Venden carteras Ledger con chips espía que robaban frases semilla

Ledger afirma que un grupo criminal compró carteras de hardware Ledger auténticas, ocultó un chip espía en cada una y las devolvió a las tiendas a través de revendedores del Sudeste Asiático. El chip leía la frase de recuperación de cada comprador cuando aparecía en pantalla y la enviaba al exterior por una red móvil. Después, los ladrones vaciaban las carteras. Investigadores onchain estiman pérdidas de hasta 93,2 millones de dólares en más de 300 carteras, según TheStreet, aunque Ledger no ha confirmado una cifra total.

Una cartera de hardware es un pequeño dispositivo que guarda sin conexión las claves de las criptomonedas. Toda su promesa es que el secreto nunca toca un ordenador conectado a internet. Este ataque no rompió ese diseño. Lo esquivó.

Cómo funcionaba el implante

Todos los robos confirmados se remontan a dispositivos vendidos por CryptoBilis, un revendedor con sede en Malasia, según BleepingComputer. Los investigadores dicen que esos dispositivos se ofrecían a casi la mitad del precio normal.

Mark Karpelès y Tibane Labs desmontaron unidades afectadas y describieron lo que encontraron, según BleepingComputer:

• Una placa oculta detrás de la pantalla. Capturaba lo que mostraba la pantalla y qué botones se pulsaban.
• Una batería de repuesto más pequeña para alimentar el chip adicional.
• Una eSIM integrada, es decir, una tarjeta SIM digital, para que el chip pudiera enviar datos por una red móvil LTE.

El objetivo era la frase de recuperación, también llamada frase semilla. Es la lista de 24 palabras que una cartera muestra una sola vez durante la configuración, y quien la tenga controla los fondos. El chip no tocó el elemento seguro de Ledger, el chip blindado que guarda las claves, ni modificó ninguna transacción, dijo Ledger a TheStreet.

Por eso las propias comprobaciones de Ledger no lo detectaron. Su Genuine Check es una prueba que confirma que un dispositivo es auténtico. Las páginas de soporte de Ledger advierten que no detecta piezas añadidas si el elemento seguro original está intacto, informa BleepingComputer.

Lo que Ledger dice que ocurrió

Ledger abrió una investigación el 9 de octubre después de que varios usuarios denunciaran carteras vaciadas, y confirmó la manipulación al día siguiente. El 15 de octubre publicó su explicación más completa en una entrada de blog. La empresa dice que el grupo compró dispositivos reales durante muchos meses, los modificó y los devolvió a la cadena de suministro.

“Este fue un ataque al canal de distribución después de que los dispositivos salieran de nuestro control”, escribió Ledger. La empresa asegura que sus chips, su sistema operativo y sus servidores no se vieron comprometidos.

El director ejecutivo de Ledger, Pascal Gauthier, dijo a TheStreet que “la manipulación física de la cadena de suministro es un riesgo para todo el sector”.

Los informes sobre la magnitud de las pérdidas difieren:

Estimación	Fuente
Hasta 93,2 millones de dólares, más de 300 carteras	Estimaciones onchain de CoinDesk, vía TheStreet
Más de 90 millones de dólares	Galaxy Digital, vía TheStreet
Desconocida	Ledger y Privacy Guides

Tether, emisor de la stablecoin USDT, congeló 10 millones de dólares en USDT, informa TheStreet.

Una disputa sobre las tiendas alemanas

TheStreet informa de que también aparecieron dispositivos manipulados en el minorista alemán MediaMarkt, que retiró los productos de Ledger de sus tiendas y de su web. Sin embargo, la propia entrada de blog de Ledger dice que la empresa compró dispositivos en tiendas alemanas y revisó muestras de almacén. “Todas las unidades examinadas estaban limpias”, afirma. Las dos versiones aún no se han conciliado.

Qué significa esto para los desarrolladores

La lección va más allá de las criptomonedas. Cualquier dispositivo de seguridad, desde una llave de hardware hasta un teléfono, solo es tan fiable como el camino que recorrió hasta tu escritorio.

Para los propietarios de un Ledger, el consejo es directo. “Si compraste un firmante Ledger a CryptoBilis y no lo has configurado, no lo configures”, dijo a TheStreet el director de tecnología de Ledger, Charles Guillemet. Si ya configuraste uno, traslada tus fondos a un dispositivo nuevo con una frase de recuperación nueva, aconseja Ledger, según Privacy Guides.

Para los equipos que compran hardware de seguridad:

• Compra al fabricante o a un vendedor autorizado. Un precio muy por debajo del de venta al público es una señal de alarma, no una ganga.
• No confíes en que una comprobación por software encuentre hardware añadido. El Genuine Check de Ledger dio por buenos estos dispositivos.
• Nunca muestres un secreto de larga duración en un dispositivo que no hayas inspeccionado.

Ledger ha pedido a los revendedores que detengan las ventas en el Sudeste Asiático y Hong Kong. También está añadiendo normas para sus vendedores: ningún producto en estanterías abiertas ni expositores, existencias guardadas en el almacén hasta la compra y aviso rápido de cualquier anomalía. La empresa dice que colabora con la policía y que publicará más detalles técnicos.