Lo más preocupante del caso Keystone no son esos 26.000 datos de compradores, sino que el proceso de «verificación de autenticidad» quedó completamente inutilizado.
Actualización oficial del 26 de octubre: el ataque del 20 de octubre comenzó a través de una herramienta de monitorización de terceros del sitio web oficial. Los atacantes también se llevaron la clave WebAuth. Esta clave viene grabada de fábrica en el dispositivo y no se puede cambiar. No puede firmar ni generar frases semilla, así que la primera frase del comunicado oficial y de un montón de cuentas de noticias fue: «Los fondos de las claves privadas están a salvo».
No es falso, pero desvía la atención de lo importante. ¿Qué vende una billetera de hardware? La garantía de que «el dispositivo que tienes en las manos es auténtico». Ahora, la página oficial de verificación puede dar por bueno un dispositivo falso. Hay que destruir el inventario de 18.835 dispositivos con la clave antigua, y quienes recibieron el suyo después del 20 de octubre tendrán que contactar por su cuenta con atención al cliente para confirmarlo.
En otras palabras: se filtraron tu nombre, tu teléfono y tu dirección de entrega; lo que se perdió fue la «prueba de autenticidad del dispositivo». Los estafadores saben qué compraste y dónde vives, y, en teoría, incluso podrían fabricar un dispositivo que pase la verificación oficial y enviártelo. Esto es mucho más peligroso que la simple filtración de una lista de correos electrónicos.
Hace un par de días, algunas cuentas de noticias seguían repitiendo que «el impacto es limitado». Además, en X ya hay un grupo de cuentas publicando la misma frase: «What if a hardware wallet's genuine check can be forged?», casi hasta con la misma puntuación. No se crean tampoco a quienes solo buscan aprovecharse del tema para ganar visibilidad.
Mi postura es muy sencilla: compren billeteras de hardware únicamente por canales oficiales, y traten cualquier mensaje sobre «retiradas del mercado», «cambios» o «actualizaciones» como una estafa. Hace poco alguien usó el dominio oficial de Foundation para enviar correos falsos de retirada del mercado. Los estafadores ya han conseguido abrirse paso por ahí.
#Keystone #BilleteraDeHardware
Actualización oficial del 26 de octubre: el ataque del 20 de octubre comenzó a través de una herramienta de monitorización de terceros del sitio web oficial. Los atacantes también se llevaron la clave WebAuth. Esta clave viene grabada de fábrica en el dispositivo y no se puede cambiar. No puede firmar ni generar frases semilla, así que la primera frase del comunicado oficial y de un montón de cuentas de noticias fue: «Los fondos de las claves privadas están a salvo».
No es falso, pero desvía la atención de lo importante. ¿Qué vende una billetera de hardware? La garantía de que «el dispositivo que tienes en las manos es auténtico». Ahora, la página oficial de verificación puede dar por bueno un dispositivo falso. Hay que destruir el inventario de 18.835 dispositivos con la clave antigua, y quienes recibieron el suyo después del 20 de octubre tendrán que contactar por su cuenta con atención al cliente para confirmarlo.
En otras palabras: se filtraron tu nombre, tu teléfono y tu dirección de entrega; lo que se perdió fue la «prueba de autenticidad del dispositivo». Los estafadores saben qué compraste y dónde vives, y, en teoría, incluso podrían fabricar un dispositivo que pase la verificación oficial y enviártelo. Esto es mucho más peligroso que la simple filtración de una lista de correos electrónicos.
Hace un par de días, algunas cuentas de noticias seguían repitiendo que «el impacto es limitado». Además, en X ya hay un grupo de cuentas publicando la misma frase: «What if a hardware wallet's genuine check can be forged?», casi hasta con la misma puntuación. No se crean tampoco a quienes solo buscan aprovecharse del tema para ganar visibilidad.
Mi postura es muy sencilla: compren billeteras de hardware únicamente por canales oficiales, y traten cualquier mensaje sobre «retiradas del mercado», «cambios» o «actualizaciones» como una estafa. Hace poco alguien usó el dominio oficial de Foundation para enviar correos falsos de retirada del mercado. Los estafadores ya han conseguido abrirse paso por ahí.
#Keystone #BilleteraDeHardware