En 2023, Kaspersky reveló un caso que creo que deberían conocer todas las personas que compran carteras de hardware: las monedas fueron transferidas aunque el dispositivo no estaba conectado a una computadora. El problema surgió antes de que lo compraran.
La víctima compró un Trezor Model T en un sitio web de anuncios clasificados de segunda mano. Los hologramas de seguridad de la caja y del dispositivo estaban intactos. Pero, al desmontarlo, Kaspersky descubrió que la carcasa estaba pegada con pegamento y cinta adhesiva de doble cara, que habían sustituido mediante soldadura el chip principal y que la versión del programa de arranque nunca había sido publicada oficialmente.
El firmware modificado hacía tres cosas: eliminaba la verificación de la firma y evitaba que apareciera una alerta al encender el dispositivo; durante la inicialización o el restablecimiento, sustituía la frase semilla generada al azar por una de las 20 que estaban preguardadas en el firmware; y, si se configuraba una contraseña adicional, solo tomaba el primer carácter. Así que ni siquiera restablecer el dispositivo permitía salir de esas 20 frases, y el atacante conocía la clave privada desde el principio. El historial de transacciones muestra que esperaron un mes antes de actuar.
Trezor respondió confirmando que se trataba de una modificación de terceros y afirmó que este ataque a la cadena de suministro ocurrió más de un año antes de la publicación del artículo. No fue un ataque remoto contra un Trezor auténtico ni se debió a una vulnerabilidad nueva.
No confiaría en la seguridad basándome solo en una pegatina de seguridad: que esté intacta no significa que no hayan modificado el chip ni el firmware. En las instrucciones oficiales de Trezor se indica que sus dispositivos salen de fábrica sin firmware ni una frase semilla predeterminada, y que, si un dispositivo nuevo ya tiene firmware instalado, hay que ponerse en contacto de inmediato con el servicio de atención al cliente oficial. Esta es la política de fábrica de Trezor; no tiene por qué ser igual en otras marcas, así que hay que consultar las instrucciones oficiales de cada fabricante.
Las principales recomendaciones de Kaspersky y Trezor son comprar en canales oficiales y no ignorar las advertencias del dispositivo. Yo no usaría una cartera de hardware de segunda mano de procedencia dudosa para guardar dinero.