Carteras hardware Ledger manipuladas en el sudeste asiático: 102 millones de dólares robados

A comienzos de octubre, clientes del sudeste asiático detectaron que sus criptomonedas habían desaparecido de carteras hardware Ledger que seguían funcionando con normalidad. Los dispositivos se habían comprado a través de CryptoBilis, distribuidor autorizado con actividad en Malasia, Indonesia y Filipinas. Ledger confirmó el 10 de octubre la presencia de un implante no autorizado en el equipo de uno de los clientes afectados. Tres días después, su equipo de seguridad explicó que unos componentes electrónicos añadidos copiaban las 24 palabras de recuperación durante la configuración y las transmitían por conexión móvil. El chip protegido, el sistema operativo y las firmas de transacción no presentaban alteraciones. Bitquery calcula que los atacantes robaron 102 millones de dólares de 324 carteras repartidas en seis redes. Ledger no ha confirmado esa cifra total ni ha establecido que todas las pérdidas correspondan a un dispositivo implantado. Las carteras hardware protegen las claves privadas que autorizan transacciones; los criptoactivos permanecen en las redes blockchain. Una cartera firma una transacción aprobada sin entregar las claves privadas al ordenador conectado. Durante la configuración, una cartera Ledger muestra 24 palabras de recuperación capaces de recrear la cartera y sus claves si el dispositivo se pierde. Al propietario se le indica que anote la frase, la mantenga sin conexión y no la comparta nunca. Cualquiera que disponga de esa frase puede restaurar las mismas cuentas en otro dispositivo sin que el PIN de la cartera original lo impida. Ledger señaló que un pequeño controlador interceptaba la información enviada a la pantalla, reconstruía la frase de recuperación y la transmitía por LTE mediante una tarjeta SIM integrada. El implante no necesitaba comprometer el chip protegido ni engañar al propietario para que introdujera las palabras en una web falsa. El dueño podía completar la configuración y aprobar transacciones legítimas mientras el atacante conservaba un acceso equivalente a los fondos. Una passphrase adicional opcional protege las cuentas creadas con ella, pero las palabras de recuperación bastan por sí solas para las cuentas ordinarias. Genuine Check de Ledger verifica que un dispositivo incorpora un Secure Element auténtico, el chip encargado de las operaciones de seguridad sensibles. La herramienta identifica un chip falsificado, aunque no puede inspeccionar cada componente ni demostrar que no se añadió nada después de la fabricación. La documentación de seguridad de Ledger advierte de que las modificaciones físicas pueden pasar desapercibidas cuando el chip original permanece intacto. Tibane Labs examinó dispositivos Ledger Nano X modificados que incluían electrónica para monitorizar las señales entre el chip seguro y la pantalla. Un ejemplar más sofisticado ocultaba una placa personalizada bajo el display y conservaba la batería original, lo que impedía detectar la modificación a simple vista. Esos ejemplares son independientes de la investigación de CryptoBilis y no demuestran que intervinieran los mismos dispositivos o atacantes. Ni los chips auténticos, ni las firmas correctas, ni el funcionamiento normal prueban que un dispositivo esté libre de manipulación. Ledger recomienda comprar a vendedores autorizados, lo que convierte el caso CryptoBilis en una cuestión de confianza en toda la cadena de distribución más que en un problema de productos falsificados. En una actualización del 15 de octubre, Ledger indicó que los atacantes compraron dispositivos genuinos a lo largo de varios meses, los abrieron, instalaron componentes personalizados y los devolvieron a la distribución a través de revendedores del sudeste asiático. La compañía calificó el suceso como un ataque al canal de distribución. Las muestras revisadas en almacenes y tiendas no mostraban manipulación. Ledger pidió a sus distribuidores y revendedores autorizados del sudeste asiático y Hong Kong que suspendieran las ventas. La empresa está reforzando los controles sobre productos devueltos y solicita a los vendedores que retiren los dispositivos de los expositores. MediaMarktSaturn, en Alemania, suspendió las ventas de Ledger tras el informe sobre un dispositivo manipulado. Trezor redujo su red de revendedores del fabricante rival pese a no encontrar indicios de que sus productos estuvieran comprometidos. Bitquery detectó que 25 carteras de Tron firmaron la misma aprobación en tres segundos, un patrón compatible con alguien que ya controlaba varias cuentas. Los registros blockchain no permiten identificar quién abrió los envases, instaló los componentes o devolvió un dispositivo a la tienda; esas preguntas exigen inspecciones del hardware y registros de distribución. Comprar hardware nuevo e introducir las antiguas 24 palabras de recuperación recrea el mismo riesgo, porque la frase antigua restaura las mismas claves. Los activos deben trasladarse a cuentas generadas con una frase de recuperación nueva en un dispositivo de confianza, con direcciones e instrucciones verificadas con cuidado. Ledger aconsejó a los compradores de CryptoBilis no inicializar los dispositivos sin usar y recomendó a quienes ya habían completado la configuración mover los fondos a un nuevo firmante con una frase nueva. Los propietarios afectados deben utilizar los canales oficiales de soporte, conservar las pruebas potencialmente relevantes y no entregar nunca las palabras de recuperación a quien afirme poder recuperar el dinero. El incidente demuestra que la seguridad de una cartera hardware abarca la pantalla, la carcasa, el embalaje y la cadena de distribución hasta el momento en que aparecen por primera vez las palabras de recuperación. La autocustodia elimina la necesidad de confiar en un exchange para guardar las claves privadas, pero el propietario sigue teniendo que confiar en el hardware que crea y muestra esas claves.