Ledger pidió a los distribuidores y vendedores de sus billeteras digitales en Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong que suspendieran la venta de los dispositivos y los retiraran de los estantes, mientras la empresa investiga casos de manipulación de hardware relacionados con un ataque a la cadena de suministro.
La decisión se produjo después de que Ledger confirmara que algunos dispositivos vendidos por el distribuidor asiático CryptoBilis habían sido modificados de una manera que permitía robar las frases de recuperación utilizadas para acceder a los criptoactivos. Según la empresa, varios usuarios informaron de pérdidas económicas, lo que la llevó a iniciar la investigación el 9 de octubre.
Implante de hardware que sortea las comprobaciones de seguridad
La división de seguridad Donjon de Ledger reveló detalles adicionales sobre el componente implantado dentro de los dispositivos, confirmando en gran medida informes anteriores publicados por Mark Karpelès y Tibane Labs. El componente funciona mediante un microcontrolador que detecta la frase de recuperación de 24 palabras y la descodifica durante la configuración o recuperación de la billetera; después, la envía a una entidad no autorizada mediante una conexión LTE utilizando una tarjeta eSIM activada.
Ledger explicó que el implante es un componente independiente que no modifica el elemento seguro Secure Element ni el sistema operativo de Ledger, y tampoco altera las transacciones ni las firmas. Por ello, los dispositivos modificados pudieron superar las comprobaciones de seguridad internas que realiza Ledger, lo que demuestra que la integridad del software por sí sola no basta para verificar un dispositivo de hardware manipulado antes de llegar al usuario.
Informes que van más allá de CryptoBilis
Ledger afirmó que todas las pérdidas confirmadas hasta ahora están relacionadas con dispositivos vendidos por CryptoBilis, pero los usuarios también informaron de dispositivos comprometidos que habían comprado a otros vendedores en Asia y Europa. Los informes incluyeron dispositivos comprados en la tienda tecnológica Metapod de uno de los aeropuertos de Singapur y en la cadena MediaMarkt en Europa.
Tras estos informes, MediaMarkt retiró los productos de sus estantes. La cadena obtiene los dispositivos Ledger del distribuidor Aqipa GmbH. Ledger también amplió su decisión de suspender las ventas para incluir a todos sus distribuidores en los países asiáticos mencionados y Hong Kong, hasta completar las investigaciones relacionadas con la seguridad de los dispositivos.
Por su parte, Ledger confirmó que su infraestructura, sus sistemas, sus servicios y su canal de ventas directo son seguros para su uso, según lo indicado en el material fuente.
¿Por qué es importante esta noticia?
El incidente demuestra que la cadena de suministro de dispositivos representa un punto de confianza independiente del sistema operativo y de los componentes de seguridad internos. La manipulación se produjo mediante la adición de un componente independiente capaz de capturar los datos de recuperación sin modificar los elementos en los que se basan las comprobaciones de Ledger, lo que convierte el origen del dispositivo y su recorrido de almacenamiento y distribución en una parte esencial del modelo de protección.
Trezor, el principal competidor en el mercado de las billeteras de hardware, adoptó una medida preventiva paralela: anunció la reducción de su red de distribuidores y el endurecimiento de los requisitos legales y de las comprobaciones relacionadas con el origen de los dispositivos, su almacenamiento y su gestión. La empresa afirmó que no había encontrado pruebas de que sus dispositivos hubieran sido comprometidos, pero pondrá fin a las asociaciones con algunos distribuidores el 1 de enero de 2027 y retirará su autorización para vender.