Ledger ha confirmado que un implante de hardware no autorizado encontrado dentro de un firmante de criptomonedas vendido por el revendedor del sudeste asiático CryptoBilis puede capturar las frases de recuperación de 24 palabras de los usuarios y transmitirlas a través de una red celular.
Resumen
- Ledger confirmó un implante de hardware dentro de un firmante afectado vendido a través del revendedor del sudeste asiático CryptoBilis.
- El implante lee las frases de recuperación durante la configuración y transmite las palabras capturadas a través de una conexión LTE.
- Ledger afirma que el implante opera por separado sin modificar su Elemento Seguro, sistema operativo o firmas.
- CryptoBilis ha suspendido las ventas de firmantes Ledger mientras los investigadores examinan los dispositivos afectados y las pérdidas de clientes reportadas.
- Ledger no ha verificado el número total de víctimas ni las pérdidas generales de criptomonedas reportadas.
Ledger reveló los hallazgos el 13 de octubre, tras una investigación de su equipo de seguridad Donjon sobre las pérdidas de criptomonedas reportadas el 9 de octubre. La compañía confirmó la presencia de un implante en el dispositivo de un cliente afectado el 10 de octubre y dijo que cada pérdida de fondos que ha verificado en el incidente involucraba dispositivos comprados a través de CryptoBilis. El revendedor ha suspendido las ventas de firmantes Ledger mientras los investigadores examinan el hardware afectado.
La investigación de seguridad de la cartera Ledger revela un dispositivo de espionaje oculto
Según los últimos hallazgos de la compañía, el componente no autorizado se encuentra dentro de la carcasa de la cartera y monitorea la información mostrada en su pantalla. Durante el proceso de configuración inicial, un firmante Ledger muestra una frase de recuperación de 24 palabras que permite a los usuarios restaurar el acceso a sus tenencias de criptomonedas.
El implante contiene un microcontrolador que puede leer la información mostrada durante la configuración. Cuando detecta pantallas de frases de recuperación, decodifica las palabras y transmite la información a través de una conexión LTE utilizando una eSIM provisionada. Los hallazgos de Ledger indican que el componente opera independientemente de los sistemas de seguridad normales del firmante.
En su declaración, Ledger explicó que el dispositivo no modifica el Elemento Seguro, el chip responsable de proteger las claves privadas. El implante no altera el sistema operativo de Ledger, las transacciones de criptomonedas ni las firmas digitales. Su función es capturar información sensible mostrada durante la inicialización de la cartera.
La compañía dijo que su investigación no ha establecido que el incidente afecte a dispositivos comprados a través de otros canales de distribución. "No hemos verificado un drenaje vinculado a un firmante comprado en otro lugar", declaró Ledger. Sin embargo, sus investigadores de seguridad continúan revisando informes que involucran modificaciones de hardware en otros dispositivos y ubicaciones.
Los últimos hallazgos técnicos proporcionan información adicional sobre el hardware oculto descubierto en carteras Ledger vendidas por CryptoBilis. Ledger confirmó inicialmente la presencia de un componente no autorizado el 10 de octubre, pero no había establecido públicamente su método de operación en esa etapa.
CryptoBilis detiene las ventas mientras Ledger investiga los robos reportados
La investigación comenzó después de que Ledger recibiera informes de criptomonedas faltantes de clientes que habían comprado dispositivos a través de CryptoBilis, un revendedor de carteras de hardware que sirve a los mercados del sudeste asiático. El 9 de octubre, el fabricante comenzó a examinar las quejas y solicitó al distribuidor que dejara de vender y enviar sus productos.
Para el 10 de octubre, el equipo de seguridad de la compañía había identificado un implante no autorizado dentro de un dispositivo perteneciente a un cliente afectado. CryptoBilis confirmó posteriormente que había dejado de vender firmantes Ledger mientras continuaba la investigación.
Ledger no ha establecido cómo los componentes no autorizados entraron en los dispositivos afectados ni ha identificado a los responsables de instalarlos. La compañía no ha anunciado arrestos, cargos penales ni acciones de cumplimiento completadas relacionadas con el incidente.
