Ledger ha confirmado un implante de hardware no autorizado en la cartera de un cliente afectado, mientras los investigadores estiman que aproximadamente 93,2 millones de dólares en presuntos robos de criptomonedas están vinculados a dispositivos manipulados vendidos a través de un revendedor del sudeste asiático. La empresa afirmó que no encontró indicios de que su propia infraestructura de seguridad, sistemas o servicios se hayan visto comprometidos.
CryptoBilis, un revendedor autorizado con sede en la región, ha suspendido las ventas de todo el inventario de carteras de hardware a la espera de la conclusión de la investigación.
Lo que Tibane Labs encontró dentro de los dispositivos
La investigación comenzó después de que los clientes informaran pérdidas de criptomonedas tras comprar dispositivos Ledger al revendedor. Tibane Labs documentó tres generaciones de implantes en el Ledger Nano X diseñados para interceptar frases de recuperación, combinando el desmontaje de Joe Grand de un implante anterior con dos especímenes examinados en septiembre.
Los implantes funcionan monitoreando las señales electrónicas enviadas entre el elemento seguro de una cartera y su pantalla. A partir de esas señales, los atacantes pueden reconstruir la frase de recuperación de 24 palabras y transmitirla a través de un módem celular, sin necesidad de robo físico y sin comprometer el chip seguro de Ledger.
La versión más avanzada que examinó Tibane contenía una placa de circuito personalizada oculta bajo la pantalla, con un módem LTE, una antena y componentes cuyas marcas identificativas habían sido eliminadas. Conservaba la batería original y podía superar una inspección visual incluso después de abrir la carcasa, según el laboratorio.
Los dos especímenes de Tibane se compraron a través de mercados japoneses en lugar de CryptoBilis. El laboratorio también emitió una advertencia contundente: cualquier frase de recuperación mostrada en un dispositivo comprometido debe considerarse expuesta, y los fondos deben transferirse a una cartera con una nueva frase generada en un dispositivo de confianza.
Por qué Genuine Check no lo detecta
Genuine Check de Ledger verifica la autenticidad del elemento seguro. No puede detectar modificaciones físicas no autorizadas, como implantes de espionaje, si ese elemento permanece intacto. Esa brecha es central en el caso: un dispositivo puede pasar la verificación y aun así estar comprometido.
Ledger no ha dicho cuántos dispositivos fueron modificados y no ha establecido que el implante causara todas las pérdidas reportadas. La empresa afirmó que está contactando a los usuarios afectados y coordinando con las autoridades.
Dos estimaciones, dos métodos, la misma escala
El ejecutivo de investigación de Galaxy Digital, Alex Thorn, reportó aproximadamente 91 millones de dólares en 477 direcciones en Bitcoin, redes relacionadas con Ethereum y Tron. Thorn atribuyó 64,5 millones de dólares de los presuntos robos a Tron, incluidos aproximadamente 64,3 millones de USDT. Bitcoin representó 17,7 millones de dólares, o alrededor de 213 BTC. Ethereum y las redes relacionadas contribuyeron con 8,8 millones de dólares.
Bitquery contabilizó aproximadamente 93,2 millones de dólares de 315 carteras en seis cadenas de bloques. Las dos estimaciones utilizan conjuntos de direcciones y métodos diferentes, y ninguna cuenta el número de dispositivos manipulados.
Bitquery identificó patrones de transacciones que sugieren que los atacantes obtuvieron el control de múltiples carteras antes de un retiro coordinado el 9 de octubre. Veinticinco carteras de Tron firmaron la misma aprobación de tokens en un plazo de tres segundos, lo que permitió retirar aproximadamente 29 millones de dólares en USDT en cuestión de momentos. Se realizaron pequeñas transacciones de prueba durante aproximadamente dos semanas antes de los robos mayores, lo que sugiere que los preparativos estaban en marcha mucho antes de que los usuarios reportaran fondos faltantes.
Bitquery estimó que Tether había congelado aproximadamente 10 millones de dólares en USDT robados. También identificó 5,35 millones de dólares en USDC que el emisor Circle podría congelar después de que los fondos pasaran por Tornado Cash y Zcash.
La cuestión del revendedor
El analista de CryptoQuant, Darkfost, sugirió examinar a otros revendedores regionales por una posible exposición en la cadena de suministro, aunque reconoció que la preocupación era especulativa y no estaba respaldada por evidencia confirmada. CryptoBilis no ha dicho cuándo podría reanudar las ventas.
Por ahora, los hechos concretos siguen siendo limitados: un implante confirmado, un revendedor suspendido y dos estimaciones independientes que coinciden en escala pero no en direcciones. Ledger no ha explicado cómo los dispositivos modificados llegaron a los clientes, y no se ha dado un cronograma para la conclusión de la investigación.
