Las carteras frías ya no son tan «frías»: análisis del caso del chip espía de Ledger
Los ataques a la cadena de suministro están reescribiendo el mito de seguridad de las carteras de hardware. El 10 de octubre, Ledger confirmó oficialmente que se había encontrado un «implante de hardware no autorizado» en el dispositivo de un usuario afectado. Es la primera vez que Ledger reconoce una manipulación física de un dispositivo y la primera prueba material del reciente robo de fondos a usuarios del Sudeste Asiático.
Cronología:
El 9 de octubre, Ledger anunció que investigaba el robo de fondos a varios usuarios del Sudeste Asiático. Todos los dispositivos implicados se habían vendido a través del distribuidor regional CryptoBilis (con cobertura en Malasia, Indonesia y Filipinas). De inmediato, pidió al distribuidor que suspendiera todas las ventas y los envíos.
El 10 de octubre, Ledger confirmó que al menos un dispositivo contenía un implante de hardware ilegal. Empezó a ponerse en contacto individualmente con los usuarios afectados y a colaborar con las fuerzas del orden para rastrear el origen.
El 11 de octubre, Ledger comunicó que «el número de dispositivos afectados es limitado» y que todos los casos confirmados seguían circunscritos al canal de CryptoBilis; las ventas directas desde el sitio web oficial y sus propios sistemas no se habían visto afectados. Por su parte, CryptoBilis suspendió voluntariamente la venta de todo su inventario de carteras de hardware, una medida más amplia que la petición inicial de Ledger.
Las cifras de las pérdidas que manejan ambas partes difieren considerablemente: los investigadores de la cadena Specter, Bitquery y Yfarmx estimaron por separado que se habían robado entre 86 y 93,4 millones de dólares, de más de 300 carteras, con activos $BTC , $ETH y $TRX . Ledger no confirmó ninguna cifra y se limitó a recalcar que el alcance era «limitado». Según los informes, la colaboración con Tether y las fuerzas del orden permitió congelar más de 10 millones de dólares.
Hay varios detalles que invitan a la cautela: ya el 16 de septiembre, un investigador había mostrado implantes espía mezclados con circuitos originales; los dispositivos manipulados incluso se vendían por la mitad de precio en canales no oficiales. Mark Karpelès también encontró en Malasia un componente electrónico adicional detrás de la pantalla de una Nano X. Los dispositivos afectados llevaban ya un tiempo circulando.
Lista de comprobación para usuarios de carteras de hardware:
1. Si compraste tu dispositivo a través de CryptoBilis y aún no lo has inicializado, no lo enciendas ni generes una frase de recuperación.
2. Si ya lo has puesto en marcha, transfiere cuanto antes tus fondos a un dispositivo nuevo comprado directamente en el sitio web oficial y utiliza una frase de recuperación nueva.
3. Cualquier solicitud «oficial» de tu frase de recuperación de 24 palabras es una estafa. Ledger nunca te la pedirá.
4. Si un dispositivo «nuevo» cuesta mucho menos que en el sitio web oficial, no lo compres.
Este incidente sirve de advertencia a todo el sector: cuando los atacantes eluden el elemento seguro y manipulan el dispositivo antes de que salga de fábrica, hasta el diseño más robusto puede resultar inútil. Al final, la seguridad depende de la transparencia de la cadena de suministro.
#LedgerConfirmaImplanteDeHardwareNoAutorizadoEnDispositivoDeUsuario
#Ledger #SeguridadDeHardware
Lo anterior no constituye asesoramiento de inversión. DYOR; operar conlleva riesgos.
Los ataques a la cadena de suministro están reescribiendo el mito de seguridad de las carteras de hardware. El 10 de octubre, Ledger confirmó oficialmente que se había encontrado un «implante de hardware no autorizado» en el dispositivo de un usuario afectado. Es la primera vez que Ledger reconoce una manipulación física de un dispositivo y la primera prueba material del reciente robo de fondos a usuarios del Sudeste Asiático.
Cronología:
El 9 de octubre, Ledger anunció que investigaba el robo de fondos a varios usuarios del Sudeste Asiático. Todos los dispositivos implicados se habían vendido a través del distribuidor regional CryptoBilis (con cobertura en Malasia, Indonesia y Filipinas). De inmediato, pidió al distribuidor que suspendiera todas las ventas y los envíos.
El 10 de octubre, Ledger confirmó que al menos un dispositivo contenía un implante de hardware ilegal. Empezó a ponerse en contacto individualmente con los usuarios afectados y a colaborar con las fuerzas del orden para rastrear el origen.
El 11 de octubre, Ledger comunicó que «el número de dispositivos afectados es limitado» y que todos los casos confirmados seguían circunscritos al canal de CryptoBilis; las ventas directas desde el sitio web oficial y sus propios sistemas no se habían visto afectados. Por su parte, CryptoBilis suspendió voluntariamente la venta de todo su inventario de carteras de hardware, una medida más amplia que la petición inicial de Ledger.
Las cifras de las pérdidas que manejan ambas partes difieren considerablemente: los investigadores de la cadena Specter, Bitquery y Yfarmx estimaron por separado que se habían robado entre 86 y 93,4 millones de dólares, de más de 300 carteras, con activos $BTC , $ETH y $TRX . Ledger no confirmó ninguna cifra y se limitó a recalcar que el alcance era «limitado». Según los informes, la colaboración con Tether y las fuerzas del orden permitió congelar más de 10 millones de dólares.
Hay varios detalles que invitan a la cautela: ya el 16 de septiembre, un investigador había mostrado implantes espía mezclados con circuitos originales; los dispositivos manipulados incluso se vendían por la mitad de precio en canales no oficiales. Mark Karpelès también encontró en Malasia un componente electrónico adicional detrás de la pantalla de una Nano X. Los dispositivos afectados llevaban ya un tiempo circulando.
Lista de comprobación para usuarios de carteras de hardware:
1. Si compraste tu dispositivo a través de CryptoBilis y aún no lo has inicializado, no lo enciendas ni generes una frase de recuperación.
2. Si ya lo has puesto en marcha, transfiere cuanto antes tus fondos a un dispositivo nuevo comprado directamente en el sitio web oficial y utiliza una frase de recuperación nueva.
3. Cualquier solicitud «oficial» de tu frase de recuperación de 24 palabras es una estafa. Ledger nunca te la pedirá.
4. Si un dispositivo «nuevo» cuesta mucho menos que en el sitio web oficial, no lo compres.
Este incidente sirve de advertencia a todo el sector: cuando los atacantes eluden el elemento seguro y manipulan el dispositivo antes de que salga de fábrica, hasta el diseño más robusto puede resultar inútil. Al final, la seguridad depende de la transparencia de la cadena de suministro.
#LedgerConfirmaImplanteDeHardwareNoAutorizadoEnDispositivoDeUsuario
#Ledger #SeguridadDeHardware
Lo anterior no constituye asesoramiento de inversión. DYOR; operar conlleva riesgos.