Mientras tanto, la empresa de análisis de blockchain Bitquery estimó que los presuntos robos de criptomonedas relacionados con la investigación alcanzaron aproximadamente 102 millones de dólares en 324 carteras en su análisis del 12 de octubre. La firma rastreó movimientos que involucraban Bitcoin, Ethereum y otras redes blockchain mientras examinaba posibles conexiones entre las direcciones afectadas.
Las cifras siguen siendo estimaciones independientes. Ledger no ha confirmado el cálculo de pérdidas de Bitquery, el número de clientes afectados ni si cada transacción sospechosa identificada por los investigadores resultó del implante de hardware.
En su declaración del 13 de octubre, el fabricante dijo: "No hemos confirmado el número total de usuarios afectados ni el valor total perdido". Advirtió que las cifras que circulan en línea provienen de terceros y no han sido verificadas completamente por sus investigadores.
Por separado, la compañía dijo que su equipo Donjon continuaría examinando los dispositivos enviados durante la investigación. Se espera que los investigadores evalúen las modificaciones físicas y determinen si otros firmantes afectados contienen componentes similares.
Ledger insta a los clientes de CryptoBilis a mover sus criptomonedas
A los clientes que ya han utilizado dispositivos afectados se les indicó que transfieran sus criptomonedas con prontitud a un nuevo firmante inicializado con una frase de recuperación completamente nueva. Ledger advirtió específicamente a los usuarios que no importaran ni restauraran sus palabras de recuperación existentes en otro dispositivo comprado a CryptoBilis.
La recomendación sigue a los hallazgos de la compañía de que el implante puede capturar las frases de recuperación mostradas durante la configuración. Un usuario que transfiere una frase de recuperación expuesta a otra cartera de hardware continuaría usando credenciales potencialmente conocidas por un atacante.
El fabricante dijo que las víctimas deben coordinarse con las autoridades antes de abrir sus firmantes, particularmente cuando el dispositivo podría ser necesario para una investigación. Abrir el hardware sin el manejo adecuado podría afectar el estado de la evidencia física.
Ledger reiteró que nunca llamaría a los clientes, enviaría mensajes directos no solicitados ni solicitaría sus frases de recuperación. La advertencia sigue a informes separados de sitios web falsos de Ledger que intentan robar frases de recuperación de carteras, aunque no se ha establecido una conexión directa entre esas campañas de phishing y el incidente de hardware de CryptoBilis.
Para los clientes que obtuvieron sus dispositivos en otro lugar, Ledger ha puesto a disposición una guía de inspección a través de su sitio web de soporte. La compañía advirtió que abrir un firmante puede dañarlo y aconsejó a los usuarios asegurarse de que sus frases de recuperación estén respaldadas de forma segura antes de intentar una inspección.
Ledger Donjon continúa examinando los implantes de hardware
El equipo de investigación Donjon de Ledger continúa su examen técnico de los firmantes modificados. La compañía dijo que sus investigadores analizarían dispositivos adicionales a medida que lleguen y publicarían más información cuando se hayan verificado nuevos hallazgos.
El equipo se especializa en investigación de seguridad de hardware y software, incluidos ataques físicos contra dispositivos de firma de criptomonedas. La documentación de investigación de Ledger describe trabajos que involucran análisis de circuitos, inspección de componentes y pruebas de mecanismos de seguridad utilizados para proteger claves privadas.
La investigación se ha centrado en cómo el componente no autorizado capturó información de la pantalla del dispositivo. Los hallazgos de Ledger del 13 de octubre identifican un microcontrolador separado y un sistema de comunicación celular, sin modificación confirmada del Elemento Seguro ni del proceso de firma.
La compañía ha solicitado información de investigadores y otras personas que puedan tener evidencia sobre las modificaciones. Los hallazgos relevantes pueden enviarse a [email protected], mientras que los clientes afectados han sido dirigidos al Soporte de Ledger.
Ledger dijo que continuaría revisando informes que involucran otros modelos de firmantes y ubicaciones geográficas. La compañía no ha anunciado una fecha para completar la investigación o publicar un informe final.
