Ledger ha introducido nuevos requisitos de seguridad para sus minoristas autorizados el 15 de octubre de 2026, después de que los atacantes instalaran componentes electrónicos ocultos dentro de carteras de criptomonedas genuinas para robar las frases de recuperación de los usuarios y acceder a sus fondos.
Resumen
- Ledger ha introducido reglas más estrictas para los revendedores después de que los criminales modificaran carteras de hardware genuinas para robar criptomonedas.
- Implantes ocultos capturaron las frases de recuperación de las carteras durante la configuración y transmitieron información sensible a través de redes celulares.
- Ledger suspendió las ventas de revendedores autorizados en el sudeste asiático y Hong Kong mientras investigaba los dispositivos comprometidos.
- Los equipos de seguridad inspeccionaron dispositivos de tiendas minoristas y almacenes, informando que no había unidades comprometidas entre sus muestras examinadas.
- Ledger instruyó a los minoristas a dejar de exhibir carteras y prohibir la reventa de dispositivos devueltos sin excepciones.
El fabricante de carteras de hardware confirmó que los atacantes habían comprado dispositivos legítimos, los modificaron y los devolvieron a circulación a través de canales de distribución en el sudeste asiático. Ledger ha suspendido las ventas de revendedores regionales, inspeccionó dispositivos de tiendas minoristas y almacenes, y comenzó a trabajar con las fuerzas del orden para rastrear los fondos robados.
La compañía sostiene que sus sistemas internos, software operativo y chips de seguridad no fueron comprometidos. Los investigadores continúan estableciendo el alcance total del ataque, incluida la forma en que los dispositivos modificados entraron al mercado.
El ataque a las carteras Ledger involucró implantes ocultos para frases de recuperación
La investigación de Ledger encontró que los atacantes habían pasado meses preparando la operación. Compraron carteras de hardware genuinas, abrieron los dispositivos e insertaron componentes electrónicos personalizados diseñados para capturar frases de recuperación durante la configuración.
Una frase de recuperación típicamente contiene 24 palabras que permiten a un usuario restaurar el acceso a una cartera de criptomonedas. Cualquiera que obtenga esas palabras puede potencialmente recrear la cartera en otro dispositivo y transferir sus activos.
Los atacantes explotaron el momento en que la frase de recuperación apareció en la pantalla del dispositivo. Un componente oculto recopiló las palabras y las transmitió a la infraestructura controlada por los criminales.
En su actualización técnica del 13 de octubre, el equipo de seguridad Donjon de Ledger explicó que el implante utilizó un microcontrolador para leer la frase y una SIM integrada para transmitir la información a través de una conexión celular LTE.
La compañía declaró que el implante operaba independientemente del Elemento Seguro del dispositivo, que protege la información criptográfica sensible. Los investigadores no encontraron evidencia de que el componente malicioso modificara el sistema operativo o alterara las firmas de transacción.
Investigaciones anteriores sobre chips ocultos dentro de carteras Ledger documentaron cómo la electrónica no autorizada podría exponer frases de recuperación sin cambiar las funciones normales de firma del dispositivo.
La última declaración de Ledger describió una operación criminal organizada que involucraba adquisición de equipos, arreglos de distribución e infraestructura para recopilar credenciales de carteras robadas.
El fabricante afirmó que el grupo había gastado millones preparando el ataque. No proporcionó un desglose financiero ni identificó a las personas responsables.
Según los informes, los atacantes utilizaron las frases de recuperación recopiladas para acceder a múltiples carteras durante una operación de robo coordinada el 9 de octubre.
Aunque investigadores independientes de blockchain han estimado pérdidas superiores a $86 millones, Ledger no ha verificado el monto total robado ni el número de clientes afectados.
Ledger suspende las ventas de carteras en el sudeste asiático
Tras el descubrimiento, Ledger pidió a los revendedores y distribuidores autorizados de todo el sudeste asiático y Hong Kong que suspendieran las ventas de dispositivos mientras los investigadores examinaban los canales de distribución afectados.
Las restricciones abarcaron Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong.
CryptoBilis, un revendedor que opera en el sudeste asiático, había estado previamente vinculado a casos confirmados que involucraban dispositivos modificados.
La empresa suspendió las ventas de carteras de hardware después de que surgieran informes de que los clientes habían perdido fondos.
La cobertura anterior sobre la investigación de la cartera de CryptoBilis documentó el descubrimiento por parte de Ledger de un implante no autorizado y su respuesta inicial a las quejas de los clientes.
Ledger amplió posteriormente sus precauciones más allá del revendedor tras recibir informes relacionados con otras ubicaciones.
