento, sostiene che i truffatori abbiano sfruttato dati di contatto ottenuti da un primo incidente per orchestrare attacchi di phishing iper-mirati. Il colpo di grazia, secondo l’accusa, è arrivato tramite una campagna che ha coinvolto un pacchetto JavaScript compromesso, distribuito da un ex dipendente e sfruttando un canale NPMJS. Questo pacchetto alterato permetteva di reindirizzare le transazioni verso portafogli controllati dagli aggressori. Inoltre, la denuncia evidenzia una grave negligenza nella gestione degli accessi, poiché l’accesso dell’ex dipendente non sarebbe stato revocato correttamente, prolungando il periodo di vulnerabilità. In pratica, l’hardware wallet è un castello a prova di bombe, ma se i suoi abitanti (i dati personali) sono gestiti male, i truffatori trovano comunque un modo per farci entrare. Questa vicenda mette in luce un punto cruciale: la protezione non finisce con il chip; è un sistema complesso che abbraccia la sicurezza dei dati, i permessi digitali e la gestione umana. E tutto questo, in un periodo dove Meta e altri giganti vengono sempre più sotto pressione legale per la cura dei dati utenti.

🇬🇧 Summary in English

Looks like even Bitcoin safekeeping can’t stop a good data breach. Ledger, the high-profile hardware wallet company, is currently facing a massive class-action lawsuit demanding an astronomical $500 million. The core issue isn’t that the physical chips were cracked, but rather how the company handled the data, and specifically, the fallout from an incident dating back to 2023. A plaintiff, who himself suffered a loss of nearly two million dollars, alleges that scammers exploited leaked contact data to execute incredibly precise phishing attacks. The initial technical hiccup involved a compromised JavaScript package, which was distributed through an NPMJS channel by a former employee. This corrupted code allowed attackers to trick users into approving transactions meant for their own wallets. On top of that, the lawsuit hammers home the failure in corporate security, arguing that the former employee’s access was never properly revoked, leaving the vulnerability open for too long. The whole ordeal proves that the physical security of a wallet is only half the battle. The surrounding digital ecosystem—the contact information, the management of permissions, the timely cleanup—is just as crucial. Basically, the criminals didn’t need to jailbreak the device; they just needed enough leaked personal data to make the attack seem believable enough to trick the user into revealing their recovery phrase. This whole mess throws a massive spotlight on digital governance, a trend seen across major platforms, from Meta to the crypto sphere. It’s a reminder that even with supposedly impregnable technology, human error and poor data hygiene can turn advanced security into a revolving door for scammers.

Leggi l’articolo originale su Tom’s Hardware IT →

Fonte: Tom’s Hardware IT | Argomento: Cybersecurity

#tecnologia #innovazione #technews