Ledger reconoció el 10 de octubre que, en un incidente de robo de fondos de usuarios, los dispositivos afectados contenían «implantes de hardware no autorizados». El 11 de octubre añadió que todos los casos confirmados de robo de criptomonedas involucraban dispositivos vendidos a través del distribuidor CryptoBilis y que la cantidad de dispositivos afectados era «limitada». Esto ya es un problema de la cadena de suministro, no de que los usuarios hayan hecho clic por error en un enlace de phishing.
Hechos conocidos: Ledger no ha revelado el modelo exacto de los dispositivos implantados, cómo funcionaban ni qué papel desempeñaron en el robo de criptomonedas. CryptoBilis fue distribuidor autorizado de Ledger en Malasia, Indonesia y Filipinas, y ahora ha dejado de vender todas las existencias de carteras de hardware, una medida más amplia que la petición de Ledger del 9 de octubre de retirar de la venta únicamente sus propios dispositivos. Ledger ha recalcado que su firmware, sus sistemas, sus servicios y sus canales de venta directa no fueron vulnerados. En cuanto a las pérdidas, Ledger no ha confirmado ninguna cifra. Las estimaciones de las empresas de análisis de blockchain oscilan entre 72 y 92,9 millones de dólares, afectan a 311 carteras y se distribuyen entre $BTC , $ETH , TRON y BNB Chain.
Lo que realmente merece debatirse no es si «las carteras de hardware siguen siendo fiables», sino dónde depositamos nuestra confianza. Todo el modelo de seguridad de una cartera de hardware parte de la premisa de que «nadie ha manipulado el dispositivo desde que salió de fábrica». Y esa premisa depende de la gestión del inventario y de la cadena de distribución, precisamente el eslabón menos visible y más fácil de vulnerar. Según algunos informes, se habría instalado una pequeña placa de circuito bajo la pantalla del dispositivo para transmitir las 24 palabras de recuperación a través de la red celular, pero Ledger no ha confirmado esos detalles; por ahora, conviene tomarlos solo como pistas.
Un consejo práctico para quienes hayan comprado dispositivos de CryptoBilis: no inicialicen los dispositivos que aún estén sellados. Si ya configuraron uno y transfirieron criptomonedas, no restauren la misma frase de recuperación en un dispositivo nuevo: se volverían a crear tanto las claves privadas como las cuentas. Lo correcto es generar una frase de recuperación completamente nueva y luego migrar los fondos. Cualquier «agente de atención al cliente» que les pida las 24 palabras de recuperación es un estafador.
Mi pregunta es: si hasta un «distribuidor autorizado» puede ser un problema, ¿seguirían comprando carteras frías a través de terceros o preferirían pagar más para recibirlas directamente del fabricante?
#Ledgerconfirmaqueundispositivodeusuariofueintervenidoconhardwarenoautorizado
Hechos conocidos: Ledger no ha revelado el modelo exacto de los dispositivos implantados, cómo funcionaban ni qué papel desempeñaron en el robo de criptomonedas. CryptoBilis fue distribuidor autorizado de Ledger en Malasia, Indonesia y Filipinas, y ahora ha dejado de vender todas las existencias de carteras de hardware, una medida más amplia que la petición de Ledger del 9 de octubre de retirar de la venta únicamente sus propios dispositivos. Ledger ha recalcado que su firmware, sus sistemas, sus servicios y sus canales de venta directa no fueron vulnerados. En cuanto a las pérdidas, Ledger no ha confirmado ninguna cifra. Las estimaciones de las empresas de análisis de blockchain oscilan entre 72 y 92,9 millones de dólares, afectan a 311 carteras y se distribuyen entre $BTC , $ETH , TRON y BNB Chain.
Lo que realmente merece debatirse no es si «las carteras de hardware siguen siendo fiables», sino dónde depositamos nuestra confianza. Todo el modelo de seguridad de una cartera de hardware parte de la premisa de que «nadie ha manipulado el dispositivo desde que salió de fábrica». Y esa premisa depende de la gestión del inventario y de la cadena de distribución, precisamente el eslabón menos visible y más fácil de vulnerar. Según algunos informes, se habría instalado una pequeña placa de circuito bajo la pantalla del dispositivo para transmitir las 24 palabras de recuperación a través de la red celular, pero Ledger no ha confirmado esos detalles; por ahora, conviene tomarlos solo como pistas.
Un consejo práctico para quienes hayan comprado dispositivos de CryptoBilis: no inicialicen los dispositivos que aún estén sellados. Si ya configuraron uno y transfirieron criptomonedas, no restauren la misma frase de recuperación en un dispositivo nuevo: se volverían a crear tanto las claves privadas como las cuentas. Lo correcto es generar una frase de recuperación completamente nueva y luego migrar los fondos. Cualquier «agente de atención al cliente» que les pida las 24 palabras de recuperación es un estafador.
Mi pregunta es: si hasta un «distribuidor autorizado» puede ser un problema, ¿seguirían comprando carteras frías a través de terceros o preferirían pagar más para recibirlas directamente del fabricante?
#Ledgerconfirmaqueundispositivodeusuariofueintervenidoconhardwarenoautorizado