Los implantes en carteras Ledger se extienden a vendedores autorizados y ya han robado 102 millones de dólares
Who Is Planting Backdoors in Ledger Crypto Wallets?
Ledger anunció que unas carteras vendidas en el sudeste asiático contenían un implante que permitió robar alrededor de 102 millones de dólares en criptomonedas. Desde entonces, usuarios han encontrado implantes en dispositivos comprados a MediaMarkt en Alemania y en modelos Flex y Stax. Los implantes, hallados inicialmente por Joe Grand en vendedores no autorizados, ahora aparecen en lotes de distribuidores oficiales, lo que sugiere un compromiso más amplio de la cadena de suministro.
Esto indica un problema generalizado en lugar de un incidente aislado, que podría afectar al inventario de Ledger en las tiendas MediaMarkt y Saturn en toda Europa.
- acstapleton
Mirando las imágenes de aquí, no hay ningún intento de seguridad por parte del equipo de Ledger. Están usando un MCU (ST MCU con núcleo Cortex M4) que no tiene ninguna característica de seguridad significativa (es decir, no hay arranque seguro, no hay diferenciación entre operación en modo confiable y modo usuario - características que el núcleo Cortex M33 más nuevo soporta y que las piezas ST más nuevas implementan). Así que no hay forma de garantizar que el software que se ejecuta en esto no haya sido manipulado.
Tampoco hay detección física de manipulación. No hay almohadillas anti-manipulación para detectar aperturas de la carcasa, no hay sello que se rompa al abrirlo que impida su funcionamiento. Como otros han mencionado, la precaución más básica sería pegar todo el conjunto, lo cual tampoco hicieron.
Confiar en Ledger para asegurar cualquier cosa secreta sería una muy mala idea.
- lxgr
Es triste ver a tantas personas con aparentemente cero experiencia en seguridad de hardware juzgando cómodamente este ataque, al parecer sin haber investigado el modelo de seguridad de la plataforma atacada (es público y vale la pena leerlo, en mi opinión [1]) ni la sofisticación del ataque en sí.
El error de Ledger aquí fue únicamente asumir que era imposible meter hardware capaz de comunicación de largo alcance (o incluso global, en este caso) en el diminuto espacio de la carcasa de su dispositivo. No estoy en su industria, pero honestamente habría adivinado lo mismo hasta esta semana.
[1] https://www.ledger.com/ledger-nano-x-bluetooth-security-mode...
- Trustable8
Acabo de abrir un Ledger, es increíblemente fácil de hacer. ¿Por qué no harían de esto una unidad sellada y la pegarían para que sea imposible abrirla sin dañarla? Además, ¿por qué no pegarías toda la placa de circuito? Toda la placa está cubierta de pads de prueba que hacen que sea súper fácil soldar cosas sospechosas.
- thecybertracker
Empecemos con un hash muy básico. El peso del dispositivo hasta el miligramo. Y asumir que si el peso no coincide, está manipulado.
- sorenjan
¿No debería ser posible rastrear quién compró la esim, a dónde se envían los datos y quién es dueño de las carteras a las que se transfiere la cripto robada?
- tristor
La falta de seguridad en estos dispositivos es impactante para alguien que ha trabajado en el espacio de seguridad de hardware, pero supongo que no debería sorprender que esto, como todo lo demás relacionado con cripto, sea una especie de estafa elaborada hecha por no expertos y malos actores.
- ricardobeat
La idea de una cartera de hardware me pareció mal desde el principio.
¿Por qué confiarías en algún hardware aleatorio, que tiene el único propósito de guardar tu dinero, convirtiéndolo en un objetivo obvio, en lugar de una computadora de propósito general que controlas por completo?
- tamimio
Estos ataques son fáciles de hacer porque mucha gente asume que el hardware nuevo en plástico de burbujas es seguro y no fue alterado. Hay muchas historias de agencias de inteligencia que colocan dispositivos de escucha en el hardware después de que lo pides, específicamente en línea, y no, no son pensamientos de sombrero de aluminio, lo están haciendo activamente, incluida Europa, así que siempre compra tu dispositivo al azar en alguna tienda local y recógelo de inmediato, o cómpralo usado, mejor aún, si tienes algún conocimiento de electrónica, revísalo tú mismo.