El caso del robo de carteras de hardware Ledger volvió a actualizarse ayer con nuevas cifras: se rastrearon 335 direcciones en la cadena, por un valor aproximado de 102 millones de dólares.
Lo más frustrante es que estos dispositivos se compraron a través de canales oficiales. La carcasa era original, el embalaje era auténtico y también superaron la verificación oficial de autenticidad. El problema estaba dentro de la carcasa: alguien había colocado un chip de unos 2 milímetros, conectado al cable de datos de la pantalla, junto a un módulo de red móvil.
Cuando inicializas la cartera y copias esas 24 palabras de la pantalla, el chip captura lo que aparece y lo envía directamente a través de la red móvil. En todo el proceso no se toca el chip de seguridad ni se modifica el firmware, así que no se puede detectar desde la capa de software.
Las víctimas no hicieron nada mal: no revelaron la frase semilla ni aprobaron ninguna firma, y aun así sus activos desaparecieron.
Las estimaciones de las distintas empresas de análisis de la cadena varían bastante: Bitquery habla de 102 millones, Specter de más de 86 millones y las 152 direcciones señaladas por Arkham suman unos 71,6 millones. Ledger no ha confirmado ninguna cifra oficial; solo ha dicho que se trata de un delito organizado dirigido contra los canales de distribución.
Mi opinión: las carteras de hardware resuelven el problema de que «la clave privada no esté conectada a internet», pero no el de «si la caja que tienes en las manos es original». Lo primero que deberías hacer al comprar una es revisar el sello de seguridad, no conectarla y usarla sin más.
Si usas una cartera de hardware, ¿la compras directamente en la web oficial o a través de un tercero?
#BTC #钱包安全 #cripto
Lo más frustrante es que estos dispositivos se compraron a través de canales oficiales. La carcasa era original, el embalaje era auténtico y también superaron la verificación oficial de autenticidad. El problema estaba dentro de la carcasa: alguien había colocado un chip de unos 2 milímetros, conectado al cable de datos de la pantalla, junto a un módulo de red móvil.
Cuando inicializas la cartera y copias esas 24 palabras de la pantalla, el chip captura lo que aparece y lo envía directamente a través de la red móvil. En todo el proceso no se toca el chip de seguridad ni se modifica el firmware, así que no se puede detectar desde la capa de software.
Las víctimas no hicieron nada mal: no revelaron la frase semilla ni aprobaron ninguna firma, y aun así sus activos desaparecieron.
Las estimaciones de las distintas empresas de análisis de la cadena varían bastante: Bitquery habla de 102 millones, Specter de más de 86 millones y las 152 direcciones señaladas por Arkham suman unos 71,6 millones. Ledger no ha confirmado ninguna cifra oficial; solo ha dicho que se trata de un delito organizado dirigido contra los canales de distribución.
Mi opinión: las carteras de hardware resuelven el problema de que «la clave privada no esté conectada a internet», pero no el de «si la caja que tienes en las manos es original». Lo primero que deberías hacer al comprar una es revisar el sello de seguridad, no conectarla y usarla sin más.
Si usas una cartera de hardware, ¿la compras directamente en la web oficial o a través de un tercero?
#BTC #钱包安全 #cripto