El 12 de noviembre, Trezor publicó las conclusiones de su investigación. El 30 de octubre escribimos sobre este caso, cuando solo se trataba de las sospechas de un comprador indonesio: una placa con un módulo de telefonía móvil adicional dentro de una Safe 5. El mecanismo no estaba confirmado y nadie había informado de pérdidas de dinero. Ahora ya hay resultados: se confirmó la presencia de este chip implantado en tres Safe 5. Todas se compraron entre el 20 de agosto y el 23 de septiembre de este año al mismo distribuidor, CryptoBilis, tanto en su propia tienda como en sus tiendas de Tokopedia y Shopee.
El chip estaba colocado entre la placa base y la pantalla. No se había modificado ni el firmware de la cartera ni el chip de seguridad, así que las comprobaciones de autenticidad no podían detectarlo. El chip vigilaba la pantalla y copiaba las frases de recuperación que aparecían al crear una cartera, las que se introducían al restaurarla y las frases de contraseña que se mostraban en pantalla. Después, las cifraba y las enviaba al servidor de los atacantes a través de la señal del teléfono móvil. La buena noticia es que, hasta ahora, los propietarios de estos tres dispositivos no han informado de pérdidas de dinero. Trezor también señaló que este método es igual al empleado con los chips descubiertos anteriormente en dispositivos Ledger, aunque en este caso se había adaptado a la pantalla de la Safe 5.
Lo que más duele de este caso es que la cadena de confianza se rompió justo donde menos debía. Mucha gente compra una billetera de hardware para quedarse tranquila y da por hecho que, si es auténtica, no habrá problema. Pero el fallo estaba en el canal de distribución. Trezor retiró a CryptoBilis de su lista de distribuidores autorizados el 9 de octubre, pero los dispositivos que había vendido siguen en manos de muchas personas. Desde el aviso de octubre hasta ahora, 48 compradores se han puesto en contacto con Trezor para enviar sus dispositivos a revisión o mandar fotos para verificarlos; hasta el momento, solo se han confirmado estos tres. Además, Trezor redujo en torno a un 80 % su red de distribuidores autorizados y endureció los controles para los que quedan.
El 11 de noviembre, Trezor lanzó el firmware 2.13.1. Una vez instalado, los chips afectados que ya se han identificado no podrán volver a robar información nueva. Pero esto tiene una condición: el firmware no puede salvar una frase de recuperación que ya haya sido copiada. Si antes de actualizar tu frase de recuperación ya había sido filtrada, seguirá en manos del atacante después de la actualización.
Tres cosas que puedes hacer esta misma noche. Primero, si compraste un Trezor en CryptoBilis —incluidas todas las compras realizadas desde marzo de este año—, actualiza el firmware a la versión 2.13.1. Después, en un dispositivo seguro, crea una billetera con una frase de recuperación completamente nueva y transfiere allí tus criptomonedas. Actualizar solo el firmware no sirve; tampoco sirve restaurar la billetera nueva con la frase de recuperación antigua. Segundo, antes de comprar una billetera de hardware, comprueba en el sitio web oficial si el vendedor figura en la lista de distribuidores autorizados. Las gangas de tiendas de terceros y plataformas de comercio electrónico pueden ser baratas precisamente porque te estás ahorrando las comprobaciones. Tercero, trata como estafador a cualquiera que te contacte para pedirte la frase de recuperación con el pretexto de cambiarte el dispositivo, reembolsarte el dinero o ayudarte a revisarlo. El servicio oficial de atención al cliente nunca te la pedirá.
¿Compraste tu billetera de hardware en el sitio web oficial o en una tienda de terceros?
#Trezor #硬件钱包 #钱包安全 #ContraLasEstafas
—— Xiao Kai, el pequeño inversor de Web3
Este contenido refleja únicamente una opinión personal y no constituye asesoramiento de inversión. Saca tus propias conclusiones.