En Alemania, MediaMarkt Saturn dejó de vender dispositivos Ledger a través de sus tiendas físicas y su plataforma en línea tras el reporte de un implante en el dispositivo de un cliente.
Ledger declaró que el caso alemán no había dado lugar a ninguna pérdida confirmada de fondos de clientes.
El incidente provocó una suspensión por separado de las ventas de carteras Ledger en Alemania mientras la empresa revisaba dispositivos e investigaba las circunstancias.
Durante su actualización del 15 de octubre, Ledger dijo que sus investigadores habían comprado dispositivos en tiendas de diferentes mercados, incluida Alemania, y los habían abierto para examinarlos físicamente.
La empresa examinó muestras de almacenes y revisó partes de su propio inventario.
No se descubrieron componentes no autorizados en las muestras inspeccionadas durante esas comprobaciones, según Ledger.
Sin embargo, la empresa no reveló cuántos dispositivos se examinaron, dejando sin confirmar el número total de productos potencialmente afectados.
Ledger describió el incidente como "un ataque de distribución localizado" y sostuvo que sus sistemas de fabricación no fueron responsables del compromiso.
La investigación aún no ha establecido con precisión dónde fue modificado cada dispositivo afectado.
Ledger introduce nuevas reglas para los minoristas de carteras de hardware
Como parte de su respuesta, Ledger ha ordenado a los minoristas autorizados que cambien la forma en que almacenan y venden las carteras de hardware.
Los minoristas deben dejar de colocar los dispositivos Ledger en estanterías y mostradores de exhibición. En su lugar, deben mantener los productos en áreas de almacenamiento y entregarlos a los clientes solo cuando se realice una compra.
La empresa introdujo los requisitos de inmediato, explicando que las medidas tenían como objetivo reducir las oportunidades de manipulación no autorizada.
Ledger recordó a los vendedores autorizados que los dispositivos devueltos nunca deben volver a venderse, incluso cuando su embalaje parezca sin abrir o el producto parezca no haber sido usado.
La regla ya existía, pero Ledger ha instruido a los distribuidores a seguirla sin excepciones.
Los minoristas deben notificar puntualmente al fabricante siempre que los clientes informen de productos inusuales o hardware potencialmente sospechoso.
La empresa está reforzando la supervisión de su red de distribución autorizada mientras continúa la investigación.
Ledger declaró que su equipo de seguridad había llevado a cabo la mayor investigación interna en la historia de la empresa, recurriendo a varios departamentos.
Especialistas de Ledger Donjon desmontaron el implante recuperado y examinaron su funcionamiento para establecer cómo los atacantes recopilaban las frases de recuperación.
El fabricante trabajó con investigadores de seguridad y socios del sector, incluido SEAL_911, durante la investigación.
Según Ledger, los equipos están trabajando con las fuerzas del orden para rastrear los fondos robados e identificar la infraestructura utilizada para recopilar las credenciales de las carteras.
La empresa no ha divulgado arrestos, cargos penales formales ni fondos recuperados derivados de esos esfuerzos.
Ledger dijo que tiene la intención de publicar información técnica adicional cuando los investigadores puedan divulgar sus hallazgos de forma segura.
Ledger planea protecciones adicionales contra la manipulación de carteras
Más allá de sus restricciones minoristas inmediatas, Ledger está desarrollando medidas de seguridad de producto adicionales destinadas a dificultar la manipulación física.
La compañía no ha proporcionado especificaciones técnicas, modelos de productos afectados ni un calendario para la introducción de esas protecciones.
Ledger declaró que compartiría sus hallazgos con otros fabricantes y vendedores de carteras de hardware para que pudieran examinar riesgos similares en sus productos.
A los clientes que ya utilizaron una cartera potencialmente afectada se les ha aconsejado transferir su criptomoneda a un dispositivo de confianza con una frase de recuperación recién generada.
Restaurar una frase de recuperación antigua en un dispositivo de reemplazo no protegería los fondos si los atacantes ya hubieran obtenido esa frase.
La guía de seguridad de Ledger advierte a los usuarios que nunca revelen sus frases de recuperación a nadie que afirme representar al servicio de atención al cliente.
La compañía ha subrayado que sus empleados no solicitarán palabras de recuperación a través de mensajes, llamadas telefónicas o sitios web.
Durante su anuncio del 15 de octubre, Ledger reconoció que la investigación continuaba y que quedaba trabajo de seguridad adicional.
El fabricante reiteró su intención de publicar más detalles sobre el ataque y los métodos utilizados por los criminales una vez que su investigación permita la divulgación.
