Ledger confirma: se encontró un implante de hardware no autorizado en el dispositivo de un usuario afectado. Lo importante es que esto no es FUD: lo ha reconocido el propio fabricante, y todo apunta a la cadena de suministro, no a un hackeo del firmware.
Los hechos están claros: el incidente salió a la luz el 9 de octubre. Los dispositivos afectados se remontan al distribuidor del sudeste asiático CryptoBilis, que ha suspendido la venta y el envío de todos sus monederos de hardware. Ledger afirma que no hay indicios de que su propia infraestructura, sus sistemas o sus servicios hayan sido vulnerados; está colaborando con las fuerzas del orden y agradece a SEAL_911 su ayuda en la investigación. Las estimaciones de las pérdidas varían: investigadores de la cadena de bloques hablan de más de 86 millones de dólares; MistTrack calcula cerca de 90 millones, y Bitquery estima unos 92,9 millones, con 311 monederos afectados. Ledger aún no ha confirmado estas cifras, y los investigadores todavía no han demostrado que el implante fuera la causa directa del robo. Según algunos informes, la pieza modificada podría ser una diminuta placa de circuito bajo la pantalla, posiblemente diseñada para leer su contenido, pero esto tampoco ha sido confirmado oficialmente.
Lo que realmente duele es esto: toda la promesa de un monedero de hardware es «confío en este dispositivo físico, no en la red». Pero cuando compras a un tercero, estás confiando en una cadena de suministro entera que ni siquiera puedes ver. El firmware se puede verificar mediante una firma; esa pequeña placa soldada bajo la pantalla, no.
Tres medidas prácticas. Primero, si compraste en CryptoBilis en los últimos 90 días y todavía no has inicializado el dispositivo, no lo enciendas y contacta directamente con el servicio oficial. Segundo, si ya lo inicializaste, lo más seguro es crear un monedero nuevo en un dispositivo nuevo con una nueva frase semilla y transferir allí tus activos: cambiar solo el dispositivo, pero no la frase semilla, no sirve de nada. Tercero, ahora mismo lo que más debes temer es el phishing: los sitios falsos están al acecho de tus 24 palabras. El servicio oficial nunca te pedirá la frase de recuperación. Y, ya que estamos, esta vez también conviene replantearse la idea de concentrar todos los activos en un solo dispositivo y con una sola frase semilla, incluidos los $BTC y $ETH que tienes.
¿En qué circunstancias dejarías de confiar en un dispositivo de autocustodia? ¿Por un problema como este en la cadena de suministro, o es que la palabra «hardware» te hace sentir seguro de por sí?
#Ledgerconfirmaimplantedhardwarenoautorizadoendispositivodeusuario
Los hechos están claros: el incidente salió a la luz el 9 de octubre. Los dispositivos afectados se remontan al distribuidor del sudeste asiático CryptoBilis, que ha suspendido la venta y el envío de todos sus monederos de hardware. Ledger afirma que no hay indicios de que su propia infraestructura, sus sistemas o sus servicios hayan sido vulnerados; está colaborando con las fuerzas del orden y agradece a SEAL_911 su ayuda en la investigación. Las estimaciones de las pérdidas varían: investigadores de la cadena de bloques hablan de más de 86 millones de dólares; MistTrack calcula cerca de 90 millones, y Bitquery estima unos 92,9 millones, con 311 monederos afectados. Ledger aún no ha confirmado estas cifras, y los investigadores todavía no han demostrado que el implante fuera la causa directa del robo. Según algunos informes, la pieza modificada podría ser una diminuta placa de circuito bajo la pantalla, posiblemente diseñada para leer su contenido, pero esto tampoco ha sido confirmado oficialmente.
Lo que realmente duele es esto: toda la promesa de un monedero de hardware es «confío en este dispositivo físico, no en la red». Pero cuando compras a un tercero, estás confiando en una cadena de suministro entera que ni siquiera puedes ver. El firmware se puede verificar mediante una firma; esa pequeña placa soldada bajo la pantalla, no.
Tres medidas prácticas. Primero, si compraste en CryptoBilis en los últimos 90 días y todavía no has inicializado el dispositivo, no lo enciendas y contacta directamente con el servicio oficial. Segundo, si ya lo inicializaste, lo más seguro es crear un monedero nuevo en un dispositivo nuevo con una nueva frase semilla y transferir allí tus activos: cambiar solo el dispositivo, pero no la frase semilla, no sirve de nada. Tercero, ahora mismo lo que más debes temer es el phishing: los sitios falsos están al acecho de tus 24 palabras. El servicio oficial nunca te pedirá la frase de recuperación. Y, ya que estamos, esta vez también conviene replantearse la idea de concentrar todos los activos en un solo dispositivo y con una sola frase semilla, incluidos los $BTC y $ETH que tienes.
¿En qué circunstancias dejarías de confiar en un dispositivo de autocustodia? ¿Por un problema como este en la cadena de suministro, o es que la palabra «hardware» te hace sentir seguro de por sí?
#Ledgerconfirmaimplantedhardwarenoautorizadoendispositivodeusuario