La cartera de criptomonedas era auténtica. El chip que alguien le añadió, no.
Una cartera física se supone que es la opción prudente. Las claves quedan fuera de línea, en un aparatito guardado en un cajón, precisamente para que nada del ordenador pueda alcanzarlas. Esa premisa aguantó hasta el momento en que alguien abrió la carcasa y soldó dentro un polizón.
Ledger confirmó el 12 de octubre que los dispositivos vendidos a través de CryptoBilis, un distribuidor que opera en Malasia, Indonesia y Filipinas a casi la mitad del precio habitual, habían sido manipulados físicamente antes de llegar a los compradores. Aparecieron dos versiones del implante. Una iba escondida en una batería de repuesto más fina, la otra metida bajo la pantalla OLED. Ambas llevaban un microcontrolador ST y un módulo eSIM de unos dos milímetros de lado. El chip observaba lo que mostraba la pantalla y qué botones se pulsaban, pescaba la frase de recuperación de 24 palabras durante la configuración y la mandaba a los atacantes por una conexión de datos móviles. Sin internet, sin ordenador, sin software malicioso en ningún momento.
Los investigadores que analizan la cadena de bloques calculan el daño en unos 93 millones de dólares sobre más de 300 carteras, y Tether ha congelado 10 millones de dólares en USDT vinculados al caso. Ledger afirma que su software, su elemento seguro y la firma de transacciones nunca se vieron comprometidos, lo cual es cierto y consuela poco, porque la empresa también reconoce que su Genuine Check no puede detectar un implante añadido mientras el elemento seguro original siga intacto. A quien tenga un dispositivo de ese distribuidor se le dice que no configure uno sin estrenar y que traslade los fondos a un aparato nuevo con una frase generada desde cero.
La lección va mucho más allá de las criptomonedas. El hardware comprado con un descuento sospechoso a un vendedor que no puede identificar es hardware en el que está confiando por completo. En un PC con Windows el riesgo equivalente suele estar en el software y no en el silicio, y la comprobación de seguridad de Tendvane repasa lo que hay instalado y marca lo que llegó sin que nadie lo pidiera.