Ledger atrapados: un estafador pierde 60 bitcoins

El que riega, es regado. Desde el 9 de octubre, cientos de propietarios de Ledger atrapados han visto desaparecer sus criptomonedas. Sus dispositivos, comprados en el sudeste asiático, habían sido abiertos y manipulados antes de la venta. Sin embargo, entre las víctimas se encuentra un estafador. Acababa de acumular el botín de una estafa de << trabajos remunerados >> en tres direcciones recién creadas. Resultado: los ladrones le robaron más de 60 bitcoins, alrededor de 4,8 millones de dólares. La misma oleada también vació cientos de wallets vinculados al revendedor malasio CryptoBilis.

Chainalysis publicó este detalle el jueves por la tarde en X. Unas horas antes, Ledger había entregado su primera respuesta escrita al ataque. El fabricante también ordenó a sus revendedores que retiraran sus dispositivos de las estanterías.
Los puntos clave de este artículo:

• Un estafador fue víctima de una estafa de wallets Ledger atrapados, perdiendo más de 60 bitcoins en una operación sofisticada de blanqueo.
• Ledger retiró sus productos de las estanterías en el sudeste asiático, revelando una banda criminal muy organizada que había modificado dispositivos auténticos para robar fondos.

Ledger atrapados: recordatorio de los hechos para quienes se perdieron el inicio

El viernes 9 de octubre por la mañana, un mismo actor vació wallets en seis blockchains en menos de una hora. El punto en común de las víctimas: un Ledger comprado en CryptoBilis, revendedor autorizado en Indonesia, Malasia y Filipinas. Al día siguiente, Ledger confirmaba haber encontrado un implante de hardware en el dispositivo de una víctima.

El componente está injertado en la carcasa. Lee la pantalla en el momento en que el wallet muestra las 24 palabras de la frase de recuperación, y luego las transmite a través de la red móvil gracias a una tarjeta SIM integrada. Con estas 24 palabras, el ladrón ya no necesita el Ledger. Reconstruye el wallet en otro lugar y espera que su propietario deposite sus ahorros allí.

Chainalysis y Bitquery rastrean el botín de los Ledger atrapados

El esquema de esta estafa de trabajos remunerados es conocido por las policías de todo el mundo. Primero, el estafador recluta a pequeños ayudantes. El estafador les paga para simular compras y publicar reseñas falsas sobre productos reales. Las primeras ganancias llegan, se establece la confianza. Luego, aparece un << saldo negativo >> en su cuenta. Para desbloquear sus ingresos, los reclutas deben primero aportar al fondo, de su propio bolsillo. Ya entendieron la secuencia.

El 22 de septiembre, el organizador de esta estafa transfirió sus ganancias a tres direcciones Ledger distintas, para poner su botín fuera de alcance. Diecisiete días después, el 9 de octubre, los ladrones vaciaron las tres en una transacción cada una. Todo aterrizó en un mismo wallet, ya señalado como receptáculo de fondos robados. << Una de las mayores víctimas del robo de Ledger era ella misma un estafador >>, resume Chainalysis en X. El tiempo habla por sí mismo. El implante captó las 24 palabras desde la configuración del dispositivo, y luego el ladrón esperó el día D para llevarse todo de un solo golpe.

Bitquery sigue la pista del ladrón de los Ledger atrapados

La firma de análisis no se despertó el jueves. Desde el 9 de octubre, Chainalysis anunciaba investigar << una operación sofisticada de blanqueo inter-cadenas >>. El caso del estafador es la primera pieza hecha pública. Pero es otra empresa de análisis on-chain, Bitquery, la que ha entregado la autopsia más completa del robo. Sus analistas partieron de las diez direcciones publicadas el 9 de octubre por los investigadores tanuki42 y Specter. Luego, siguieron cada wallet vaciado en seis blockchains, con un segundo conteo independiente para verificar las cifras.

En Bitcoin, los 60 BTC del estafador se suman así a los 203,8 bitcoins robados esa misma mañana en 122 wallets, en su mayoría en un solo bloque a las 5:54 UTC. Es decir, para un solo hombre, cerca del 30 % del bitcoin robado ese día.

El informe de Bitquery también responde a una pregunta: solo había un ladrón, que ya poseía todas las claves. En Tron, 25 wallets firmaron la misma autorización para la misma dirección en tres segundos. Ocho minutos antes, 30 más habían visto su control transferido a una clave desconocida. Los humanos no hacen eso. En cambio, un software que posee todas las frases de recuperación, sí. De hecho, el ladrón había estado practicando durante dos semanas, haciendo pequeñas transferencias de prueba antes de atacar.

