La caja estaba sellada. El plástico estaba perfecto. Pero dentro, la hardware wallet de Ledger tenía una pequeña placa electrónica diseñada para robar la contraseña y las criptomonedas del dueño. Esto lo cuenta Mark Karpelès, exjefe de Mt. Gox.
Karpelès, quien dirigió la exchange que colapsó en 2014, dice que el software espía estaba escondido detrás de la pantalla, donde debería haber un trozo de relleno. Tenía una antena y una pequeña SIM capaz de enviar la frase de recuperación de 24 palabras del wallet.
Esas palabras son suficientes para vaciar la cartera cripto a distancia. Un atacante nunca tendría que tocar el dispositivo de nuevo.
La comprobación de seguridad de Ledger podría no detectar el chip espía
La función Genuine Check de Ledger confirma que el dispositivo tiene un chip de seguridad auténtico, pero no puede identificar todas las alteraciones físicas que hay alrededor de ese chip. Esta es una limitación que Ledger reconoce en sus propias recomendaciones.
Por eso, un wallet manipulado podría superar la comprobación mientras un componente oculto observa la pantalla.
Este descubrimiento surge mientras Ledger investiga reportes de wallets vaciadas que involucran al revendedor malayo CryptoBilis. Ledger ha pedido a la compañía que deje de vender y enviar sus dispositivos.
Los investigadores on-chain estimaron inicialmente pérdidas superiores a 86 millones de dólares.
Un análisis posterior de Bitquery calcula la cifra en 92.9 millones de dólares en 311 wallets. Ledger no ha confirmado estos totales. Al parecer, una víctima perdió 80 BTC.
Karpelès dice que su dispositivo venía de otro vendedor. Ledger no ha demostrado que un hardware manipulado causó las pérdidas de CryptoBilis.
Entonces, ¿Quién tiene la responsabilidad?
Algunos culpan a los compradores.
Aun así, Ledger recomienda revendedores autorizados, incluyendo tiendas oficiales en Amazon, Shopee y Lazada.
Una hardware wallet debería eliminar la necesidad de confiarle el dinero a alguien más. Pero si compras una a través de un intermediario, debes confiarle ese mismo dispositivo a un desconocido.
Para cualquier persona que confía sus ahorros en un dispositivo de bolsillo, es una advertencia difícil de ignorar.
