Ledger confirmó que algunos dispositivos vendidos a través del distribuidor CryptoBilis en el sudeste asiático fueron manipulados con implantes de hardware para robar criptomonedas. Estos componentes maliciosos capturaban la frase semilla y la transmitían a los atacantes mediante una conexión LTE. La empresa recomienda no configurar estos dispositivos y mover los fondos a una billetera nueva, advirtiendo además que compren únicamente en canales oficiales.

Ledger ha confirmado que algunos de sus dispositivos distribuidos a través del revendedor del sudeste asiático CryptoBilis fueron comprometidos con un implante de hardware que vació las billeteras de criptomonedas de los usuarios.

La empresa ha estado investigando informes de usuarios que perdieron fondos de billeteras adquiridas a través de CryptoBilis, un importante minorista de billeteras de hardware con sede en Malasia que opera en todo el sudeste asiático.

Algunos investigadores han mostrado el implante en el Ledger X desde el 16 de septiembre, afirmando que los dispositivos manipulados estaban disponibles por casi la mitad del precio del hardware original.

Las billeteras Ledger son dispositivos físicos diseñados para almacenar de forma segura las claves privadas que controlan los activos de criptomonedas y autorizan las transacciones.

El 9 de octubre, Ledger informó que había iniciado una investigación sobre los informes de usuarios sobre pérdidas de criptomonedas y pidió a CryptoBilis que dejara de vender y enviar dispositivos Ledger.

https://x.com/Ledger_Support/status/2108551100613714002

Al día siguiente, la empresa confirmó la manipulación del hardware en al menos un dispositivo, aunque todavía no está claro exactamente cómo o cuándo fueron manipulados los dispositivos.

"Ledger puede confirmar que uno de los dispositivos de los usuarios afectados contenía un implante de hardware no autorizado. Ledger se está poniendo en contacto con los usuarios afectados como parte de la investigación en curso", afirmó Ledger.

El fabricante de billeteras cripto también señaló que estaba trabajando con las autoridades para identificar al perpetrador y llevarlo ante la justicia.

"[...] Ledger recomienda a los usuarios que compraron un dispositivo Ledger a este revendedor que no inicien la configuración si aún no lo han hecho. Si ya ha configurado su dispositivo Ledger, considere mover los activos a un nuevo firmante de Ledger (con una nueva semilla)", advirtió Ledger [enlace].

Ayer, Ledger proporcionó otra actualización [enlace], confirmando que todos los informes de usuarios sobre vaciados inesperados de fondos estaban vinculados a dispositivos vendidos a través de CryptoBilis y describiendo el volumen afectado como "limitado".

Si bien la empresa no reveló el tipo de dispositivos comprometidos en este ataque a la cadena de suministro, los informes en línea hablan de un implante espía en los dispositivos Ledger X que se mezcla con el hardware legítimo.

Mark Karpelès, quien actualmente lidera Karpeles Lab Inc. y es CTO en Shells.com, mostró una foto del nuevo implante en Ledger X, diciendo que era "toda una evolución" respecto a versiones anteriores que presentaban cables soldados manualmente.

Implante de hardware dentro del dispositivo Ledger X
fuente: Mark Karpelès [enlace]

El ex CEO de Mt. Gox dijo que el implante estaba oculto detrás de la pantalla, pero que el cable de su antena habría indicado que algo estaba mal.

Según Karpelès, el hardware malicioso capturaba la salida de la pantalla del dispositivo y las pulsaciones de los botones para identificar la frase semilla, y luego la transmitía al atacante a través de una conexión LTE utilizando una eSIM.

"Los Ledger Nano X se utilizan para almacenar criptos. Los implantes espía se utilizan para robar cualquier cripto que almacenes en esos Ledger Nano X", explicó Karpelès [enlace].

Aunque el CEO no nombró a CryptoBilis como el vendedor del Ledger X comprometido, dijo que el dispositivo no fue adquirido a través de los canales recomendados de Ledger sino desde "una plataforma muy conocida a través de un vendedor chino (producto enviado desde Malasia)".

Tibane Labs, un estudio de investigación y desarrollo de criptomonedas, confirmó el hallazgo de Karpelès, añadiendo que había dos versiones del implante para Ledger X.

Los investigadores obtuvieron dos variantes, una en un dispositivo Ledger comprado en Amazon Japón a un "vendedor basado en China · enviado desde Malasia", y la otra comprada en Yahoo! Auctions, Japón.

En un informe del fin de semana, Tibane Labs señala que el actor de la amenaza hizo espacio para la circuitería maliciosa reemplazando la batería original por una más pequeña, que alimenta tanto el implante como el Ledger X.

"Debajo de la batería y la antena se encuentra un ST STM32G431KBU6 (Arm Cortex‑M4, 128 KB flash, UFQFPN‑32)", encontraron los investigadores dentro de uno de los dispositivos.

Para la conectividad, el actor utilizó "una eSIM diminuta, un paquete de 8 pads de solo 2×2 mm, junto a la MCU, y un módulo LTE blindado que envía las palabras al exterior".

En la segunda billetera de hardware analizada, los investigadores de Tibane encontraron [enlace] que las marcas tanto en la MCU (Unidad de Microcontrolador) como en la eSIM habían sido raspadas para ocultar los números de pieza.

La segunda variante, que parece ser la misma que describió Karpelès, es más avanzada. Funcionaba con la batería original y encajaba en el espacio normalmente ocupado por el acolchado de espuma debajo de la pantalla OLED.

En ambos casos, la señal reveladora era el cable de la antena, que recorría el borde superior en el caso del segundo implante. En el primer implante, la antena está pegada sobre la batería y el módulo LTE blindado.

Implante de hardware dentro de Ledger X
fuente: Tibane Labs [enlace]

Los investigadores advirtieron que el espécimen anterior utilizaba "una PCB flexible diseñada y panelizada, del tipo que se pide a una fábrica de placas, no una pieza única construida a mano".

Ledger aconseja a los usuarios evitar comprar a revendedores no autorizados, ya que corren un mayor riesgo de obtener dispositivos falsificados o modificados.

La empresa también recuerda a sus revendedores y distribuidores autorizados obtener los productos únicamente a través de canales autorizados y evitar el reabastecimiento de productos devueltos.

Ledger proporciona un mecanismo de 'Verificación de Autenticidad' (Genuine Check) para determinar la autenticidad del dispositivo; sin embargo, advierte explícitamente [enlace] que no puede detectar implantes añadidos cuando el Elemento Seguro original del dispositivo permanece intacto.

En este momento, no hay indicios de que otros revendedores de Ledger estén enviando billeteras comprometidas; sin embargo, la confianza de la comunidad en la red de revendedores se ha visto afectada, y muchos piden ahora su desmantelamiento.

Fuente:
BleepingComputer