Ledger confirma compromiso de cadena de suministro y un implante de hardware no autorizado. Pérdidas por U$s 90 millones
Segu-Info · 11 oct, 16:57
Ledger confirma que dispositivos de su cadena de suministro fueron interceptados y modificados con implantes de hardware (chips espía LTE) por un actor que comprometió al revendedor autorizado CryptoBilis en Sudeste Asiático. El ataque afectó a usuarios que recibieron billeteras comprometidas desde el inicio de la configuración, permitiendo al atacante capturar las frases semilla de 24 palabras directamente desde la pantalla mediante 4G; las pérdidas estimadas superan los 90 millones de dólares en criptomonedas. Ledger confirma haber contactado a usuarios afectados y CryptoBilis ha suspendido todas las ventas de hardware mientras continúa la investigación.
El fabricante de billeteras hardware Ledger descubrió que un distribuidor oficial en Sudeste Asiático (CryptoBilis, autorizado en Indonesia, Malasia y Filipinas) fue comprometido después de cambiar de propietario en silencio. El nuevo propietario obligó a firmar un acuerdo de confidencialidad y procedió a modificar dispositivos antes del envío: abrían las cajas, soldaban un chip espía miniatura (módulo LTE Nordic nRF9151 con eSIM) en la placa base y resellaban el dispositivo sin dejar rastro evidente para pasar la verificación de autenticidad de Ledger Live.
El chip espía capturaba la frase semilla de 24 palabras directamente desde la pantalla del dispositivo durante la configuración inicial y la transmitía a los atacantes por 4G, antes incluso de que el usuario terminase de anotarla en papel. El investigador Specter estimó las pérdidas totales en más de 86 millones de dólares en Bitcoin, Ethereum y Tron. Ledger mantiene comunicación activa con CryptoBilis y otros usuarios potencialmente afectados para investigar el alcance del compromiso.
Puntos clave
- Chip espía LTE (Nordic nRF9151 con eSIM) soldado en la placa base capturaba frases semilla durante la configuración
- Distribuidor oficial CryptoBilis fue comprometido tras cambio silencioso de propiedad en Sudeste Asiático
- Pérdidas estimadas superiores a 90 millones de dólares en criptomonedas
- Verificación de autenticidad (Genuine Check) de Ledger Live aprobaba dispositivos modificados como originales
- CryptoBilis suspendió todas las ventas de hardware hasta conclusión de la investigación