En su comunicado del 11 de octubre, el fabricante de monederos físicos Ledger acotó el alcance: todos los casos de robo confirmados apuntan a dispositivos vendidos por CryptoBilis, un distribuidor autorizado del sudeste asiático. No se han encontrado indicios de intrusión en los sistemas de la propia empresa ni en los productos vendidos directamente.
La cronología merece más atención. El 9 de octubre, Ledger pidió al distribuidor que suspendiera todos los envíos; el día 10 confirmó que al menos un dispositivo tenía un implante de hardware no autorizado en su interior; y el día 11 limitó el alcance a un único canal. Karpeles, exresponsable de Mt. Gox, desmontó un Ledger Nano X procedente de Malasia que parecía estar intacto y encontró, bajo el acolchado de la pantalla, una placa de circuito adicional con componentes celulares, capaz de grabar la frase semilla que aparece en la pantalla durante la inicialización. El dispositivo tenía un aspecto normal y la verificación del firmware se completó sin problemas.
Las pérdidas estimadas en la cadena oscilan entre 70 y 93 millones de dólares. Ledger no ha confirmado ninguna cifra concreta; parte de los fondos ya se ha congelado y entre los activos afectados se encuentran $BTC y $ETH .
Las medidas son claras: si compraste un dispositivo a través de ese canal en los últimos tres meses y aún no lo has activado, no lo uses; si ya lo has usado, transfiere tus activos a un dispositivo nuevo y genera una frase semilla nueva. La empresa reitera que nunca pedirá las 24 palabras.
Un intermediario más en la cadena de suministro significa una mano invisible más.
La cronología merece más atención. El 9 de octubre, Ledger pidió al distribuidor que suspendiera todos los envíos; el día 10 confirmó que al menos un dispositivo tenía un implante de hardware no autorizado en su interior; y el día 11 limitó el alcance a un único canal. Karpeles, exresponsable de Mt. Gox, desmontó un Ledger Nano X procedente de Malasia que parecía estar intacto y encontró, bajo el acolchado de la pantalla, una placa de circuito adicional con componentes celulares, capaz de grabar la frase semilla que aparece en la pantalla durante la inicialización. El dispositivo tenía un aspecto normal y la verificación del firmware se completó sin problemas.
Las pérdidas estimadas en la cadena oscilan entre 70 y 93 millones de dólares. Ledger no ha confirmado ninguna cifra concreta; parte de los fondos ya se ha congelado y entre los activos afectados se encuentran $BTC y $ETH .
Las medidas son claras: si compraste un dispositivo a través de ese canal en los últimos tres meses y aún no lo has activado, no lo uses; si ya lo has usado, transfiere tus activos a un dispositivo nuevo y genera una frase semilla nueva. La empresa reitera que nunca pedirá las 24 palabras.
Un intermediario más en la cadena de suministro significa una mano invisible más.