Un xip espia en carteres Ledger: així van robar més de 90 milions en criptomonedes

Què és una cartera Ledger?

Una cartera de maquinari (maquinari wallet) és un dispositiu físic, semblant a un pendrive oa un mòbil petit, que guarda les claus privades que donen accés a les criptomonedes. Ledger fabrica diversos models, com el Nano S Plus, el Nano X, el Flex o l'Stax.

El seu avantatge davant d'una cartera instal·lada a l'ordinador o al mòbil és que les claus mai no surten del dispositiu. Es guarden en un xip de seguretat (Secure Element) i les operacions se signen dins de la pròpia cartera, de manera que un virus a l'ordinador no les pot robar. Per això es parla de “emmagatzematge en fred”.

Hi ha un punt crític: en configurar la cartera per primera vegada, el dispositiu mostra a la pantalla una frase de recuperació de 24 paraules. Amb aquesta frase es pot reconstruir la cartera a qualsevol altre dispositiu i moure els fons. Qui té la frase té els diners.

Què ha passat?

Els atacants no han atacat el programari de Ledger, sinó els dispositius físics abans que arribessin al comprador. Dins la carcassa, algunes unitats portaven una petita placa addicional amb:

• Un microcontrolador connectat a la línia de dades que va del xip de seguretat a la pantalla.
• Una eSIM amb connexió mòbil LTE.

Quan l'usuari configurava la cartera i apareixien a la pantalla les 24 paraules, l'implant les llegia i les enviava a l'atacant per la xarxa mòbil. Després, l'atacant només havia d'esperar que la víctima diposités fons per buidar-la des d'un altre dispositiu.

El més preocupant és que l'implant no toca ni el xip de seguretat ni el microprogramari. Per això el Genuine Check, la comprovació de autenticitat de Ledger, donava el dispositiu per bo. A més a més, el precinte de l'embalatge podia estar intacte.

Cronologia

• 9 d'octubre:
  usuaris del Sud-est Asiàtic denuncien que les carteres s'estan buidant. Totes s'havien comprat a CryptoBilis, un distribuïdor que opera a Malàisia, Indonèsia i Filipines. Ledger us ordena suspendre vendes i enviaments.
• 10 d'octubre:
  Ledger confirma que el dispositiu d'un dels afectats portava un implant de maquinari ocult.
• 13 d'octubre:
  Ledger amplia la mesura i ordena a distribuïdors i revenedors de Indonèsia, Singapur, Tailàndia, Filipines, Vietnam, Malàisia i Hong Kong suspendre les vendes i retirar els productes de les botigues. No hi ha data per reprendre-les. Aquell mateix dia, MediaMarkt Saturn deixa de vendre dispositius Ledger després que un client a Alemanya afirmés haver trobat un implant en una cartera comprada a una de les seves botigues. En aquest cas, no s'ha notificat pèrdua de fons.

Ledger assegura que els seus sistemes, el firmware i la botiga oficial no estan compromesos, i que fins ara només ha verificat pèrdues en dispositius del Sud-est Asiàtic. El vostre equip intern de seguretat, Ledger Donjon, està analitzant els dispositius tornats per esbrinar qui els va manipular i en quin punt de la distribució. Tether ha congelat uns 10 milions de dòlars en USDT vinculats als robatoris.

Reacció del sector

El cas ja està tenint conseqüències fora de Ledger. El seu competidor Trezor ha anunciat que, a partir de l'1 de gener del 2027, posarà fi a part dels seus acords amb distribuïdors. Vol quedar-se amb una xarxa més petita on pugui avaluar cada soci. Insisteix que no hi ha indicis que els dispositius estiguin afectats.

La lliçó: la cadena de subministrament també és un risc

Aquest cas demostra que no n'hi ha prou que un producte sigui segur “de fàbrica”. Entre la fàbrica i l'usuari hi ha distribuïdors, magatzems i revenedors, i qualsevol es pot convertir en un punt d'atac. Passa el mateix amb qualsevol equip que entra en una empresa, ja sigui un portàtil, un router o una clau de seguretat.

Consells per protegir-te

1. Compra només a canals oficials.
   Compra les carteres directament a la web del fabricant. Evita revenedors, marketplaces i equips de segona mà, per molt bon preu que tinguen.
2. Si vas comprar un revenedor, canvia de cartera.
   Si heu comprat CryptoBilis durant els darrers 90 dies i encara no heu configurat el dispositiu, no ho feu. Si ja el fas servir, aconsegueix un de nou a la botiga oficial, genera una frase de recuperació nova i transfereix tots els teus fons.
3. No et refiïs només del Genuine Check.
   Verifica el xip de seguretat, però no detecta maquinari afegit. Si teniu dubtes, desconfieu del dispositiu.
4. Mai no comparteixis la teva frase de recuperació.
   Ledger no us trucarà, no us enviarà missatges directes i mai us demanarà les 24 paraules. No les escriguis a cap web, app o formulari. Compte també amb els anuncis patrocinats en cercadors: s'han detectat webs falses de Ledger anunciades a Google.
5. Guarda la frase només en paper o metall, fora de línia.
   Res de fotos, notes del mòbil ni el núvol.
6. Reparteix el risc.
   Si gestiones imports elevats, fes servir esquemes multifirma (multisig) amb dispositius de fabricants diferents, perquè un sol dispositiu compromès no sigui suficient per buidar els fons.
7. Desconfia de les xifres i els rumors.
   Amb un cas així circulen moltes dades sense verificar i apareixen estafadors que s'aprofiten de la por. Consulta sempre els canals oficials del fabricant.
8. A l'empresa, controla la procedència del maquinari.
   Defineix proveïdors autoritzats, revisa els equips en rebre'ls i sospita els preus massa baixos. La seguretat comença abans d'encendre el dispositiu.

Si teniu dubtes sobre la seguretat dels dispositius o els processos de compra de la vostra empresa, a l'equip SOC d'Infordisa us ajudem. Existim per ajudar.

Fonts:

• Bitcoin.com
  Retiren carteres Ledger a set mercats asiàtics per xip espia
• BleepingComputer
  Ledger confirms spy xip implant behind wallet crypto thefts
• CoinDesk
  Ledger finds covert cel·lular implant stole recovery phrases
• Tech Times
  Genuine Check passes on implanted devices
• Quartz
  Ledger revisa polítiques de revenedors
• L'Economista
  Article original