Un investigador de seguridad brasileño ha alertado a otros sobre la última estafa de dispositivos Ledger falsificados, cuyo objetivo es robar las criptomonedas de los usuarios.
Publicando como “Past_Computer2901” en el canal “ledgerwallet” de Reddit el jueves, el investigador de seguridad dijo que compró lo que pensó que era un dispositivo Ledger legítimo para uso personal, pero poco después de recibirlo se dio cuenta de que era una falsificación sofisticada destinada a robar los fondos de los usuarios.
“Esto no pretende causar pánico, sino más bien servir como una advertencia seria; sinceramente, todavía estoy un poco impactado por la magnitud de esta operación”, dijeron.
Los estafadores están adoptando estrategias cada vez más sofisticadas para atacar a los usuarios que optan por la autocustodia, desde ataques a la cadena de suministro hasta ingeniería social y estafas de aprobación.
A principios de este mes, más de 50 víctimas fueron engañadas para revelar sus frases semilla en una aplicación falsa de Ledger Live que llegó a la App Store de Apple a través de una estrategia de 'bait-and-switch'. Las víctimas perdieron un total combinado de 9.5 millones de dólares antes de que Apple retirara la aplicación maliciosa.
El investigador dijo que compró el Ledger Nano S Plus en un mercado chino, con un precio idéntico al de la tienda oficial de Ledger. El empaque y la descripción también parecían legítimos al principio.
Sin embargo, cuando conectaron el dispositivo a la aplicación genuina de Ledger Live —que afortunadamente ya estaba instalada en su computadora—, falló la “Verificación de Autenticidad” integrada de Ledger.
Esto les impulsó a desarmar el dispositivo, descubriendo hardware y firmware modificados diseñados para capturar y exponer datos sensibles de la cartera.
El investigador de seguridad dijo que los estafadores apuntan a usuarios de Ledger por primera vez, ya que el código QR que viene en la caja normalmente dirigiría a los usuarios a descargar una versión maliciosa de la aplicación Ledger Live que mostraría una "Verificación de Autenticidad" falsa.
Los usuarios que continúen siguiendo las indicaciones eventualmente permitirán a los estafadores obtener las frases semilla de un usuario y drenar fondos en cualquier momento.
“Manténganse seguros. Solo descarguen Ledger Live desde ledger.com. Solo compren hardware desde ledger.com”, dijo el investigador de seguridad.
“Si su dispositivo falla la Verificación de Autenticidad, deje de usarlo inmediatamente.”
Después de desarmar el dispositivo, descubrieron claras señales de manipulación, incluyendo marcas de chip raspadas y una antena WiFi y Bluetooth incrustada dentro de la unidad.
Los productos de hardware legítimos de Ledger están diseñados para mantener las claves privadas completamente fuera de línea.
Relacionado: Músico pierde 420.000 dólares en Bitcoin de su ‘fondo de jubilación’ a través de una aplicación falsa de Ledger
El investigador de seguridad luego examinó el firmware, poniendo el “chip en modo de arranque”, lo que inicialmente identificó el dispositivo como un Nano S Plus 7704 con un número de serie adjunto.
Sin embargo, una vez completada la secuencia de arranque, apareció el nombre de otro fabricante: Espressif Systems, una empresa china de semiconductores que cotiza en bolsa con sede en Shanghái.
Cointelegraph se puso en contacto con Espressif para obtener comentarios, pero no recibió una respuesta inmediata.
Revista: ¿Qué es un 'Estado en red' y existen ejemplos en la vida real? Grandes Preguntas