Otro hallazgo: seis de cada diez wallets víctimas habían recibido sus primeros fondos en la ventana de 90 días mencionada por Ledger. Pero más de ocho de cada diez lo habían hecho solo desde junio. Por lo tanto, el riesgo probablemente se remonta un poco más allá de la directriz oficial.

El botín de los Ledger comprometidos pasa por Tornado Cash y Zcash

El << lavado inter-cadenas >> mencionado por Chainalysis se refleja claramente en los datos de Bitquery. En pocas horas, el ladrón dispersó los aproximadamente 79 millones de dólares en USDT robados en Tron. Primero, transfirió 20 millones a Ethereum a través del puente USDT0, luego los convirtió en ether. Después, intercambió 23,7 millones por USDD, un stablecoin que Tether no puede congelar. Finalmente, dispersó el resto entre servicios de intercambio instantáneo como Relay, Chainflip o THORChain.

Luego viene el lavado. Del 9 al 13 de octubre, aproximadamente 7,260 ETH entraron en el mezclador Tornado Cash. Una buena parte de lo que salió de allí luego transitó por Zcash, antes de regresar en USDC o ETH a nuevas direcciones. Al 15 de octubre, Bitquery aún podía localizar 84 millones de dólares en la cadena. Los 203,8 BTC, por su parte, no se han movido ni un satoshi desde el 9 de octubre.

Este caso aislado pesa poco en el balance global de los Ledger comprometidos. Bitquery ahora contabiliza 102 millones de dólares drenados de 324 wallets y seis blockchains. Esta cifra, verificada al 15 de octubre, no ha sido confirmada ni disputada por Ledger. Tether, además, ha congelado 10 millones de USDT relacionados con la investigación. Pero el estafador se ajusta al perfil de otras víctimas: poseedores de grandes sumas en el sudeste asiático, que precisamente habían comprado un wallet físico para proteger su dinero.

Ledger retira sus wallets de los estantes y describe a una banda que gastó millones

La versión de Ledger llegó el 15 de octubre, unas horas antes de la keynote Op3n donde el fabricante presentó su Ledger Atom. El texto habla de un << grupo criminal muy organizado >>. Durante largos meses, este grupo compró dispositivos auténticos y los abrió para insertar componentes personalizados. Su función: capturar la frase de recuperación durante la configuración. Luego reinyectaron estos dispositivos en el circuito a través de revendedores del sudeste asiático. La banda había montado << sus propios servidores recolectores de seeds, sus infraestructuras de vaciado y lavado >>. Y había << gastado millones >> antes de atacar en una sola operación coordinada.

Ledger insiste en lo que no se ha comprometido. El chip, el sistema operativo y los servidores permanecieron intactos. << No fue un ataque sistémico en la cadena de suministro, fue un ataque localizado en la distribución >>, escribe la empresa en su comunicado. Su laboratorio apodado el Donjon desmontó el implante. Equipos luego compraron y abrieron dispositivos en tiendas, en Alemania entre otros, y luego inspeccionaron muestras en el almacén. Todo estaba limpio.

Nuevas reglas para los revendedores de Ledger

Las consecuencias prácticas del asunto de los Ledger comprometidos se hacen evidentes de inmediato. Ledger suspende las ventas en sus revendedores autorizados de Asia del Sudeste y Hong Kong. Se prohíbe revender un dispositivo devuelto, incluso si está sellado. Y a partir de ahora, ningún producto Ledger debe estar en exhibición o en estanterías. El stock permanece en reserva y el vendedor solo lo entrega al cliente en el momento de la compra. Ledger también solicita a sus revendedores que informen sin demora sobre cualquier producto que un comprador considere inusual. Finalmente, el fabricante invita a << toda la industria a hacer lo mismo >>. Trezor y OneKey, de hecho, habían anunciado una reducción de su red de revendedores la semana pasada.

Ledger también promete contramedidas << a nivel de producto >>. El Ledger Atom, presentado el mismo día a 849 euros, ya detecta la apertura de su carcasa y la extracción de su pantalla. Pero no saldrá hasta el verano de 2027. Ningún Nano X, Flex o Stax en circulación se beneficiará de esto. Para esos, la consigna sigue siendo la misma desde hace diez días: no configurar un dispositivo comprado en CryptoBilis en los últimos 90 días sin haberlo verificado.