Casi 100 millones de dólares fueron transferidos; la primera denuncia se presentó casi un mes antes de que el caso se hiciera público 🦖
El 28 de octubre, la policía de Singapur emitió un comunicado: al menos dos billeteras físicas Ledger habían sido manipuladas, con pérdidas totales de unos 3,5 millones de dólares singapurenses, equivalentes a 2,7 millones de dólares estadounidenses.
📢 ⏰ 消息群里第一时间说
La denuncia más temprana se presentó el 10 de septiembre, pero el público no supo realmente de este caso hasta el 9 de octubre.
La investigación preliminar de la policía indica que el problema estaba en el hardware, no en un sitio de phishing.
Algunas tiendas minoristas de Singapur vendían dispositivos Ledger con componentes maliciosos instalados.
Es decir, comprabas un dispositivo que parecía nuevo, pero alguien ya lo había manipulado antes de que llegara a tus manos.
La cronología lo deja más claro:
10 de septiembre: se presenta la primera denuncia en Singapur.
9 de octubre: se hace público el problema en la cadena de suministro de CryptoBilis, distribuidor autorizado de Ledger en Indonesia, Malasia y Filipinas.
13 de octubre: Ledger pide suspender las ventas en siete mercados: Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong.
28 de octubre: la policía de Singapur emite una alerta para los consumidores.
Entre la noticia pública y la alerta oficial pasaron casi tres semanas.
Mark Karpeles, exresponsable de Mt. Gox, dijo que el Ledger Flex que compró en el aeropuerto de Singapur tenía un implante espía.
Otros usuarios cuentan que también manipularon los dispositivos que compraron en Challenger, un minorista local de informática. Más tarde, Ledger les cambió el dispositivo por uno nuevo.
Según un recuento de Cointelegraph, los activos transferidos desde billeteras con componentes espía instalados se acercan a los 100 millones de dólares 💸
En mi opinión, el punto clave de este caso no es una marca en particular,
sino el punto ciego de la industria de las billeteras físicas: las claves privadas están desconectadas, pero la cadena de suministro no.
Desde que sale de fábrica, el dispositivo pasa por distribuidores, tiendas minoristas, almacenes e incluso mostradores de aeropuerto. En cada eslabón alguien puede instalarle un componente.
Y cuando el usuario lo recibe, solo puede revisar el embalaje y la tarjeta de recuperación; es muy difícil darse cuenta de que han cambiado la placa base.
Lo que más conviene recordar son esas tres semanas:
La primera denuncia fue el 10 de septiembre, el caso se hizo público el 9 de octubre y la alerta oficial llegó el 28 de octubre.
Si alguien hubiera explicado claramente lo ocurrido el 10 de septiembre, quizá quienes compraron el dispositivo en octubre no habrían caído en la trampa ⚠️
Lo más costoso de un ataque a la cadena de suministro nunca es el dispositivo en sí, sino que la información llegue tarde.
Para quienes tienen criptomonedas, hay medidas muy concretas:
Compra solo en canales oficiales directos. Cuando recibas el dispositivo, verifica el número de serie en el sitio web oficial, revisa el sello y la tarjeta de recuperación, y actualiza el firmware únicamente desde la aplicación oficial.
Los dispositivos de segunda mano, los de tiendas libres de impuestos en aeropuertos y los de procedencia dudosa deben considerarse poco confiables 🛡️
Un dispositivo de unos cientos de dólares protege todo tu patrimonio; no es un punto en el que debas escatimar.
¿Dónde compraste la billetera física que tienes? ¿Verificaste el número de serie? 🔧
Cada día te ayudo a seguir las noticias más importantes sobre seguridad cripto: no solo vemos qué pasa, sino que también entendemos la lógica y las oportunidades que hay detrás 👀🚀
El 28 de octubre, la policía de Singapur emitió un comunicado: al menos dos billeteras físicas Ledger habían sido manipuladas, con pérdidas totales de unos 3,5 millones de dólares singapurenses, equivalentes a 2,7 millones de dólares estadounidenses.
📢 ⏰ 消息群里第一时间说
La denuncia más temprana se presentó el 10 de septiembre, pero el público no supo realmente de este caso hasta el 9 de octubre.
La investigación preliminar de la policía indica que el problema estaba en el hardware, no en un sitio de phishing.
Algunas tiendas minoristas de Singapur vendían dispositivos Ledger con componentes maliciosos instalados.
Es decir, comprabas un dispositivo que parecía nuevo, pero alguien ya lo había manipulado antes de que llegara a tus manos.
La cronología lo deja más claro:
10 de septiembre: se presenta la primera denuncia en Singapur.
9 de octubre: se hace público el problema en la cadena de suministro de CryptoBilis, distribuidor autorizado de Ledger en Indonesia, Malasia y Filipinas.
13 de octubre: Ledger pide suspender las ventas en siete mercados: Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong.
28 de octubre: la policía de Singapur emite una alerta para los consumidores.
Entre la noticia pública y la alerta oficial pasaron casi tres semanas.
Mark Karpeles, exresponsable de Mt. Gox, dijo que el Ledger Flex que compró en el aeropuerto de Singapur tenía un implante espía.
Otros usuarios cuentan que también manipularon los dispositivos que compraron en Challenger, un minorista local de informática. Más tarde, Ledger les cambió el dispositivo por uno nuevo.
Según un recuento de Cointelegraph, los activos transferidos desde billeteras con componentes espía instalados se acercan a los 100 millones de dólares 💸
En mi opinión, el punto clave de este caso no es una marca en particular,
sino el punto ciego de la industria de las billeteras físicas: las claves privadas están desconectadas, pero la cadena de suministro no.
Desde que sale de fábrica, el dispositivo pasa por distribuidores, tiendas minoristas, almacenes e incluso mostradores de aeropuerto. En cada eslabón alguien puede instalarle un componente.
Y cuando el usuario lo recibe, solo puede revisar el embalaje y la tarjeta de recuperación; es muy difícil darse cuenta de que han cambiado la placa base.
Lo que más conviene recordar son esas tres semanas:
La primera denuncia fue el 10 de septiembre, el caso se hizo público el 9 de octubre y la alerta oficial llegó el 28 de octubre.
Si alguien hubiera explicado claramente lo ocurrido el 10 de septiembre, quizá quienes compraron el dispositivo en octubre no habrían caído en la trampa ⚠️
Lo más costoso de un ataque a la cadena de suministro nunca es el dispositivo en sí, sino que la información llegue tarde.
Para quienes tienen criptomonedas, hay medidas muy concretas:
Compra solo en canales oficiales directos. Cuando recibas el dispositivo, verifica el número de serie en el sitio web oficial, revisa el sello y la tarjeta de recuperación, y actualiza el firmware únicamente desde la aplicación oficial.
Los dispositivos de segunda mano, los de tiendas libres de impuestos en aeropuertos y los de procedencia dudosa deben considerarse poco confiables 🛡️
Un dispositivo de unos cientos de dólares protege todo tu patrimonio; no es un punto en el que debas escatimar.
¿Dónde compraste la billetera física que tienes? ¿Verificaste el número de serie? 🔧
Cada día te ayudo a seguir las noticias más importantes sobre seguridad cripto: no solo vemos qué pasa, sino que también entendemos la lógica y las oportunidades que hay detrás 👀🚀
