Los usuarios de criptomonedas en Singapur han perdido aproximadamente S$3,5 millones tras comprar carteras de hardware Ledger manipuladas en minoristas locales, lo que ha provocado una investigación policial sobre dispositivos que contenían componentes maliciosos.
Resumen
- La policía de Singapur ha reportado pérdidas de criptomonedas de aproximadamente S$3,5 millones en dos casos relacionados con carteras de hardware Ledger manipuladas compradas en minoristas locales desde el 10 de septiembre.
- Las investigaciones preliminares encontraron que los dispositivos afectados contenían componentes de hardware maliciosos capaces de capturar las frases de recuperación o las claves privadas de los usuarios y permitir transferencias no autorizadas.
- Ledger suspendió las ventas de carteras de hardware en varios mercados del sudeste asiático, incluidos Singapur, Malasia, Indonesia, Tailandia, Filipinas, Vietnam y Hong Kong, tras descubrir dispositivos comprometidos.
- Analistas de blockchain estimaron previamente las pérdidas vinculadas a carteras comprometidas en más de US$86 millones, aunque Ledger dijo que no podía confirmar el monto total robado ni el número de usuarios afectados.
Según un aviso del 28 de octubre de la Fuerza Policial de Singapur, se han reportado al menos dos casos relacionados con dispositivos Ledger comprometidos desde el 10 de septiembre, y las investigaciones preliminares encontraron que algunas carteras vendidas a través de tiendas minoristas habían sido modificadas físicamente para robar información sensible.
Los investigadores encontraron que los dispositivos afectados contenían hardware no autorizado capaz de capturar las frases de recuperación o las claves privadas de los usuarios, que luego podrían utilizarse para acceder a sus tenencias de criptomonedas y transferir fondos sin permiso.
Carteras de hardware Ledger encontradas con componentes maliciosos
Las pérdidas reportadas se producen tras una investigación anterior de Ledger sobre dispositivos comprometidos distribuidos a través de CryptoBilis, un revendedor que opera en el sudeste asiático.
El 13 de octubre, Ledger confirmó que se habían descubierto implantes de hardware ocultos dentro de uno de sus dispositivos después de que los usuarios reportaran robos de criptomonedas a principios de ese mes.
El equipo de seguridad Donjon de la compañía encontró que el componente no autorizado podía capturar la frase de recuperación de 24 palabras mostrada durante la configuración de la cartera y transmitir la información a un atacante a través de una conexión celular LTE.
Las frases de recuperación permiten a los usuarios restaurar el acceso a sus carteras de criptomonedas. Cualquiera que obtenga la frase completa puede potencialmente recrear la cartera en otro dispositivo y transferir los activos que contiene.
Ledger dijo que el componente malicioso operaba de forma separada del Elemento Seguro del dispositivo, que está diseñado para proteger las claves privadas, y no requería cambios en el sistema operativo de la cartera.
Como informó anteriormente crypto.news, los dispositivos comprometidos llegaron a los clientes a través de un canal de distribución de revendedores, y Ledger afirmó que sus propios sistemas y canales de venta directa no habían estado implicados en los casos confirmados.
La compañía confirmó un implante de hardware no autorizado en una cartera afectada el 10 de octubre y comenzó a examinar otros incidentes reportados relacionados con dispositivos comprados a través del mismo revendedor.
Ledger suspendió las ventas en todo el sudeste asiático
Tras el descubrimiento, Ledger pidió a los revendedores y distribuidores de todo el sudeste asiático que suspendieran las ventas y los envíos de sus carteras de hardware mientras la compañía investigaba los productos afectados.
La suspensión, anunciada el 13 de octubre, abarcó Singapur, Malasia, Indonesia, Tailandia, Filipinas, Vietnam y Hong Kong.
Ledger inicialmente instruyó a CryptoBilis a dejar de vender sus dispositivos después de recibir informes de fondos robados de clientes que habían comprado carteras a través del revendedor.
La compañía aconsejó a los clientes que habían comprado dispositivos Ledger a CryptoBilis en los 90 días anteriores que no inicializaran carteras sin usar. Se animó a aquellos que ya habían configurado sus dispositivos a considerar mover sus activos a una nueva cartera con una frase de recuperación recién generada.
Según The Straits Times, se identificaron dispositivos comprometidos en el mercado minorista de Singapur, incluido uno vendido en Metapod en el Aeropuerto de Changi y otro que se informó fue comprado en una tienda Challenger en VivoCity.
Los analistas de blockchain habían estimado previamente que se habían robado más de 86 millones de dólares estadounidenses en relación con las billeteras comprometidas, aunque Ledger dijo que no podía confirmar las pérdidas totales ni el número de usuarios afectados.
La cifra de 3,5 millones de dólares singapurenses de la policía de Singapur abarca los casos reportados localmente y es independiente de la estimación regional anterior.
La investigación de las billeteras Ledger llega a los minoristas europeos
Las preocupaciones en torno a los dispositivos Ledger manipulados no se han limitado al sudeste asiático.
El 13 de octubre, el minorista de electrónica alemán MediaMarktSaturn suspendió las ventas de billeteras de hardware Ledger en todas sus tiendas físicas y canales en línea después de que un cliente en Alemania informara haber encontrado un componente no autorizado dentro de un dispositivo.
Ledger aceptó la suspensión mientras su equipo de seguridad examinaba la modificación de hardware reportada.
El fabricante dijo que no se habían perdido fondos de clientes en el incidente alemán y sostuvo que su infraestructura, sistemas y servicios no habían sido comprometidos.
Un incidente de seguridad separado de billeteras de hardware surgió el 26 de octubre cuando el fabricante rival Keystone reveló una brecha en la clave de autenticación que afectaba a sus dispositivos.
Keystone dijo que los hackers habían robado una clave de autenticación de dispositivos y expuesto información perteneciente a 25.964 clientes, lo que le obligó a destruir 18.835 billeteras de hardware y suspender temporalmente los envíos.
A diferencia de los incidentes de Ledger, Keystone dijo que las frases de recuperación y las claves privadas de sus clientes no habían sido comprometidas.
