Ledger frena la venta de carteras en Asia por implantes

Ledger ha pedido a sus revendedores y distribuidores del Sudeste Asiático y Hong Kong que dejen de vender sus carteras de criptomonedas y retiren el stock de las tiendas. La decisión llega tras el hallazgo de implantes de hardware en dispositivos que roban las frases de recuperación que protegen los criptoactivos de los usuarios.

La compañía fabrica carteras físicas que guardan las claves privadas con las que se gestionan y aprueban las transacciones de activos digitales. Esas claves deben quedarse en el dispositivo. Las carteras manipuladas estaban diseñadas precisamente para anular esa protección.

Cómo empezó la investigación

Varios usuarios denunciaron haber perdido criptomonedas, y Ledger abrió una investigación el 9 de octubre. La empresa confirmó que algunos dispositivos vendidos por CryptoBilis, un revendedor del Sudeste Asiático, habían sido modificados. Las carteras alteradas capturaban las frases semilla de los usuarios y las enviaban a un tercero no autorizado a través de una conexión móvil LTE.

Donjon, el equipo de seguridad interno de Ledger, publicó ayer más detalles técnicos sobre el implante. Sus conclusiones coinciden en gran medida con informes anteriores de Mark Karpelès y Tibane Labs.

Qué hace el implante

Según Donjon, el implante cuenta con su propio microcontrolador. Detecta y descodifica la frase de recuperación de 24 palabras que los usuarios anotan al configurar o restaurar una cartera. Después envía esa frase por LTE mediante una eSIM ya aprovisionada.

El implante es una pieza de hardware independiente. No toca el Secure Element, el chip protegido que almacena las claves, ni modifica el sistema operativo de Ledger. Tampoco altera las transacciones ni las firmas. Por eso, las comprobaciones de integridad del propio Ledger no pueden detectarlo. Una cartera con el implante dentro puede parecer y comportarse como un dispositivo normal mientras filtra en silencio el único secreto que da acceso total a los fondos.

Denuncias sobre otros vendedores

Hasta ahora, todas las pérdidas de fondos confirmadas tienen que ver con dispositivos comprados a CryptoBilis. Sin embargo, los usuarios también han hablado de carteras comprometidas adquiridas a otros vendedores en Asia y Europa.

Algunos aseguran haber comprado dispositivos modificados en una tienda de tecnología Metapod de un aeropuerto de Singapur. Otros señalan a MediaMarkt, cadena de electrónica en Europa. MediaMarkt se abastece de dispositivos Ledger a través del distribuidor Aqipa GmbH y ya ha retirado el producto de sus tiendas tras estas denuncias.

Ledger amplió entonces su respuesta. La suspensión de ventas afecta ahora a todos los distribuidores de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong. Seguirá vigente hasta que la empresa termine de comprobar si los dispositivos de esos mercados son seguros.

La compañía insistió en que su infraestructura, sus sistemas y sus servicios no se han visto afectados, y en que comprar directamente a Ledger sigue siendo seguro.

Trezor recorta su red de revendedores

Trezor, otro gran fabricante de carteras físicas, ha anunciado que reducirá su red de revendedores para reforzar la supervisión y rebajar el riesgo de ataques a la cadena de suministro.

"La seguridad de la cadena de suministro nunca está terminada, así que estamos subiendo el listón para todos los socios que sigan con Trezor, con un marco legal actualizado y controles más estrictos sobre cómo se obtienen, almacenan y manipulan los dispositivos", ha declarado la empresa.

Trezor afirma que no ha encontrado pruebas de que sus propios dispositivos se hayan visto comprometidos y que actúa por precaución. En una carta a los revendedores afectados, comunicó que sus acuerdos terminarán el 1 de enero de 2027. A partir de esa fecha dejarán de estar autorizados para vender dispositivos Trezor.

Nuestro análisis

Para cualquiera que tenga criptomonedas, la lección principal es sencilla: dónde compras una cartera física importa tanto como qué cartera compras. Este ataque no rompió la criptografía ni el software de Ledger. Añadió un componente que queda fuera de todo lo que el dispositivo comprueba. Eso sugiere que las comprobaciones de integridad basadas en software no bastan por sí solas para descartar una manipulación física cuando el dispositivo ha pasado por manos de poca confianza.

El caso encaja en una tendencia más amplia: los atacantes van a por el camino que recorre un producto hasta el cliente en lugar de ir a por el producto en sí. Hemos visto la misma idea con móviles Android baratos que salen de fábrica con malware de fraude publicitario y con paquetes de código envenenados como la campaña MALFEX en npm. El objetivo también resulta familiar por otros métodos de robo de criptomonedas, como los ataques de SIM swapping: hacerse con el secreto que desbloquea los fondos.

A los lectores que hayan comprado un dispositivo Ledger a alguno de los vendedores mencionados les conviene seguir al pie de la letra las indicaciones de Ledger. Habrá que estar atentos a si la investigación confirma pérdidas vinculadas a vendedores distintos de CryptoBilis, hasta dónde se han extendido los implantes en Europa y si otros fabricantes de carteras siguen los pasos de Trezor y recortan sus redes de revendedores.