Inversionistas de criptomonedas en Singapur han perdido aproximadamente 3.5 millones de dólares de Singapur (2.7 millones de dólares) tras comprar billeteras de hardware Ledger alteradas, según la policía de Singapur. En un aviso emitido el 28 de octubre, las autoridades confirmaron al menos dos casos y dijeron que las quejas comenzaron a llegar el 10 de septiembre, casi un mes antes de que la brecha de seguridad más amplia se hiciera pública en octubre.

Las investigaciones preliminares encontraron componentes maliciosos dentro de dispositivos Ledger comprados en ciertas tiendas minoristas de Singapur. Las alteraciones de este tipo se enmarcan en lo que se describe como un compromiso de la cadena de suministro, en el que unidades individuales se modifican físicamente en algún punto entre la fabricación y el punto de venta, en lugar de ser atacadas mediante software después de su configuración.

Hardware no autorizado capturó frases de recuperación y claves privadas

Los investigadores descubrieron que los dispositivos comprometidos contenían hardware no autorizado capaz de capturar frases de recuperación y claves privadas. Con esa información, los atacantes podían acceder a los fondos en criptomonedas y transferirlos sin el permiso de sus propietarios.

Las billeteras de hardware están diseñadas para proteger los activos digitales manteniendo las claves privadas fuera de línea. Los incidentes de Singapur demuestran cómo la alteración física puede socavar esa protección antes incluso de que los clientes comiencen a usar sus dispositivos. Debido a que una frase de recuperación permite a los usuarios restaurar el acceso a sus fondos, cualquiera que la obtenga puede potencialmente tomar el control de la billetera asociada y mover sus activos, razón por la cual la frase en sí se considera la credencial más sensible en los arreglos de autocustodia.

Ledger suspende ventas regionales en medio de la investigación

Ledger comenzó a investigar informes sobre dispositivos distribuidos a través del revendedor del sudeste asiático CryptoBilis a principios de octubre. El 10 de octubre, la empresa confirmó un implante de hardware no autorizado en al menos un dispositivo afectado. Para el 13 de octubre, Ledger había solicitado la suspensión temporal de las ventas a través de revendedores y distribuidores regionales, una medida de precaución que cubre Singapur, Malasia, Indonesia, Tailandia, Filipinas, Vietnam y Hong Kong.

La empresa ha estado revisando los casos afectados mientras coopera con las autoridades de Singapur, aunque la escala completa del presunto compromiso de la cadena de suministro sigue siendo incierta. Si aparecen unidades adicionales afectadas en las siete jurisdicciones cubiertas es una de las preguntas abiertas mientras continúa esa revisión.

La policía insta a los usuarios a proteger sus activos restantes

La policía de Singapur aconsejó a los tenientes de criptomonedas dejar de usar dispositivos sospechosos de estar alterados, evitar ingresar frases de recuperación y abstenerse de realizar transacciones adicionales a través de hardware potencialmente comprometido.

Cuando las credenciales puedan haber quedado expuestas, las autoridades recomendaron mover las criptomonedas restantes a una billetera confiable con una frase de recuperación recién generada, realizando la transferencia a través de un dispositivo no comprometido.

El caso destaca la creciente preocupación por los canales de distribución de billeteras de hardware para criptomonedas, y muestra que incluso los dispositivos diseñados para la seguridad fuera de línea pueden exponer a los inversionistas a pérdidas significativas cuando los atacantes comprometen productos físicos antes de su entrega. Para los inversionistas, refuerza la importancia de verificar la autenticidad de los dispositivos y seguir los avisos de seguridad del fabricante.

La policía de Singapur continúa investigando las pérdidas reportadas mientras Ledger revisa las billeteras afectadas. Cuántos dispositivos fueron afectados, en qué punto de la cadena de distribución se realizó la alteración y cuándo podrían reanudarse las ventas de los revendedores regionales son algunos de los detalles que siguen sin resolverse.