El fabricante de billeteras de hardware Trezor está reduciendo su red de distribuidores autorizados tras el descubrimiento de implantes maliciosos en dispositivos Ledger vendidos a través de distribuidores externos, y los investigadores de blockchain ahora estiman las pérdidas del incidente de CryptoBilis en 102 millones de dólares.

El episodio muestra cómo una manipulación introducida antes de que un dispositivo llegue al comprador puede eludir por completo la criptografía integrada de una billetera, desplazando la cuestión de seguridad del propio hardware hacia la cadena de distribución que lo entrega.

Trezor anunció los cambios de precaución el 13 de octubre en un comunicado sobre la cadena de suministro, confirmando que los socios de distribución afectados perderán su autorización el 1 de enero de 2027. Los nuevos envíos a esos distribuidores ya se han detenido. La compañía también eliminó a CryptoBilis, un minorista del sudeste asiático, de su red autorizada después de que Ledger identificara dispositivos manipulados distribuidos a través del mismo negocio. Trezor subrayó que no ha recibido evidencias de dispositivos comprometidos con su propia marca.

Trezor pone fin a los acuerdos con distribuidores a partir de enero de 2027

El Director Comercial Danny Sanders detalló los ajustes en una carta a los socios de distribución, explicando que Trezor ya no podía mantener el mismo nivel de supervisión en su red de distribuidores existente.

Los socios afectados podrán vender su inventario restante durante la temporada navideña, pero no recibirán más existencias, y su autorización expira a comienzos de 2027. Trezor planea introducir verificaciones de socios más estrictas junto con requisitos contractuales actualizados sobre el abastecimiento, almacenamiento y manejo de productos. Los minoristas externos han sido fundamentales durante mucho tiempo para que los fabricantes de billeteras lleguen a los mercados locales, pero cada intermediario agrega un eslabón más entre la fábrica y el cliente, precisamente la parte de la cadena de suministro que ahora recibe un escrutinio reforzado en toda la industria tras los hallazgos de CryptoBilis.

Sanders enfatizó que la decisión no indicaba mala conducta por parte de los distribuidores afectados. También agradeció públicamente a los socios de larga data y se disculpó por poner fin a sus relaciones comerciales. Trezor no ha revelado cuántos minoristas perderán la autorización qué mercados se verán afectados.

Ledger vincula el drenaje de billeteras a implantes LTE ocultos

La renovación de la red de distribuidores sigue a la investigación de Ledger sobre los drenajes de billeteras vinculados a CryptoBilis que afectaron a clientes en todo el sudeste asiático. El equipo de seguridad Donjon de Ledger identificó un implante electrónico no autorizado oculto dentro de las billeteras de hardware afectadas. El componente interceptó la frase de recuperación de 24 palabras mostrada durante la inicialización del dispositivo y transmitió los datos por LTE mediante una SIM integrada. Dado que una frase de recuperación por sí sola restaura una billetera en cualquier dispositivo compatible, una frase capturada durante la inicialización otorga a un atacante acceso a los fondos que la billetera contenga posteriormente, sin necesidad de volver a tocar el hardware.

Según Ledger, el implante operaba de manera independiente del Secure Element y no modificó el sistema operativo del dispositivo ni las firmas de las transacciones. La compañía confirmó que los casos investigados involucraban dispositivos vendidos a través de CryptoBilis, manteniendo que sus sistemas internos y canales de venta directa no se han visto afectados (publicación en X). El incidente añade una nueva dimensión de cadena de suministro física a las inquietudes planteadas previamente sobre el historial de seguridad de Ledger, que incluyó filtraciones de datos de clientes y una explotación de la cadena de suministro de software.

La firma de inteligencia de blockchain Bitquery ha rastreado desde entonces unos 102 millones de dólares en activos robados en 324 billeteras de seis blockchains, superando la estimación inicial de 86 millones de dólares, según su investigación publicada. El análisis identificó retiros coordinados en Tron, Bitcoin, Ethereum, Solana, BNB Chain y Polygon, mientras Tether congeló aproximadamente 10 millones de dólares en USDT relacionados con las transferencias sospechosas. Ledger no ha confirmado de forma independiente la cifra total de pérdidas.

MediaMarkt suspende la venta de productos Ledger mientras la investigación se amplía

La investigación también ha llegado a los minoristas europeos. MediaMarktSaturn suspendió la venta de los productos Ledger afectados después de que un cliente reportara hardware modificado comprado en Alemania, tras encontrar cableado adicional y componentes de comunicación celular dentro de dos dispositivos adquiridos en distintos puntos de venta de MediaMarkt.

Ledger reconoció el reporte alemán, pero afirmó que no se habían identificado pérdidas de fondos asociadas, y la compañía no ha establecido una conexión entre esos dispositivos y los robos de CryptoBilis.

Por separado, otro fabricante de billeteras, OneKey, revocó la autorización de CryptoBilis como distribuidor y ofreció dispositivos de reemplazo gratuitos a los clientes que compraron sus productos a través del minorista entre el 1 de marzo y el 13 de octubre.

Ledger continúa recomendando a los clientes de CryptoBilis que no inicialicen dispositivos sin usar. Quienes ya configuraron billeteras afectadas deben transferir sus activos a una billetera generada de forma segura con una nueva frase de recuperación.

Temas abiertos a seguir incluyen la cifra total de pérdidas sin confirmar de Ledger, si los dispositivos de MediaMarkt en Alemania terminan vinculándose a los robos de CryptoBilis, y cualquier rastreo adicional o congelamiento de activos derivado de la investigación de Bitquery y la acción de 10 millones de dólares en USDT de Tether.

Los cambios más amplios de Trezor en su red de distribuidores entrarán en vigor el 1 de enero de 2027, con controles de distribución revisados destinados a reducir cantidad de intermediarios que manipulan los dispositivos de los clientes.

Fuente: Crypto Adventure