✨︎ Resumen (TL;DR):
- Ledger confirmó un implante de hardware no autorizado en un dispositivo vendido por CryptoBilis, su distribuidor autorizado.
- Las estimaciones de pérdidas van de 93.2 millones de dólares a 94.5 millones, pero Ledger no ha validado esos totales.
- La compañía pidió no configurar los equipos sin usar y mover los fondos de los dispositivos ya activados a otro con una frase de recuperación nueva.
Ledger confirmó el 10 de octubre un implante de hardware no autorizado en una cartera vendida por CryptoBilis, distribuidor autorizado de la marca en Indonesia, Malasia y Filipinas. El caso está ligado a las pérdidas de criptomonedas investigadas desde el incidente del 9 de octubre y muestra que un equipo puede conservar su chip de seguridad original, superar un control de autenticidad y aun así llegar modificado físicamente al comprador.
El chip original no basta para detectar cambios físicos
Ledger comunicó el hallazgo el 10 de octubre, según la cobertura de CoinDesk, y aclaró que la confirmación correspondía a un dispositivo. En una actualización del 11 de octubre, la empresa señaló que todos los casos confirmados del incidente del 9 de octubre involucraban equipos vendidos por CryptoBilis. También describió como limitado el volumen afectado, pero no publicó una cifra.
CryptoBilis figuraba como distribuidor autorizado de Ledger en Indonesia, Malasia y Filipinas, de acuerdo con Cointelegraph. Durante la investigación, el vendedor suspendió la venta de todas sus carteras de hardware.
Ledger también dijo que el incidente no comprometió su infraestructura, sus sistemas ni sus servicios. La compañía no había recibido reportes sobre compras directas a ella.
Genuine Check es un control de autenticidad que verifica el elemento seguro, el chip que forma parte de la protección del dispositivo. La documentación de Ledger Donjon, el equipo de investigación de seguridad de la compañía, establece el alcance de esta revisión.
El control no detecta modificaciones físicas no autorizadas, incluidos implantes espía, cuando el elemento seguro original permanece intacto. Tampoco comprueba el historial físico del equipo durante su distribución.
Por eso, una cartera puede aprobar Genuine Check y, al mismo tiempo, contener hardware añadido. El chip original sigue siendo auténtico, pero esa revisión no permite saber si alguien incorporó una pieza en otra parte del equipo ni qué ocurrió con la unidad antes de llegar al comprador.
Help Net Security recogió una hipótesis de Mark Karpelès, quien afirmó haber examinado una cartera manipulada en Malasia. Según esa hipótesis, una placa oculta bajo la pantalla capturaría la frase de recuperación durante la configuración y la enviaría al atacante. Ledger todavía no ha descrito cómo funciona el implante que confirmó.
El dinero rastreado no equivale a dispositivos afectados
Las pérdidas todavía están en revisión. En su cobertura del 12 de octubre, CoinDesk citó una estimación de Bitquery de 93.2 millones de dólares, vinculada con 315 carteras en seis redes. La misma cobertura atribuyó a YFarmX un cálculo de 94.5 millones de dólares, asociado con 521 direcciones en siete redes. Ledger no había validado ninguno de esos totales.
Las cifras no cuentan lo mismo. Bitquery advierte en su metodología que una cartera afectada no equivale a una persona: un propietario puede controlar varias carteras y algunas cuentas registran vaciados en más de una red.
Por eso, rastrear transferencias en blockchain no basta para saber cuántos dispositivos tenían implantes. Ese recuento requiere evidencia física sobre los equipos, además del movimiento de fondos registrado en blockchain.
CoinDesk también informó de un congelamiento de 10 millones de dólares en USDT, atribuido a Tether y confirmado por Bitquery. El congelamiento dejó activos inmovilizados, pero no representa una indemnización entregada a las personas perjudicadas.
Qué deben hacer quienes compraron en CryptoBilis
Ledger pidió a quienes compraron equipos en CryptoBilis y todavía no los han usado que no los configuren. A quienes ya los activaron, les recomendó trasladar sus activos a otro dispositivo con una frase de recuperación recién generada.
La compañía también alertó sobre estafadores que podrían aprovechar el incidente para hacerse pasar por soporte. Ledger reiteró que nunca solicitará las 24 palabras de recuperación mediante llamadas o mensajes privados.
La revisión alcanza al canal de distribución. Ledger recordó a sus vendedores autorizados que deben abastecerse exclusivamente por canales autorizados y que tienen prohibido volver a poner a la venta productos devueltos.
La pieza que falta sigue siendo la misma: Ledger confirmó la existencia de un implante en un dispositivo, pero todavía no ha descrito cómo opera ni ha dado una cifra de equipos alterados. Mientras las estimaciones basadas en blockchain continúan bajo revisión, la autenticidad del chip por sí sola no permite confirmar el historial físico de una cartera.
