Atención si usas una billetera de hardware Ledger:
La cuenta oficial de soporte de Ledger confirmó el 9 de octubre que está investigando informes de fondos transferidos sin autorización de usuarios del Sudeste Asiático. El caso involucra al distribuidor CryptoBilis, autorizado en Indonesia, Malasia y Filipinas.
Como medida preventiva, Ledger ha pedido al distribuidor que suspenda las ventas y los envíos. Si compraste un dispositivo aquí en los últimos 90 días: si aún no lo has inicializado, no lo configures por ahora; si ya lo configuraste y transferiste activos, considera trasladarlos a un dispositivo nuevo con una frase de recuperación generada recientemente.
El analista de blockchain Specter afirma haber rastreado el vaciado de cientos de direcciones en Bitcoin, Ethereum y Tron, con pérdidas estimadas en más de 86 millones de dólares. Esta cifra aún no ha sido verificada de forma independiente y Ledger todavía no ha anunciado la causa definitiva.
Por ahora, parece más un problema de la cadena de suministro que una vulnerabilidad del firmware que afecte a toda la red: es posible que los dispositivos fueran sustituidos o manipulados en la etapa del distribuidor y que los atacantes conocieran de antemano las frases de recuperación. La recomendación oficial de generar una nueva frase también apunta a que «las frases de recuperación de estos dispositivos no son confiables», no a que «todos los chips originales de Ledger hayan sido vulnerados de forma remota».
Mark Karpelès, exdirector de Mt.Gox, ha pedido públicamente a las víctimas fotos del interior de sus dispositivos para comprobar si hay componentes añadidos en la placa base. Esto sigue siendo una línea de investigación, no una conclusión.
Si no compraste tu dispositivo a CryptoBilis, este aviso no pide a todos los usuarios que trasladen sus activos. El mayor riesgo para una billetera de hardware sigue siendo comprar un dispositivo manipulado. Compra únicamente en el sitio web oficial de Ledger, comprueba que el dispositivo sea auténtico siguiendo el procedimiento oficial al recibirlo, genera la frase de recuperación solo en la pantalla del dispositivo y nunca le saques fotos, la subas a internet ni se la envíes a nadie.
Ledger no te enviará mensajes privados ni te llamará, y nunca te pedirá las 24 palabras. Cualquiera que aproveche este incidente para «ayudarte a verificar tu billetera» es un estafador.
La cuenta oficial de soporte de Ledger confirmó el 9 de octubre que está investigando informes de fondos transferidos sin autorización de usuarios del Sudeste Asiático. El caso involucra al distribuidor CryptoBilis, autorizado en Indonesia, Malasia y Filipinas.
Como medida preventiva, Ledger ha pedido al distribuidor que suspenda las ventas y los envíos. Si compraste un dispositivo aquí en los últimos 90 días: si aún no lo has inicializado, no lo configures por ahora; si ya lo configuraste y transferiste activos, considera trasladarlos a un dispositivo nuevo con una frase de recuperación generada recientemente.
El analista de blockchain Specter afirma haber rastreado el vaciado de cientos de direcciones en Bitcoin, Ethereum y Tron, con pérdidas estimadas en más de 86 millones de dólares. Esta cifra aún no ha sido verificada de forma independiente y Ledger todavía no ha anunciado la causa definitiva.
Por ahora, parece más un problema de la cadena de suministro que una vulnerabilidad del firmware que afecte a toda la red: es posible que los dispositivos fueran sustituidos o manipulados en la etapa del distribuidor y que los atacantes conocieran de antemano las frases de recuperación. La recomendación oficial de generar una nueva frase también apunta a que «las frases de recuperación de estos dispositivos no son confiables», no a que «todos los chips originales de Ledger hayan sido vulnerados de forma remota».
Mark Karpelès, exdirector de Mt.Gox, ha pedido públicamente a las víctimas fotos del interior de sus dispositivos para comprobar si hay componentes añadidos en la placa base. Esto sigue siendo una línea de investigación, no una conclusión.
Si no compraste tu dispositivo a CryptoBilis, este aviso no pide a todos los usuarios que trasladen sus activos. El mayor riesgo para una billetera de hardware sigue siendo comprar un dispositivo manipulado. Compra únicamente en el sitio web oficial de Ledger, comprueba que el dispositivo sea auténtico siguiendo el procedimiento oficial al recibirlo, genera la frase de recuperación solo en la pantalla del dispositivo y nunca le saques fotos, la subas a internet ni se la envíes a nadie.
Ledger no te enviará mensajes privados ni te llamará, y nunca te pedirá las 24 palabras. Cualquiera que aproveche este incidente para «ayudarte a verificar tu billetera» es un estafador.