Ledger ha detenido las ventas a través de su distribuidor en el sudeste asiático, CryptoBilis, después de que las billeteras de los clientes que adquirieron dispositivos por ese canal fueran vaciadas de una cantidad estimada entre 72 y 90 millones de dólares.
El fabricante de billeteras hardware indicó que está investigando las pérdidas y ha pedido a CryptoBilis que suspenda todas las ventas y envíos de dispositivos Ledger hasta que se conozcan los resultados de la investigación. Ledger aconsejó a los usuarios que compraron dispositivos a través de este distribuidor en los últimos 90 días que no configuren dispositivos no utilizados y que transfieran sus activos a un nuevo dispositivo Ledger si ya lo están utilizando, proporcionando una nueva frase de recuperación. También anunció que mantendrá informados a los clientes a medida que avance la investigación.
Las estimaciones de las pérdidas varían según las fuentes. El analista Specter rastreó diez direcciones de recolección de fondos y calculó que las pérdidas totales superan los 86 millones de dólares, una cifra que sigue aumentando. El analista tanuki42 calculó que las pérdidas ascienden a más de 72 millones de dólares, mientras que MistTrack estimó casi 90 millones. Ledger no ha confirmado aún la cantidad exacta de las pérdidas.
CryptoBilis se autodenomina distribuidor autorizado de productos Ledger en Malasia y vende dispositivos en Indonesia, Malasia y Filipinas. No ha respondido a las solicitudes de comentarios.
El mecanismo sospechoso es la manipulación de la cadena de suministro, y no una falha en el software de Ledger. Changpeng Zhao, fundador de Binance, señaló que la información disponible indica que el ataque provino de un único proveedor, y que probablemente un pequeño número de personas adquirieron dispositivos falsos o manipulados. La investigadora de seguridad Taylor Monahan sostuvo que no existe ninguna vulnerabilidad de tipo “zero-day” en los productos Ledger y advirtió que la transferencia apresurada de fondos expone a los usuarios a un mayor riesgo de phishing que el incidente en sí.
Algunos de los fondos robados ya se han movido. El seguimiento en la cadena muestra que el presunto atacante ha lavado aproximadamente 430 ETH, con un valor de unos 1,07 millones de dólares, a través del servicio Tornado Cash. Las carteras rastreadas por Arkham que están relacionadas con los robos todavía contienen unos 70,6 millones de dólares. Tether ha congelado los fondos en moneda digital USDT en las direcciones vinculadas a los robos; posteriormente, el atacante comenzó a cambiar esos fondos por USDD, una moneda estable basada en la plataforma Tron que Tether no puede congelar.
Ledger se negó a hacer más comentarios. Su investigación continúa.
