Investigadores de Ledger Donjon revelaron una vulnerabilidad de seguridad en las tarjetas de billetera de hardware Tangem que permite a un atacante restablecer la contraseña de la tarjeta mediante un ataque de inyección de fallas por láser.
La vulnerabilidad requiere acceso físico a una tarjeta Tangem, equipo especializado de inyección de fallas por láser, herramientas de análisis de canal lateral y experiencia en seguridad de hardware. Ledger Donjon dijo en una publicación de blog que la configuración de su laboratorio costó alrededor de $250,000, y que la vulnerabilidad afecta a todas las tarjetas Tangem actualmente en circulación y no se puede parchear porque las tarjetas carecen de un mecanismo de actualización de firmware.
Según la publicación, los investigadores prepararon la tarjeta exponiendo el elemento seguro y conectándolo a hardware personalizado antes de usar un pulso láser de nanosegundos para apuntar a un área específica del chip.
La inyección de fallas eludió la verificación del firmware que comprueba si una tarjeta está en un estado de recuperación autorizado, permitiendo que la instrucción SetPin acepte una nueva contraseña sin la contraseña existente o la tarjeta de respaldo.
Una vez que se restablece la contraseña, un atacante obtiene el control de la billetera y puede usar la tarjeta para firmar transacciones, permitiendo que los fondos asociados con la billetera sean movidos.
Ledger Donjon dijo que reprodujo el ataque en una segunda y tercera tarjeta después de demostrar la vulnerabilidad inicial, y cada reproducción requirió aproximadamente dos horas de preparación y tiempo de explotación.
“Lo que esto significa para los usuarios: no hay parche, pero el ataque es físico e invasivo, por lo que no se puede realizar de forma encubierta y con la tarjeta intacta”, escribieron los investigadores. “El único riesgo real es una tarjeta perdida o robada; si la suya permanece en su posesión, el ataque descrito aquí no se puede realizar”.
Los investigadores recomendaron que el firmware del elemento seguro utilice múltiples verificaciones independientes para operaciones sensibles, fortalezca los métodos de validación de estado y asegure que los cambios de contraseña permanezcan protegidos cuando las funciones de recuperación estén deshabilitadas. Dijeron que la certificación EAL6+ por sí sola no previene los ataques de inyección de fallas si el firmware contiene fallas lógicas explotables.
Antes de este descubrimiento, los investigadores habían descubierto una omisión de verificación genuina en la aplicación Tangem para Android y un ataque de fuerza bruta al protocolo de autenticación de la tarjeta. La vulnerabilidad fue revelada a Tangem en febrero.
En una publicación en X tras la revelación de Ledger Donjon, Tangem cuestionó la importancia práctica de los hallazgos, destacando que el ataque requiere equipo de laboratorio costoso, posesión física de la tarjeta y experiencia especializada, lo que hace que el riesgo para los usuarios cotidianos sea "prácticamente inexistente".
"También vale la pena señalar que, si bien Ledger Donjon se presenta como una unidad de investigación independiente, opera dentro de Ledger, uno de nuestros mayores competidores. Sus hallazgos deben leerse teniendo esto en cuenta", dijo la firma. "Con suficiente tiempo, financiación y acceso, el firmware de cualquier elemento seguro puede eventualmente ser objeto de ingeniería inversa y explotado".
Descargo de responsabilidad: The Block es un medio de comunicación independiente que ofrece noticias, investigaciones y datos. A partir de noviembre de 2023, Foresight Ventures es inversor mayoritario de The Block. Foresight Ventures invierte en otras empresas en el espacio cripto. El exchange de criptomonedas Bitget es un LP ancla para Foresight Ventures. The Block continúa operando de forma independiente para ofrecer información objetiva, impactante y oportuna sobre la industria cripto. Aquí están nuestras divulgaciones financieras actuales.
© 2026 The Block. Todos los derechos reservados. Este artículo se proporciona únicamente con fines informativos. No se ofrece ni se pretende que se utilice como asesoramiento legal, fiscal, de inversión, financiero o de otro tipo.
