Esta vez el problema no estaba en los servidores de Ledger, sino en que alguien había manipulado el dispositivo antes de que llegara a manos del usuario.
Una investigación divulgada el 9 de octubre reveló que un usuario que compró un Ledger a través del distribuidor del sudeste asiático CryptoBilis denunció el robo de sus activos. Investigadores independientes estiman que el monto podría superar los 93 millones de dólares. Al desmontar el dispositivo, descubrieron que al menos uno tenía implantado un módulo de hardware no autorizado: podía leer la frase de recuperación de 24 palabras en el momento de inicializar el dispositivo y mostrarla en pantalla, y luego enviarla directamente a los atacantes mediante un módulo LTE (eSIM). El 13 de octubre, Ledger pidió en X a los distribuidores de siete mercados —Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong, China— que suspendieran las ventas y retiraran los productos, ampliando notablemente el alcance respecto a la mención previa de un solo distribuidor.
¿Por qué vale la pena reflexionar sobre este caso? Porque todo el modelo de confianza de las billeteras de hardware se basa en la premisa de que «las claves privadas no salen del chip». Pero esta vez no se eludió la criptografía, sino la cadena de suministro: alguien insertó un componente de hardware de terceros entre la pantalla y el chip seguro. Ni la firma del firmware ni la verificación de código abierto pueden impedirlo, porque está físicamente ahí y, además, parece estar en su estado de fábrica. Ledger recalca que no hubo intrusiones en su infraestructura, sus sistemas ni sus canales de venta directa; el problema se limitó a la reventa por terceros en ciertas regiones, y aún no se han confirmado casos de robo entre compradores de otras regiones.
Mi conclusión es que el límite de seguridad de una billetera de hardware nunca ha estado en el chip, sino en el paso de «dónde la consigues exactamente». Las billeteras frías trasladan la superficie de ataque de internet a la logística y los estantes de las tiendas, y precisamente esa capa es la más difícil de auditar: al fin y al cabo, todos los activos de una persona, por valor de $BTC y en las principales criptomonedas, suelen estar dentro de una carcasa metálica del tamaño de la palma de la mano. Ahora hay que prestar atención a dos cosas: en qué punto de la cadena de distribución se produjo la manipulación y quién la llevó a cabo; y si el análisis de los dispositivos recuperados por Ledger Donjon sacará a la luz más lotes afectados.
Así que, al final, la pregunta vuelve a cada persona que tiene criptomonedas: ¿prefieres ahorrarte unas decenas de dólares y recibirlo antes comprándolo a un distribuidor local, o esperar a que te lo envíen directamente desde el sitio oficial y comprobar por tu cuenta cada elemento del embalaje antimanipulación?
#Ledger pide a los distribuidores del sudeste asiático y Hong Kong que suspendan las ventas
Una investigación divulgada el 9 de octubre reveló que un usuario que compró un Ledger a través del distribuidor del sudeste asiático CryptoBilis denunció el robo de sus activos. Investigadores independientes estiman que el monto podría superar los 93 millones de dólares. Al desmontar el dispositivo, descubrieron que al menos uno tenía implantado un módulo de hardware no autorizado: podía leer la frase de recuperación de 24 palabras en el momento de inicializar el dispositivo y mostrarla en pantalla, y luego enviarla directamente a los atacantes mediante un módulo LTE (eSIM). El 13 de octubre, Ledger pidió en X a los distribuidores de siete mercados —Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong, China— que suspendieran las ventas y retiraran los productos, ampliando notablemente el alcance respecto a la mención previa de un solo distribuidor.
¿Por qué vale la pena reflexionar sobre este caso? Porque todo el modelo de confianza de las billeteras de hardware se basa en la premisa de que «las claves privadas no salen del chip». Pero esta vez no se eludió la criptografía, sino la cadena de suministro: alguien insertó un componente de hardware de terceros entre la pantalla y el chip seguro. Ni la firma del firmware ni la verificación de código abierto pueden impedirlo, porque está físicamente ahí y, además, parece estar en su estado de fábrica. Ledger recalca que no hubo intrusiones en su infraestructura, sus sistemas ni sus canales de venta directa; el problema se limitó a la reventa por terceros en ciertas regiones, y aún no se han confirmado casos de robo entre compradores de otras regiones.
Mi conclusión es que el límite de seguridad de una billetera de hardware nunca ha estado en el chip, sino en el paso de «dónde la consigues exactamente». Las billeteras frías trasladan la superficie de ataque de internet a la logística y los estantes de las tiendas, y precisamente esa capa es la más difícil de auditar: al fin y al cabo, todos los activos de una persona, por valor de $BTC y en las principales criptomonedas, suelen estar dentro de una carcasa metálica del tamaño de la palma de la mano. Ahora hay que prestar atención a dos cosas: en qué punto de la cadena de distribución se produjo la manipulación y quién la llevó a cabo; y si el análisis de los dispositivos recuperados por Ledger Donjon sacará a la luz más lotes afectados.
Así que, al final, la pregunta vuelve a cada persona que tiene criptomonedas: ¿prefieres ahorrarte unas decenas de dólares y recibirlo antes comprándolo a un distribuidor local, o esperar a que te lo envíen directamente desde el sitio oficial y comprobar por tu cuenta cada elemento del embalaje antimanipulación?
#Ledger pide a los distribuidores del sudeste asiático y Hong Kong que suspendan las ventas
