Ledger explica que el implante de sus billeteras leía la pantalla y enviaba la frase de recuperación por red celular

Ledger, la empresa francesa de billeteras físicas para criptomonedas, explicó el 13 de octubre cómo funcionaba el implante que robó la frase de recuperación de sus clientes: un circuito escondido dentro de la carcasa leía la pantalla durante la configuración y mandaba las 24 palabras por red celular. La explicación, de su equipo de investigación Donjon, llega cuatro días después de los robos del 9 de octubre y responde una de las preguntas que quedaban abiertas en nuestra primera nota sobre el caso.

Un circuito que solo escuchaba

Según Ledger, el implante lee los datos que muestra la pantalla. Cuando detecta la que exhibe la frase de recuperación, un microcontrolador decodifica las palabras y las transmite por LTE, con una eSIM provisionada en el propio circuito. Después, los atacantes usaron esas palabras para mover los fondos. La empresa aclaró que el implante solo intercepta información: no modifica el sistema operativo del equipo, las transacciones ni las firmas.

SecurityWeek agrega que, según todo indica, alguien en la cadena de distribución abrió los equipos y soldó a mano el circuito a las placas. Es una lectura del medio, no una conclusión que Ledger haya anunciado.

Ledger no dijo qué modelos fueron afectados. Sí advirtió que el chip de seguridad original, el Secure Element, queda intacto, por lo que un equipo adulterado puede pasar las verificaciones de autenticidad de la propia empresa.

Las cifras siguen en disputa

Specter, un investigador de cadenas de bloques, estima que las pérdidas pasan de los 86 millones de dólares. Es una cifra menor que los 93 millones que citamos en la primera nota, de la firma Bitquery. Ledger sostiene que no confirmó cuántos usuarios fueron afectados ni cuánto se robó, pide no especular y dice que el volumen de equipos afectados es limitado.

Lo que queda abierto

Ledger afirma que todos los robos confirmados corresponden a equipos vendidos por CryptoBilis, el revendedor con base en el sudeste asiático, y que se concentran en esa región. Pero dijo que también revisa reportes de implantes en otros equipos y lugares. CryptoBilis, por su parte, pausó todas las ventas y envíos de dispositivos Ledger y asegura que colabora con la investigación. Crypto Times señala que Ledger no aclaró si los equipos adulterados reportados por separado en Europa y Asia tienen relación con estos robos. Las fuentes consultadas no informan víctimas en Latinoamérica.

La instrucción de la empresa no cambió: quien compró un equipo a CryptoBilis y no lo configuró no debe hacerlo y tiene que contactar al soporte de Ledger. Quien ya lo configuró debe pasar sus fondos a un equipo nuevo, con una frase de recuperación nueva. Y nunca hay que ingresar ni restaurar una frase de recuperación en un equipo comprado a ese revendedor. Las víctimas deben hablar con Ledger y con la policía local antes de abrir o enviar el dispositivo, porque es evidencia.