Ledger ha introducido controles más estrictos en la venta de hardware wallets después de que criminales modificaran dispositivos genuinos y los usaran para robar criptomonedas. En un comunicado del 15 de octubre, la empresa reafirmó su prohibición de revender wallets devueltas y ordenó a los minoristas mantener los dispositivos nuevos fuera de las estanterías de exhibición. La medida sigue al descubrimiento de que componentes ocultos implantados en wallets revendidas capturaban las frases de recuperación de 24 palabras de los clientes y las transmitían a través de redes móviles.

Criminales alteraron dispositivos antes de revenderlos

Ledger informó que los atacantes compraron wallets legítimas, les instalaron componentes ocultos y las devolvieron a los canales de reventa en el Sudeste Asiático. Según la empresa, el grupo pasó meses preparando la operación y construyó sistemas para recopilar frases de recuperación y mover los fondos robados.

La operación muestra cómo la manipulación de la cadena de suministro puede vulnerar una hardware wallet sin tocar su criptografía: una frase de recuperación es la copia de seguridad maestra que puede restaurar las cuentas de una wallet en cualquier dispositivo compatible, por lo que capturar esas 24 palabras es suficiente para tomar el control de los fondos.

La investigación comenzó el 9 de octubre, después de que clientes reportaran la pérdida de activos en dispositivos vendidos por CryptoBilis, un revendedor con sede en Malasia. Una investigación previa sobre el robo de wallets de Ledger conectó las quejas con el revendedor, que posteriormente suspendió sus ventas.

Cómo funcionaban los implantes ocultos

El equipo de seguridad de Ledger encontró un implante que copiaba la frase de recuperación de 24 palabras mostrada durante la configuración de la wallet. El componente luego enviaba esas palabras a través de una conexión de datos móviles utilizando una tarjeta SIM electrónica integrada. La empresa señaló que el chip de seguridad y el sistema operativo del dispositivo permanecían intactos.

Ese detalle sitúa el ataque en la etapa de configuración, cuando la frase se muestra para que el propietario la anote, y no dentro del hardware seguro del dispositivo.

El fundador de Binance, Changpeng Zhao, advirtió en X el 9 de octubre que la evidencia apuntaba a un ataque a través de un solo vendedor, en lugar de un problema que afectara a todas las wallets de Ledger.

Las estimaciones deidas aumentan mientras los investigadores rastrean los fondos

El investigador de blockchain Specter estimó inicialmente pérdidas superiores a 86 millones de dólares. Sin embargo, la actualización del 15 de octubre de Bitquery rastreó 102 millones de dólares en fondos robados desde 324 wallets en seis redes. Una confirmación previa de la manipulación de dispositivos estableció que los investigadores habían encontrado un componente no autorizado. Ledger no ha confirmado las pérdidas totales ni el número de clientes afectados.

Bitquery indicó que Tether congeló 10 millones de dólares en USDT vinculados al robo. Su investigación también rastreó los fondos robados a través de swaps y servicios de privacidad. Los investigadores contaron wallets y no clientes individuales, y señalaron que un solo propietario podría controlar varias direcciones afectadas.

Ledger cambia su distribución y la orientación a clientes

Ledger dijo que sus equipos examinaron dispositivos de tiendas en Alemania y existencias almacenadas en bodegas, y esas muestras no mostraron manipulación. En una actualización del 14 de octubre en X, la empresa pidió una pausa en las ventas en siete mercados, incluida Hong Kong. Los revendedores en Asia suspendieron la venta de wallets mientras continuaba la investigación.

Las nuevas reglas de manejo se concentran en la etapa de reventa, el punto por donde las unidades alteradas entraron en la cadena de suministro de este caso, manteniendo los dispositivos bajo almacenamiento controlado hasta el momento de la venta.

Bajo las nuevas reglas, los distribuidores autorizados deben almacenar las wallets fuera de las estanterías públicas y entregar los dispositivos a los compradores en el punto de venta. Ledger recomienda a los clientes de CryptoBilis no configurar dispositivos sin usar, mientras que quienes ya inicializaron uno deben mover sus activos a una nueva wallet con una frase de recuperación nueva. Los puntos pendientes del caso incluyen un total de pérdidas confirmado — Ledger no ha confirmado la cifra de 102 millones de dólares de Bitquery — y si hay fondos robados adicionales congelados más allá de los 10 millones de dólares en USDT que Tether ya bloqueó.