Las autoridades de Singapur identificaron componentes de hardware maliciosos dentro de wallets de criptomonedas Ledger compradas en canales minoristas del país, según un aviso emitido por la Fuerza Policial de Singapur (SPF) el miércoles. Se han reportado al menos dos casos desde el 10 de septiembre, con pérdidas combinadas de aproximadamente 3,5 millones de dólares de Singapur, o alrededor de 2,7 millones de dólares.

El hallazgo golpea la premisa central de las wallets de hardware, que están diseñadas para mantener fuera de línea las claves privadas que controlan las criptomonedas, con una frase de recuperación —la secuencia de palabras que puede restaurar una wallet en un nuevo dispositivo— actuando como respaldo principal de esas claves. Las investigaciones preliminares encontraron que algunos de los componentes podían usarse para capturar frases de recuperación o claves privadas, lo que permitiría a personas no autorizadas abrir las wallets y mover activos sin el conocimiento ni el consentimiento de los propietarios. El aviso no mencionó ningún comercio específico.

La policía dijo que está en contacto con Ledger, que investiga los casos afectados, mientras la propia investigación de la fuerza policial continúa.

La SPF insta a la precaución con las frases de recuperación

En el aviso, la SPF advirtió a los usuarios no ingresar frases de recuperación ni realizar transacciones en dispositivos que sospechen puedan estar comprometidos. La fuerza también advirtió contra entregar claves o frases semilla a cualquier persona, incluidos individuos que se hagan pasar por proveedores de wallets, exchanges o agentes de policía.

Los reportes de Singapur preceden en aproximadamente un mes a la alerta del 9 de octubre

El primer reporte en Singapur se presentó aproximadamente un mes antes de que el incidente más amplio se hiciera público el 9 de octubre, cuando Ledger pidió a CryptoBilis, un revendedor autorizado que opera en Indonesia, Malasia y Filipinas, que detuviera las ventas y envíos.

En ese momento, Cryptopolitan reportó que más de 86 millones de dólares en Bitcoin, Ethereum y Tron supuestamente habían sido robados de las wallets vendidas por la tienda. Ledger no ha confirmado esa cifra.

El 10 de octubre, Ledger dijo en X que había descubierto un implante de hardware no autorizado en el dispositivo de un cliente. El chip, oculto dentro de la carcasa de una Nano X, leía la frase de recuperación de 24 palabras en la pantalla durante la configuración y la transmitía a través de una SIM integrada mediante LTE.

El equipo de seguridad Donjon de Ledger declaró que el chip no afectó el Secure Element, el sistema operativo ni el proceso de firma, razón por la cual nunca activó la prueba de autenticidad "Genuine Check" de la empresa.

En los días siguientes, dos reclamaciones relacionadas con Singapur salieron a la luz. Mark Karpelès, exdirector ejecutivo de Mt. Gox, dijo que compró una Ledger Flex en un aeropuerto de Singapur que contenía un implante espía. Otro propietario reportó que una unidad comprada en el minorista local de tecnología Challenger había sido alterada, y Ledger posteriormente envió un reemplazo.

El 13 de octubre, Ledger solicitó a los minoristas de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong que suspendieran la venta de sus productos.

En una publicación del 28 de octubre, la empresa dijo que todas las pérdidas confirmadas involucraban dispositivos vendidos a través de un número limitado de revendedores. No ha confirmado ningún drenaje vinculado a un dispositivo comprado fuera del sudeste asiático y no ve indicios de que su infraestructura, sistemas o canal de ventas directo hayan sido comprometidos.

"Las cifras que circulan en línea provienen de terceros y Ledger no las ha verificado por completo", dijo la empresa el 22 de octubre.

La respuesta a más largo plazo de Ledger: Atom

La solución más duradera de Ledger es el Atom, un dispositivo de 849 dólares que la empresa presentó en su evento Op3n en París el 15 de octubre. El Atom no se enviará hasta al menos el verano de 2027, y sus protecciones antimanipulación no se retrofitarán a las unidades Nano, Flex y Stax ya en circulación. Hasta que concluyan la investigación policial y la de Ledger, cualquier aviso futuro que nombre los comercios involucrados sería la señal más clara hasta ahora para los propietarios que intentan determinar si sus dispositivos pertenecen a los canales minoristas afectados.