Última hora de este fin de semana: Ledger confirmó que hubo manipulación física.
Lo que confirmó Ledger:
El 10 de octubre, el servicio de asistencia de Ledger publicó en X: «Ledger puede confirmar que el dispositivo de uno de los usuarios afectados contenía un implante de hardware no autorizado». Es la primera vez que Ledger verifica que hubo manipulación física en su investigación, que comenzó el 9 de octubre. da5c
Ledger destacó que su propia infraestructura no se vio comprometida: «no hay indicios de que la infraestructura de seguridad, los sistemas o los servicios de Ledger se hayan visto comprometidos». da5c
Vinculado al revendedor CryptoBilis:
El hallazgo está vinculado a dispositivos vendidos a través de CryptoBilis, que Ledger incluye como revendedor en Indonesia, Malasia y Filipinas. CryptoBilis ha suspendido la venta de todo su inventario de monederos físicos hasta que concluya la investigación. da5c
Magnitud de las pérdidas: siguen siendo estimaciones:
Los analistas de blockchain estiman que las pérdidas superan los 86 millones de dólares. El investigador Specter calculó que superaban los $MSFTB 86 millones entre Bitcoin, Ethereum y TRON; Bitquery estimó unos $$JPMB en 311 monederos; y el investigador Yfarmx calculó $BTC 93,4 millones en 471 direcciones. Ledger NO ha confirmado ninguna de estas cifras. da5c
Cómo se cree que funciona el implante:
Ledger no ha publicado su propio análisis del dispositivo, pero la descripción pública más detallada es la de Mark Karpelès (exdirector ejecutivo de Mt. Gox), quien examinó un Ledger Nano X modificado. Informó que tenía una placa de circuito oculta con un módulo LTE, una eSIM y un microcontrolador conectado al bus SPI de la pantalla. Este solo observa la pantalla mientras aparece la frase de recuperación de 24 palabras durante la configuración, la graba y la transmite por la red celular sin tocar el elemento seguro. 5193
Eso explica por qué aún podía superar la verificación de autenticidad de Ledger: el chip seguro y el firmware están intactos. 5193
Qué hacer si compraste en CryptoBilis:
Según las indicaciones de Ledger:
- NO inicialices un dispositivo que aún no hayas configurado
- Si ya lo configuraste, transfiere inmediatamente tus activos a un monedero nuevo con una frase de recuperación nueva, en un dispositivo comprado directamente a Ledger
- Ledger nunca te pedirá tu frase de 24 palabras 5154
Ledger se está poniendo en contacto directamente con los usuarios afectados y pide a quienes tengan información que escriban a bounty@ledger.fr. 5154
Si tienes uno de estos dispositivos, ¿quieres que te guíe paso a paso para migrar de forma segura a una nueva frase semilla sin exponer la anterior?#EtherETFsExtendOutflowsToNineDays #XRPLedgerPatchesXRPCreationBug #STRKRisesAbout20%In24Hours #ArgentinaCentralBankWillNotPushCryptoIntoBankingForTwoYears #EvernorthCompletesSPACMergerWithArmadaII