Detrás de 8,8 millones de unidades vendidas, alguien metió en una billetera de hardware un chip que puede enviarse mensajes por sí solo 🦖
🚨 行情变了群里说
El equipo de investigación de seguridad Donjon de Ledger confirmó el martes que algunos dispositivos de firma vendidos a través del distribuidor del sudeste asiático CryptoBilis ocultaban un módulo de implantación de hardware no autorizado. Este módulo apuntaba específicamente a la pantalla del dispositivo: en el momento en que aparecía la frase semilla, leía los 24 caracteres completos y luego, a través de una eSIM integrada, enviaba los datos en tiempo real por la red LTE ⚠️
La parte más absurda de esta cadena es que no toca el chip de seguridad, no modifica el sistema y tampoco cambia la firma de las transacciones. El dispositivo parece funcionar con normalidad en tus manos, pero las monedas ya han sido robadas de un solo golpe.
Los números lo dejan claro: este módulo implantado es un componente independiente, con alimentación propia, y solo depende de la pantalla. El único dispositivo afectado confirmado oficialmente por ahora es una unidad. El detective on-chain Specter rastreó un supuesto monto robado de más de 86 millones de dólares; otro medio de seguridad elevó la estimación a 103 millones de dólares. El robo abarca tres cadenas: Ethereum, Tron y Bitcoin. Por su parte, Ledger afirma haber vendido más de 8 millones de billeteras de hardware en diez años 📉
La cronología es corta: el viernes 9 de octubre un usuario reportó la pérdida; el sábado la compañía confirmó que un dispositivo había sido manipulado; y no fue hasta el martes que se reveló el mecanismo del ataque. Ahora, la cadena europea MediaMarkt ya retiró los productos de Ledger, el distribuidor CryptoBilis ha suspendido por completo las ventas, e incluso Trezor y OneKey se apresuraron a marcar distancia.
Mi lectura es que no se trata de un hackeo de software, sino de una brecha en la cadena de suministro. El mayor atractivo de una billetera de hardware siempre fue que la clave privada nunca se conecta a Internet; pero cuando el dispositivo ya fue abierto antes de llegar a tus manos, esa frase de "nunca se conecta a Internet" se convierte en palabras vacías. Visto al revés, esto también explica por qué cada vez más instituciones prefieren entregar el dinero a un custodio: puedes proteger tu clave privada, pero no necesariamente el eslabón del envío.
Lo que vale la pena vigilar es que ya hay analistas white hat señalando que, si se implementan de verdad la detección antimanipulación en fábrica y la trazabilidad con responsabilidad a lo largo del flujo, el coste de este tipo de ataque aumentaría muchísimo. Así que lo que realmente debería preocupar no es una sola empresa, sino todos los canales de hardware que no tengan rendición de cuentas de extremo a extremo.
Hablemos en los comentarios: ¿todavía te atreves a leer en voz alta para ti mismo la frase semilla de tu billetera de hardware?
Todos los días te traemos las noticias más calientes sobre seguridad cripto. No solo ves qué pasó, sino que también entiendes la lógica y las oportunidades detrás de ello 👀🚀
🚨 行情变了群里说
El equipo de investigación de seguridad Donjon de Ledger confirmó el martes que algunos dispositivos de firma vendidos a través del distribuidor del sudeste asiático CryptoBilis ocultaban un módulo de implantación de hardware no autorizado. Este módulo apuntaba específicamente a la pantalla del dispositivo: en el momento en que aparecía la frase semilla, leía los 24 caracteres completos y luego, a través de una eSIM integrada, enviaba los datos en tiempo real por la red LTE ⚠️
La parte más absurda de esta cadena es que no toca el chip de seguridad, no modifica el sistema y tampoco cambia la firma de las transacciones. El dispositivo parece funcionar con normalidad en tus manos, pero las monedas ya han sido robadas de un solo golpe.
Los números lo dejan claro: este módulo implantado es un componente independiente, con alimentación propia, y solo depende de la pantalla. El único dispositivo afectado confirmado oficialmente por ahora es una unidad. El detective on-chain Specter rastreó un supuesto monto robado de más de 86 millones de dólares; otro medio de seguridad elevó la estimación a 103 millones de dólares. El robo abarca tres cadenas: Ethereum, Tron y Bitcoin. Por su parte, Ledger afirma haber vendido más de 8 millones de billeteras de hardware en diez años 📉
La cronología es corta: el viernes 9 de octubre un usuario reportó la pérdida; el sábado la compañía confirmó que un dispositivo había sido manipulado; y no fue hasta el martes que se reveló el mecanismo del ataque. Ahora, la cadena europea MediaMarkt ya retiró los productos de Ledger, el distribuidor CryptoBilis ha suspendido por completo las ventas, e incluso Trezor y OneKey se apresuraron a marcar distancia.
Mi lectura es que no se trata de un hackeo de software, sino de una brecha en la cadena de suministro. El mayor atractivo de una billetera de hardware siempre fue que la clave privada nunca se conecta a Internet; pero cuando el dispositivo ya fue abierto antes de llegar a tus manos, esa frase de "nunca se conecta a Internet" se convierte en palabras vacías. Visto al revés, esto también explica por qué cada vez más instituciones prefieren entregar el dinero a un custodio: puedes proteger tu clave privada, pero no necesariamente el eslabón del envío.
Lo que vale la pena vigilar es que ya hay analistas white hat señalando que, si se implementan de verdad la detección antimanipulación en fábrica y la trazabilidad con responsabilidad a lo largo del flujo, el coste de este tipo de ataque aumentaría muchísimo. Así que lo que realmente debería preocupar no es una sola empresa, sino todos los canales de hardware que no tengan rendición de cuentas de extremo a extremo.
Hablemos en los comentarios: ¿todavía te atreves a leer en voz alta para ti mismo la frase semilla de tu billetera de hardware?
Todos los días te traemos las noticias más calientes sobre seguridad cripto. No solo ves qué pasó, sino que también entiendes la lógica y las oportunidades detrás de ello 👀🚀