MediaMarkt retira los dispositivos Ledger y Trezor toma medidas tras el robo de criptomonedas

MediaMarkt retira de sus tiendas los monederos físicos de Ledger después de que un cliente en Alemania encontrara un chip oculto en su dispositivo. El ataque contra Ledger, que hasta ahora había afectado principalmente a Asia, llegó ayer al comercio minorista europeo. Su competidor Trezor también ha tomado medidas por precaución.

El ataque contra Ledger llega a MediaMarkt

MediaMarktSaturn, la matriz alemana de MediaMarkt, suspendió ayer la venta de dispositivos Ledger en Europa, tanto en sus tiendas como por internet.

Según Ledger, el cliente alemán no ha perdido fondos, pero la cadena no quiere correr riesgos. Un portavoz de MediaMarktSaturn asegura que la empresa se toma el incidente muy en serio.

No es el único caso comunicado. El usuario de X Johannes afirma haber encontrado cables sueltos y módulos de comunicación móvil en dos dispositivos Ledger comprados en distintas tiendas, aunque su testimonio aún no se ha confirmado.

Mark Karpelès, exdirector de la quebrada plataforma de intercambio de criptomonedas Mt. Gox, también ha comunicado el hallazgo de un componente implantado en un Ledger Flex adquirido en el aeropuerto de Singapur. Ledger no ha confirmado si está relacionado con el mismo ataque.

Los primeros casos se conocieron la semana pasada en el sudeste asiático, donde clientes del distribuidor malasio CryptoBilis vieron cómo se vaciaban sus monederos. Uno de los afectados relató en Reddit que había perdido casi 100.000 dólares en USDT.

La firma de análisis Bitquery estima las pérdidas totales en unos 93 millones de dólares, repartidos entre 311 monederos. La media se sitúa en casi 300.000 dólares por monedero.

Ledger no ha confirmado esas cifras. La empresa señala en X que, mientras continúa la investigación, los únicos incidentes confirmados siguen limitándose al sudeste asiático.

Un monedero físico es un dispositivo, a menudo del tamaño de una memoria USB, que guarda las claves de acceso a las criptomonedas sin conexión a internet. Durante la configuración genera una frase de recuperación de 24 palabras.

Esa frase permite recuperar el acceso al monedero: quien conoce las palabras puede restaurarlo en otro dispositivo y retirar todos sus fondos.

Ese es precisamente el punto que aprovecha el componente implantado, según explicó ayer el equipo de seguridad de Ledger. Lee la frase de recuperación en la pantalla y la envía a través de la red móvil mediante una tarjeta SIM integrada (eSIM).

El chip seguro que almacena las claves permanece intacto. Por eso, un Ledger manipulado funciona con normalidad e incluso supera la comprobación de autenticidad de la propia aplicación.

Aún no se sabe cómo se introdujeron esos componentes. Según Changpeng Zhao, exdirector de la plataforma de intercambio de criptomonedas Binance, los atacantes podrían haber tomado el control de la propia CryptoBilis.

Ledger recomienda no configurar los dispositivos comprados a CryptoBilis en los últimos noventa días. Si ya contienen criptomonedas, aconseja transferirlas a un nuevo Ledger con una nueva frase de recuperación.

Trezor prescinde de parte de sus distribuidores

Trezor no ha recibido avisos de dispositivos manipulados, pero ha optado por extremar las precauciones tras el ataque contra Ledger. Ya había retirado a CryptoBilis de su lista de distribuidores y ahora prescinde también de parte de los demás.

Así lo comunica el director comercial, Danny Sanders, en una carta a los distribuidores afectados. Su autorización quedará revocada el 1 de enero de 2027 y, hasta entonces, no recibirán más existencias, aunque podrán vender las que ya tengan.

Dispondrán así de algo más de once semanas, tiempo suficiente para cubrir el Black Friday y las fiestas navideñas. Trezor no precisa cuántos distribuidores se verán afectados. Los que continúen deberán cumplir normas más estrictas sobre la procedencia de los dispositivos y sus condiciones de almacenamiento.

Sanders recalca que no hay ningún problema con los dispositivos de la empresa. En la carta asegura que no existen pruebas de que los dispositivos Trezor hayan sido comprometidos y presenta la decisión como una medida preventiva adoptada por máxima precaución.

OneKey, un fabricante más pequeño de monederos físicos, también ha prescindido de CryptoBilis. La empresa ofrece sustituir gratuitamente los dispositivos comprados a ese distribuidor entre el 1 de marzo y el 13 de octubre, aunque no ha comunicado pérdidas entre sus usuarios.

La decisión de Trezor supone, no obstante, un cambio significativo. Cuando aparecieron dispositivos Trezor falsificados en 2022, la empresa recomendaba comprar únicamente en su tienda en línea o a un distribuidor autorizado.

Ahora se reducen precisamente las opciones de compra a través de distribuidores autorizados. Y el hallazgo en MediaMarkt sugiere que ni siquiera una gran cadena comercial ofrece garantías.

Ledger tampoco sabe aún en qué punto de la cadena se produjo la manipulación. La empresa señala que la investigación sigue abierta para determinar quién alteró los dispositivos y en qué fase de la cadena de distribución ocurrió.