Ledger está colaborando con las autoridades después de que usuarios de sus carteras hardware reportaran la semana pasada pérdidas de fondos y un cliente recibiera un dispositivo manipulado, aunque el fabricante con sede en París tranquilizó a los clientes al señalar que la cantidad de productos afectados era "limitada".

En un anuncio publicado el domingo, la empresa dijo que también había contactado directamente a los clientes afectados.

La investigación comenzó después de que Ledger dijera el viernes que había iniciado el análisis de los reportes de clientes del sudeste asiático que perdieron fondos tras comprar dispositivos a un revendedor. El sábado, la empresa afirmó haber confirmado que el dispositivo de uno de los usuarios afectados contenía un implante de hardware no autorizado.

Las carteras hardware están diseñadas para mantener las claves privadas de los usuarios fuera de línea, firmando transacciones sin exponer las credenciales que controlan sus fondos. Ese modelo de seguridad depende de que el dispositivo llegue intacto, por lo que un implante no autorizado incrustado en el hardware queda fuera de las amenazas que está diseñado para contrarrestar.

Ledger no ha confirmado cuánto dinero se perdió, pero el investigador de blockchain Specter afirmó que se drenaron 86 millones de dólares de los dispositivos.

"A medida que continúa la investigación, estamos colaborando con las autoridades pertinentes", escribió Ledger el domingo en un anuncio en X. Su cuenta de Ledger Support compartió actualizaciones adicionales, incluida una publicación de seguimiento en la plataforma.

Agregó: "Además, aconsejamos encarecidamente a los usuarios no comprar a revendedores no autorizados, donde el riesgo de adquirir dispositivos sospechosos, falsificados o modificados es significativo, ya que nada opera bajo las directrices de seguridad de Ledger.

"La seguridad no es estática y este incidente subraya por qué revisamos y fortalecemos continuamente nuestros procesos de distribución y de prevención de manipulaciones".

Clientes del sudeste asiático reportaron pérdidas de fondos la semana pasada tras comprar dispositivos a CryptoBilis, un vendedor con sede en Kuala Lumpur, Malasia. Ledger aconsejó a los clientes que habían comprado a CryptoBilis que no configuraran sus dispositivos, como informó anteriormente Bitcoin Magazine. Según el anuncio del domingo, CryptoBilis ha dejado de vender carteras hardware.

La distinción es importante porque el phishing se basa en engañar a los usuarios para que entreguen sus credenciales en línea, mientras que un implante está dentro del hardware desde el momento en que se desempaca el dispositivo, incluso antes de que comience la configuración.

Usuarios en redes sociales han publicado evidencia fotográfica de implantes instalados dentro de productos de Ledger, afirmando que las modificaciones podrían exponer las claves privadas de los usuarios. Todavía no está claro cuántos de los dispositivos de firma de Ledger contenían el implante.

Ni Ledger ni CryptoBilis respondieron de inmediato a las preguntas de Bitcoin Magazine. Con la investigación en curso, lo que sigue siendo clave es lo que descubran las autoridades y si se confirma un recuento definitivo de dispositivos y un monto de pérdidas verificado.

La seguridad de las carteras hardware está bajo intenso escrutinio desde que hackers robaron cerca de 120 millones de dólares en bitcoin de usuarios de Coldcard en, como informó en su momento Bitcoin Magazine. Los dispositivos, fabricados por la compañía canadiense Coinkite, contenían un error de firmware que generó semillas defectuosas, permitiendo a los hackers esencialmente adivinar las frases semilla de los inversores.

En un incidente separado el mes pasado, el fabricante de carteras hardware Trezor reportó que cerca de 81.000 clientes tuvieron sus datos filtrados después de que su socio externo de logística sufriera un robo de información, como cubrió Bitcoin Magazine.

Los criminales han estado atacando datos de clientes durante todo el año, con estafadores obteniendo información a través de Global-e, el procesador de pagos utilizado por Ledger, para enviar correos de phishing. En conjunto, los incidentes muestran que la superficie de ataque se extiende por todo el recorrido del dispositivo: firmware, logística, procesamiento de pagos y canales de reventa.

Este artículo fue escrito por Mathew Di Salvo y apareció por primera vez en Bitcoin Magazine.