Ledger (@Ledger) afirma que las billeteras de hardware vendidas por el distribuidor del sudeste asiático CryptoBilis fueron modificadas para capturar las frases de recuperación de los usuarios y enviárselas a los atacantes a través de una red celular. La empresa afirma que el chip seguro y el proceso de firma de transacciones no se vieron afectados.
Ledger Donjon, el equipo de investigación de seguridad de la empresa, descubrió que los implantes usaban un microcontrolador para decodificar las frases de 24 palabras que se mostraban durante la configuración y transmitían los datos a través de redes LTE mediante una SIM integrada (eSIM). Ledger afirmó que el componente funcionaba de manera independiente y no modificaba el elemento seguro (Secure Element) ni el sistema operativo del dispositivo. Tampoco interfería con la firma de transacciones.
Cómo funcionó el ataque
El implante está dentro de la carcasa del dispositivo. Según investigadores citados por Tech Times, está conectado al canal interno de datos que transmite información a la pantalla, lo que le permite leer la frase de recuperación mientras se muestra. Ledger afirma que su Genuine Check no puede descartar este tipo de manipulación física. Esto significa que un dispositivo modificado puede parecer y funcionar como uno normal.
El incidente apunta a un problema en la cadena de suministro, no a un fallo en la criptografía de Ledger. Un dispositivo puede mantener intactas sus defensas de software mientras un componente físico añadido expone las palabras que permiten restaurar el monedero.
Pérdidas y recomendaciones para los usuarios
Ledger no ha confirmado la magnitud de las pérdidas. Según la empresa, todas las pérdidas confirmadas y comunicadas el 9 de octubre están vinculadas a dispositivos distribuidos a través de CryptoBilis, pero no se ha confirmado el número total de usuarios afectados ni la cifra global de pérdidas. Las estimaciones externas son elevadas. La firma de análisis forense de cadenas de bloques Bitquery calculó pérdidas superiores a 90 millones de dólares en al menos seis redes de cadenas de bloques; Tron representa aproximadamente 70,5 millones de dólares, mientras que Bitcoin y Ethereum suman la mayor parte del resto. Otros medios han informado de cifras de entre 86 y unos 93 millones de dólares, por lo que el total podría superar los 100 millones solo si se vinculan nuevos robos a los mismos dispositivos.
CryptoBilis ha suspendido la venta de productos Ledger. Ledger recomendó a los clientes que compraron dispositivos sin inicializar a través del distribuidor que no los configuraran. Los clientes que ya inicializaron un dispositivo afectado deberían trasladar sus activos a un dispositivo nuevo con una frase de recuperación recién generada. Restaurar la frase antigua en un hardware nuevo no serviría de nada, porque la frase podría estar ya expuesta.
Ledger también ha remitido a los clientes preocupados que compraron dispositivos en otros lugares a una guía de inspección, que advierte que abrir un dispositivo podría dañarlo y recomienda a los usuarios hacer primero una copia de seguridad de sus frases de recuperación. Comprar directamente al fabricante sigue siendo la forma más fiable de evitar hardware manipulado.
Fuentes
Cointelegraph: Ledger detalla implantes espía con conexión LTE en monederos vendidos por CryptoBilis
TokenPost: Ledger confirma que se modificaron monederos de CryptoBilis para exponer las frases de recuperación
Tech Times: ataque a la cadena de suministro de monederos físicos Ledger y límites de Genuine Check