La policía de Singapur detectó componentes de hardware maliciosos en algunas billeteras de criptomonedas Ledger compradas en tiendas del país. Desde el 10 de septiembre se han denunciado al menos dos casos, con pérdidas de unos 3,5 millones de dólares singapurenses (aproximadamente 2,7 millones de dólares estadounidenses). La Policía de Singapur señaló estos dispositivos en una advertencia publicada el miércoles.
Las investigaciones preliminares revelaron que algunos componentes podían utilizarse para capturar frases de recuperación o claves privadas. Después, personas no autorizadas podían acceder a las billeteras y transferir los activos sin que sus propietarios lo supieran ni dieran su consentimiento. La advertencia no mencionó ninguna tienda. La policía está en contacto con Ledger, que investiga los casos afectados. La investigación policial continúa. La policía advirtió a los usuarios que no introduzcan sus frases de recuperación ni realicen transacciones en dispositivos que sospechen que podrían haber sido vulnerados.
La policía de Singapur advierte que no se compartan claves ni frases semilla
La policía de Singapur también advirtió que no se entregaran claves ni frases semilla a nadie, incluidas personas que se hicieran pasar por proveedores de billeteras, plataformas de intercambio o policías. El primer informe de Singapur se presentó aproximadamente un mes antes de que el incidente más amplio se hiciera público el 9 de octubre. Ese día, Ledger pidió que se suspendieran las ventas y los envíos de CryptoBilis, un distribuidor autorizado en Indonesia, Malasia y Filipinas.
En ese momento, Cryptopolitan informó que supuestamente se habían robado más de 86 millones de dólares en Bitcoin, Ethereum y Tron de las billeteras que vendía la tienda. Ledger no ha confirmado la cifra. El 10 de octubre, Ledger dijo que había descubierto un implante de hardware no autorizado en el dispositivo de un cliente. El chip, oculto dentro de la carcasa del Nano X, leyó en la pantalla la frase de recuperación de 24 palabras durante la configuración y la envió a través de una tarjeta SIM integrada mediante LTE.
El equipo de seguridad Donjon de Ledger dijo que el chip no afectó al elemento seguro, al sistema operativo ni al proceso de firma. Por eso nunca activó la prueba de autenticidad «Genuine Check» de la empresa. En los días siguientes salieron a la luz dos denuncias en Singapur. El exdirector ejecutivo de Mt. Gox, Mark Karpelès, dijo que compró un Ledger Flex en el aeropuerto de Singapur que tenía un implante espía. Un propietario afirmó que una unidad comprada en la tienda local de informática Challenger había sido manipulada y que Ledger posteriormente le envió un reemplazo.
El 13 de octubre, Ledger pidió a los minoristas de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong que suspendieran la venta de sus productos. En una publicación del 28 de octubre, Ledger dijo que todas las pérdidas confirmadas correspondían a dispositivos vendidos a través de un número limitado de distribuidores. No ha confirmado ninguna extracción de fondos vinculada a un dispositivo comprado fuera del Sudeste Asiático y no ve indicios de que su infraestructura, sus sistemas o su canal de venta directa hayan sido vulnerados.
«Las cifras que circulan en internet provienen de terceros y Ledger no las ha verificado por completo», dijo la empresa el 22 de octubre. La solución más duradera de Ledger es Atom, un dispositivo de 849 dólares que la empresa presentó en su evento Op3n en París el 15 de octubre. Atom no se enviará hasta, como mínimo, el verano de 2027, y sus protecciones contra la manipulación no se incorporarán a las unidades Nano, Flex y Stax que ya están en circulación.
La publicación «La policía de Singapur advierte a los residentes sobre las billeteras Ledger vulneradas» apareció primero en Coinfea.