El 9 de octubre, forzaron la caja fuerte en la que más confiaba el mundo cripto. El sistema criptográfico de Ledger seguía intacto y nadie había hecho clic en un enlace de phishing: el problema estaba en una etapa anterior. Alguien había visto tu frase semilla antes de que el dispositivo llegara a tus manos.
Primero, lo ocurrido. El 9 de octubre, el detective on-chain Specter detectó una oleada de informes en X y Reddit sobre usuarios de Ledger a quienes les habían robado sus fondos. Al seguir el rastro en la cadena, descubrió que más de 300 monederos habían sido vaciados y sus fondos reunidos en varias cadenas, como Bitcoin, Ethereum y Tron. Investigadores externos estimaron las pérdidas entre 86 y 93 millones de dólares. Ledger emitió dos comunicados y confirmó que, en todos los casos verificados, los dispositivos procedían del mismo distribuidor del sudeste asiático, CryptoBilis. Además, en uno de los dispositivos afectados encontraron un implante de hardware no autorizado.
Mark Karpelès, exdirector ejecutivo de Mt. Gox, descubrió cómo funcionaba el implante al desmontar un dispositivo que parecía estar perfectamente sellado. Oculto bajo el revestimiento de la pantalla había un pequeño módulo: un microcontrolador conectado a la línea de datos SPI de la pantalla, un módulo LTE con eSIM y una antena. Cuando enciendes el dispositivo para generar la frase semilla, las palabras aparecen una a una en la pantalla para que las apuntes. El módulo escucha a escondidas los datos de la pantalla y registra los 24 términos completos; después, los envía a los atacantes a través de la red móvil. Lo que viene después es sencillo: los atacantes usan la frase semilla para vaciar el monedero.
Lo más doloroso es que el dispositivo podía superar la verificación de autenticidad de Ledger. El elemento seguro era auténtico, la frase semilla era auténtica y la firma también. El elemento seguro puede garantizar que la clave privada no se exporte, pero no puede impedir que alguien fotografíe la pantalla. La clave privada nunca salió del dispositivo, pero robaron la frase semilla durante los pocos segundos en que se mostró.
Lo que da aún más escalofríos es que este sistema ya llevaba tres generaciones. La primera se montaba a mano con cables soldados y hasta había que cambiar la batería por una más pequeña. En la segunda, se pasó a una placa de circuito flexible. La tercera y más reciente es la más aterradora: al abrir la carcasa, la batería y la placa originales están intactas; solo hay una fina antena negra adicional en el borde superior de la carcasa. Esto no es un trabajo artesanal de una sola persona: es un ataque a la cadena de suministro, organizado, con investigación y desarrollo, iteraciones y capacidad logística.
¿Qué significa esto para los pequeños inversores? Lo resumo en tres puntos. Primero, compra monederos de hardware solo en el sitio web oficial. No te arriesgues con distribuidores, aunque parezcan muy fiables o te ahorres unos pocos dólares. En este caso, todos los dispositivos afectados procedían de distribuidores; ninguno de los vendidos directamente en el sitio oficial fue comprometido. Segundo, cuando recibas el dispositivo, no te apresures a usarlo: revisa el sello del embalaje, comprueba su peso y busca objetos extraños en la carcasa. Si algo te parece sospechoso, contacta directamente con el servicio oficial. A decir verdad, la antena de la tercera generación está tan bien escondida que quizá no puedas detectarla al tacto. Por eso, lo más seguro sigue siendo lo primero: comprar solo en el sitio oficial. Las indicaciones de Ledger esta vez son: no inicialices los dispositivos que aún no hayas activado y, si ya estás usando uno, cambia a una frase semilla nueva. Tercero, Ledger nunca te llamará ni te escribirá por privado para pedirte tus 24 palabras. Quien te las pida es un estafador. Después de este incidente, seguro que aparecerán intentos de phishing de gente que se hace pasar por el servicio de atención oficial.
Y hubo una continuación de humor negro. El 16 de octubre, Chainalysis reveló que un estafador que organizaba fraudes con tareas guardaba el dinero que había conseguido estafar en uno de estos Ledger con implante. Al final, los atacantes le sacaron 60 bitcoins de una vez, unos 4,9 millones de dólares. Al estafador lo estafaron: en la cadena no hay inmunidad para nadie.
Mi opinión se resume en una frase: los monederos de hardware pueden protegerte de los hackers, pero no de tu afán por ahorrar. Cada céntimo que te ahorras al comprar un monedero es poner en riesgo todo lo que tienes.
¿Dónde compraste tu monedero de hardware: en el sitio oficial o a través de un distribuidor? Cuéntamelo en los comentarios; quiero ver cuántos, como yo, recurrieron a terceros por comodidad.
#硬件钱包 #Ledger #防骗 #AtaqueALaCadenaDeSuministro
—— El pequeño Kai, inversor minorista de Web3
Aviso legal: Este artículo se comparte únicamente con fines de aprendizaje personal y no constituye asesoramiento de inversión. El mercado conlleva riesgos; invierte con prudencia.
