Ledger ha suspendido las ventas de su distribuidor en el sudeste asiático, CryptoBilis, después de que vaciaran las billeteras de clientes que compraron dispositivos a través de ese canal, por un valor estimado de entre 72 y casi 90 millones de dólares.
El fabricante de billeteras de hardware dijo que está investigando las pérdidas y que pidió a CryptoBilis que suspenda todas las ventas y los envíos de dispositivos Ledger hasta que concluya la investigación. Ledger recomendó a los usuarios que compraron dispositivos al distribuidor en los últimos 90 días que no configuren los dispositivos sin usar y que transfieran sus activos a un nuevo dispositivo Ledger con una nueva frase semilla si ya están usando el suyo. La empresa dijo que mantendrá informados a sus clientes a medida que avance la investigación.
Las estimaciones en cadena de las pérdidas varían. El analista Specter rastreó diez direcciones de recaudación y contabilizó entradas procedentes de cientos de billeteras de víctimas en Ethereum, TRON y Bitcoin, lo que situó las pérdidas totales por encima de los 86 millones de dólares, mientras la cifra seguía aumentando. El analista tanuki42 situó la cifra por encima de los 72 millones de dólares, y MistTrack estimó que rondaba los 90 millones. Ledger no ha confirmado ninguna cifra en dólares.
CryptoBilis afirma ser el distribuidor autorizado de productos Ledger en Malasia y vende dispositivos en Indonesia, Malasia y Filipinas. No ha respondido a una solicitud de comentarios.
El mecanismo que se sospecha es una manipulación de la cadena de suministro, no un fallo del software de Ledger. El fundador de Binance, Changpeng Zhao, dijo que la información disponible apunta a un ataque a la cadena de suministro en un único proveedor, y que probablemente un pequeño número de personas compró dispositivos falsos o manipulados. Por su parte, la investigadora de seguridad Taylor Monahan insistió en que no existe ninguna vulnerabilidad de día cero en los productos de Ledger y advirtió que mover fondos apresuradamente expone a los usuarios a un riesgo de phishing mayor que el del propio incidente.
Parte de los fondos robados ya se ha movido. El rastreo en cadena muestra que el presunto atacante ha blanqueado unos 430 ETH, valorados en aproximadamente 1,07 millones de dólares, a través del mezclador Tornado Cash, y que las billeteras rastreadas por Arkham y vinculadas a los robos aún conservan unos 70,6 millones de dólares. Tether ha congelado USDT en direcciones vinculadas a los robos, tras lo cual el atacante empezó a intercambiar USDT por USDD, una stablecoin basada en Tron que Tether no puede congelar.
Ledger rechazó hacer más comentarios. Su investigación sigue en curso.