Hasta 86 millones de dólares desaparecidos
Ledger no ha confirmado el importe de las pérdidas. La plataforma de análisis de blockchain Arkham contabilizó recientemente unos 71,5 millones de dólares (aproximadamente 64 millones de euros) en direcciones que ha etiquetado como «ledger-drainer», incluidos 29,4 millones de dólares en ether y 17,5 millones en bitcoin. Los analistas de operaciones en cadena Specter y tanuki42 estiman las pérdidas entre 72 millones y más de 86 millones de dólares (hasta 77 millones de euros), repartidas entre cientos de carteras afectadas en las redes Bitcoin, Ethereum y Tron.
Ledger afirmó que «no hay indicios de que la infraestructura de seguridad, los sistemas o los servicios de Ledger se hayan visto comprometidos». Según la empresa, el incidente parece limitarse a ese distribuidor y a su mercado, y los dispositivos comprados directamente a Ledger no están afectados. Los clientes que compraron a CryptoBilis durante los últimos 90 días no deberían configurar sus dispositivos. Quienes ya lo hayan hecho deberían transferir sus activos a un nuevo dispositivo Ledger con una nueva frase de recuperación. CryptoBilis no ha hecho comentarios públicos y Ledger no ha acusado al distribuidor de manipular los dispositivos.
Un módem celular dentro de la cartera
Un análisis de Mark Karpelès, antiguo responsable de la plataforma de intercambio de criptomonedas Mt. Gox, ofrece una posible explicación de cómo los atacantes podrían haber obtenido los fondos. Afirma que desmontó un dispositivo Ledger precintado que había comprado en Malasia y encontró una segunda placa de circuito oculta con una antena, un módulo celular y una eSIM de datos. Según Karpelès, el chip reconoce la tipografía de Ledger en la pantalla, captura la frase de recuperación durante la configuración y la transmite a través de la red celular. El firmware de Ledger no puede detectarlo, afirmó, porque el implante solo lee la pantalla. Su relato no ha sido confirmado y no está claro si su dispositivo procedía de CryptoBilis.
El problema podría extenderse más allá de Ledger. CryptoBilis también vende carteras de Trezor, Tangem, SafePal, OneKey y otros fabricantes. Rob Hamilton, director ejecutivo de la aseguradora de criptomonedas AnchorWatch, recomendó a quienes compraron al distribuidor que transfirieran sus fondos inmediatamente.
Una advertencia contra el pánico
Por el contrario, la investigadora de seguridad Taylor Monahan advirtió contra el pánico. Según ella, no parece tratarse de una vulnerabilidad de día cero, es decir, un fallo previamente desconocido en la tecnología de Ledger. El mayor peligro ahora procede de enlaces de phishing, anuncios falsos en Google y aplicaciones fraudulentas que atacan a los usuarios mientras estos intentan transferir sus fondos rápidamente.
No es el primer problema de Ledger este año: en enero, una filtración de datos del proveedor de pagos Global-e expuso los nombres y los datos de contacto de compradores de Ledger. En general, el sector de las criptomonedas sigue siendo un objetivo. La plataforma de intercambio Bitget perdió recientemente 352 millones de dólares en un ataque informático y, antes de eso, se robaron bitcoins por valor de 320 millones de dólares de la red Liquid.
Carmen Alvear
Redactora Jefa & Analista Senior
Ensayista, doctora en Filosofía de la Ciencia por la Universidad Complutense de Madrid y crítica literaria. Co-fundadora y directora editorial de Blogmasters.es.