Primero, lo ocurrido. El 9 de octubre, el detective on-chain Specter detectó una oleada de informes en X y Reddit sobre usuarios de Ledger a quienes les habían robado sus fondos. Al seguir el rastro en la cadena, descubrió que más de 300 monederos habían sido vaciados y sus fondos reunidos en varias cadenas, como Bitcoin, Ethereum y Tron. Investigadores externos estimaron las pérdidas entre 86 y 93 millones de dólares. Ledger emitió dos comunicados y confirmó que, en todos los casos verificados, los dispositivos procedían del mismo distribuidor del sudeste asiático, CryptoBilis. Además, en uno de los dispositivos afectados encontraron un implante de hardware no autorizado.
Mark Karpelès, exdirector ejecutivo de Mt. Gox, descubrió cómo funcionaba el implante al desmontar un dispositivo que parecía estar perfectamente sellado. Oculto bajo el revestimiento de la pantalla había un pequeño módulo: un microcontrolador conectado a la línea de datos SPI de la pantalla, un módulo LTE con eSIM y una antena. Cuando enciendes el dispositivo para generar la frase semilla, las palabras aparecen una a una en la pantalla para que las apuntes. El módulo escucha a escondidas los datos de la pantalla y registra los 24 términos completos; después, los envía a los atacantes a través de la red móvil. Lo que viene después es sencillo: los atacantes usan la frase semilla para vaciar el monedero.
Lo más doloroso es que el dispositivo podía superar la verificación de autenticidad de Ledger. El elemento seguro era auténtico, la frase semilla era auténtica y la firma también. El elemento seguro puede garantizar que la clave privada no se exporte, pero no puede impedir que alguien fotografíe la pantalla. La clave privada nunca salió del dispositivo, pero robaron la frase semilla durante los pocos segundos en que se mostró.
Lo que da aún más escalofríos es que este sistema ya llevaba tres generaciones. La primera se montaba a mano con cables soldados y hasta había que cambiar la batería por una más pequeña. En la segunda, se pasó a una placa de circuito flexible. La tercera y más reciente es la más aterradora: al abrir la carcasa, la batería y la placa originales están intactas; solo hay una fina antena negra adicional en el borde superior de la carcasa. Esto no es un trabajo artesanal de una sola persona: es un ataque a la cadena de suministro, organizado, con investigación y desarrollo, iteraciones y capacidad logística.
¿Qué significa esto para los pequeños inversores? Lo resumo en tres puntos. Primero, compra monederos de hardware solo en el sitio web oficial. No te arriesgues con distribuidores, aunque parezcan muy fiables o te ahorres unos pocos dólares. En este caso, todos los dispositivos afectados procedían de distribuidores; ninguno de los vendidos directamente en el sitio oficial fue comprometido. Segundo, cuando recibas el dispositivo, no te apresures a usarlo: revisa el sello del embalaje, comprueba su peso y busca objetos extraños en la carcasa. Si algo te parece sospechoso, contacta directamente con el servicio oficial. A decir verdad, la antena de la tercera generación está tan bien escondida que quizá no puedas detectarla al tacto. Por eso, lo más seguro sigue siendo lo primero: comprar solo en el sitio oficial. Las indicaciones de Ledger esta vez son: no inicialices los dispositivos que aún no hayas activado y, si ya estás usando uno, cambia a una frase semilla nueva. Tercero, Ledger nunca te llamará ni te escribirá por privado para pedirte tus 24 palabras. Quien te las pida es un estafador. Después de este incidente, seguro que aparecerán intentos de phishing de gente que se hace pasar por el servicio de atención oficial.
Y hubo una continuación de humor negro. El 16 de octubre, Chainalysis reveló que un estafador que organizaba fraudes con tareas guardaba el dinero que había conseguido estafar en uno de estos Ledger con implante. Al final, los atacantes le sacaron 60 bitcoins de una vez, unos 4,9 millones de dólares. Al estafador lo estafaron: en la cadena no hay inmunidad para nadie.
Mi opinión se resume en una frase: los monederos de hardware pueden protegerte de los hackers, pero no de tu afán por ahorrar. Cada céntimo que te ahorras al comprar un monedero es poner en riesgo todo lo que tienes.
¿Dónde compraste tu monedero de hardware: en el sitio oficial o a través de un distribuidor? Cuéntamelo en los comentarios; quiero ver cuántos, como yo, recurrieron a terceros por comodidad.
#硬件钱包 #Ledger #防骗 #AtaqueALaCadenaDeSuministro
—— El pequeño Kai, inversor minorista de Web3
Aviso legal: Este artículo se comparte únicamente con fines de aprendizaje personal y no constituye asesoramiento de inversión. El mercado conlleva riesgos; invierte con prudencia.