Hechos clave:
- Un ataque permitiría instalar software malicioso en la computadora sincronizada con el monedero.
- Ledger lanzó una actualización de su firmware para el Nano X que corrige este riesgo.
Una vulnerabilidad hallada en los dispositivos Ledger Nano X podría poner en riesgo la computadora con la que se sincronice el monedero y permitiría el robo de los fondos.
Mediante un ataque efectuado en la cadena de suministro de estos monederos fríos, un asaltante podría tomar control de la computadora a la que se conecte posteriormente el dispositivo e instalar un software malicioso que le permitiría efectuar el robo.
La división de ciberseguridad de Kraken hizo público el hallazgo este miércoles 8 de julio, a través de una publicación de blog. En el texto, Kraken Security Labs señala haber descubierto dos posibles ataques que “afectan a los monederos manipulados antes de que el usuario los reciba”. Es decir, monederos manipulados en la cadena de distribución, ya sea porque fue “interceptado durante el envío o comprada a un revendedor malicioso”.
La firma de investigación describe el posible ataque como una modificación en el firmware que usa un “protocolo de depuración para actuar como un dispositivo de entrada, como un teclado, que luego puede enviar pulsaciones de teclas maliciosas a la computadora del usuario”.
Mediante este ataque, el monedero funge como un disparador de funciones dentro de la computadora que puede iniciar entonces la instalación del software malicioso. Ese malware permitiría a los atacantes apagar la pantalla del dispositivo y emitir mensajes de error en la computadora para hacer que la víctima ejecute funciones y firme transacciones maliciosas.
Para mitigar el riesgo, los investigadores recomiendan comprar los dispositivos de Ledger en las tiendas oficiales, no conectar monederos recibidos en sorteos o encontrados de forma azarosa en cualquier lugar a su computadora. También sugieren que el usuario debe ser muy cuidadoso y estar pendiente de comportamientos extraños de su Ledger, como que se apague repentinamente la pantalla.
“Siempre verifique las transacciones en el monedero Ledger Nano X”
Kraken Security Labs
Ledger responde a la vulnerabilidad
Ya el 7 de julio, Ledger había informado la corrección de esta vulnerabilidad mediante una actualización del firmware del Nano X. Cuando firmas de seguridad encuentran este tipo de vulnerabilidades, informan a los afectados antes de hacer pública la información. Por eso, la diferencia en las fechas de las publicaciones.
En su publicación, Ledger asegura que la vulnerabilidad no pone en riesgo las frases de recuperación de sus usuarios. Además, describe el mismo modelo de robo expuesto por la investigación de Kraken.
Según Ledger, la actualización del firmware resuelve la vulnerabilidad y hace que “no se pueda ingresar ningún código malicioso”. Ledger reconoció el trabajo de investigación efectuado por Kraken, aunque aseguró “puede que Ledger Donjon [equipo de seguridad de Ledger] ya haya encontrado la causa raíz de la vulnerabilidad y haya estado trabajando” en su solución.
No es la primera vez que se detecta este tipo de vulnerabilidad en dispositivos Ledger. Como reportó CriptoNoticias en 2018, un programador detectó este problema de seguridad en el Nano S.
La seguridad en monederos de Bitcoin es un tema de constante discusión entre los bitcoiners y es una preocupación para los proveedores de monederos. Pero por más énfasis que haya en este tema, diversos especialistas coinciden en que no existe una seguridad absoluta.
Entre ellos, Leo Wandersleb, creador de la app Wallet Scrutiny, comentó entrevistado por CriptoNoticias que la única forma en que la seguridad en los monederos alcanzara un punto óptimo es a través de una mayor preocupación entre los usuarios.
