Ledger confirma un implante de hardware en una cartera Nano X
La empresa liga los vaciados de fondos a equipos de un revendedor en Malasia; las pérdidas, de entre 71 y 86 millones de dólares, son cálculos externos.
Un equipo de un usuario afectado traía un implante de hardware no autorizado, confirmó Ledger, la empresa francesa que fabrica carteras físicas de criptomonedas, según BleepingComputer, que reportó la actualización este 12 de octubre. La empresa había abierto el 9 una investigación por fondos vaciados a compradores del sudeste asiático.
En una publicación en X, Ledger atribuye cada robo reportado a carteras que despachó CryptoBilis, distribuidor con base en Malasia, y describe el volumen afectado como "limitado". Pidió a CryptoBilis detener ventas y envíos el 9 de octubre, y la manipulación quedó confirmada al día siguiente.
Para quien compró una cartera de ese origen, Ledger recomienda no iniciar la configuración si el equipo sigue sin usar. Si ya se usó, pide mover los activos a una cartera nueva con otra frase semilla, la clave de recuperación que da acceso a los fondos, según BleepingComputer.
Genuine Check, la prueba con la que Ledger comprueba que un equipo es original, no descubre un implante extra si el elemento seguro de fábrica sigue intacto, de acuerdo con el mismo medio.
Los detalles técnicos no son de Ledger. Mark Karpelès, exdirector del exchange Mt. Gox, y la firma Tibane Labs examinaron unidades Nano X. Según ellos, el implante registra la pantalla y las pulsaciones de los botones para reconstruir la frase semilla, y la transmite por red celular con una eSIM. Tibane Labs distingue dos variantes: una sustituye la batería y otra cabe bajo el relleno de la pantalla OLED. Los equipos manipulados se vendían desde el 16 de septiembre a casi la mitad de su precio, según los investigadores.
Los cálculos de analistas externos van de 71.5 millones de dólares a más de 86 millones, y Gizmodo cita a Arkham Intelligence, que marcó unos 71.5 millones en direcciones señaladas. Ledger no ha confirmado ninguna cifra ni el número de víctimas. Sí dijo el 9 de octubre que no ve señales de que sus sistemas estén comprometidos.
Sigue sin saberse en qué etapa de la cadena de suministro alguien colocó el implante. CryptoBilis no había fijado postura pública en lo consultado, y no está establecido que la unidad que fotografió Karpelès provenga de ese revendedor.
