El 13 de octubre, la naturaleza de este asunto cambió.
Al principio, el problema afectaba a un distribuidor del sudeste asiático, CryptoBilis.
Ahora Ledger exige a todos sus distribuidores en 7 mercados que suspendan las ventas y retiren los productos:
Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong.
Ledger Donjon (el equipo oficial de investigación de seguridad) confirmó en una actualización del 13 de octubre el modelo exacto del implante: ST STM32G431KBU6 (procesador ARM Cortex-M4, 128 KB de memoria flash) + módulo LTE + eSIM. Estaba oculto en el interior de la carcasa del dispositivo y capturaba los datos cuando el dispositivo mostraba la frase de recuperación durante la configuración inicial; luego los enviaba en tiempo real a través de la red 4G.
Genuine Check (la verificación oficial de autenticidad de Ledger) no puede detectar este implante porque solo verifica el elemento seguro: el implante no lo tocaba en absoluto, solo «escuchaba» desde un lado.
Las pérdidas se estiman actualmente en 92,9 millones de dólares y afectan a 311 billeteras.
Pero lo que merece aún más atención es Europa:
Mark Karpelès (exdirector ejecutivo de Mt. Gox) encontró un diseño actualizado del implante en un Ledger Flex que compró en el aeropuerto de Singapur. Un usuario de Alemania contó que compró un Ledger en cada una de dos tiendas MediaMarkt distintas y que ambos tenían un implante. MediaMarktSaturn anunció entonces que retiraría los productos Ledger de sus tiendas en todo el mundo.
La postura oficial de Ledger: los casos confirmados de robo de activos siguen limitándose a dispositivos comprados en CryptoBilis; aún no se ha confirmado que dispositivos de otras regiones hayan provocado pérdidas de activos. No obstante, se están investigando informes relacionados con Europa.
Trezor y OneKey ya han cortado relaciones con CryptoBilis.
La pregunta ya no es «¿qué pasó con CryptoBilis?», sino «¿en qué punto de la cadena de suministro se introdujo el implante y hasta dónde llega ese punto?».
Si compraste una billetera de hardware en los últimos 120 días a través de un canal que no fuera el sitio web oficial de Ledger, en el sudeste asiático o Hong Kong:
Si aún no la has inicializado, no la enciendas.
Si ya la has usado, transfiere tus activos a un dispositivo nuevo inicializado con una frase de recuperación completamente nueva. Considera que tu frase de recuperación actual ha quedado «comprometida».
$BTC
#Ledger
#ledger要求东南亚及香港经销商暂停销售
Al principio, el problema afectaba a un distribuidor del sudeste asiático, CryptoBilis.
Ahora Ledger exige a todos sus distribuidores en 7 mercados que suspendan las ventas y retiren los productos:
Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong.
Ledger Donjon (el equipo oficial de investigación de seguridad) confirmó en una actualización del 13 de octubre el modelo exacto del implante: ST STM32G431KBU6 (procesador ARM Cortex-M4, 128 KB de memoria flash) + módulo LTE + eSIM. Estaba oculto en el interior de la carcasa del dispositivo y capturaba los datos cuando el dispositivo mostraba la frase de recuperación durante la configuración inicial; luego los enviaba en tiempo real a través de la red 4G.
Genuine Check (la verificación oficial de autenticidad de Ledger) no puede detectar este implante porque solo verifica el elemento seguro: el implante no lo tocaba en absoluto, solo «escuchaba» desde un lado.
Las pérdidas se estiman actualmente en 92,9 millones de dólares y afectan a 311 billeteras.
Pero lo que merece aún más atención es Europa:
Mark Karpelès (exdirector ejecutivo de Mt. Gox) encontró un diseño actualizado del implante en un Ledger Flex que compró en el aeropuerto de Singapur. Un usuario de Alemania contó que compró un Ledger en cada una de dos tiendas MediaMarkt distintas y que ambos tenían un implante. MediaMarktSaturn anunció entonces que retiraría los productos Ledger de sus tiendas en todo el mundo.
La postura oficial de Ledger: los casos confirmados de robo de activos siguen limitándose a dispositivos comprados en CryptoBilis; aún no se ha confirmado que dispositivos de otras regiones hayan provocado pérdidas de activos. No obstante, se están investigando informes relacionados con Europa.
Trezor y OneKey ya han cortado relaciones con CryptoBilis.
La pregunta ya no es «¿qué pasó con CryptoBilis?», sino «¿en qué punto de la cadena de suministro se introdujo el implante y hasta dónde llega ese punto?».
Si compraste una billetera de hardware en los últimos 120 días a través de un canal que no fuera el sitio web oficial de Ledger, en el sudeste asiático o Hong Kong:
Si aún no la has inicializado, no la enciendas.
Si ya la has usado, transfiere tus activos a un dispositivo nuevo inicializado con una frase de recuperación completamente nueva. Considera que tu frase de recuperación actual ha quedado «comprometida».
$BTC
#Ledger
#ledger要求东南亚及香港经销商暂停销售