Una brecha de seguridad en el Ledger Connect Kit, una biblioteca de JavaScript que conecta sitios web con las billeteras de Ledger, ha comprometido cientos de miles de dólares en criptomonedas. El jueves pasado, la empresa Ledger alertó a sus usuarios sobre la presencia de código malicioso en el kit y recomendó evitar el uso de dApps (aplicaciones descentralizadas) hasta que se resolviera el incidente.
El ataque afecta a múltiples criptomonedas
Ledger es una billetera de hardware que permite a los usuarios comprar, administrar y almacenar activos digitales fuera de línea. Admite múltiples criptomonedas, incluidas Bitcoin y Ethereum.
El drenador malicioso roba criptomonedas
La empresa descubrió que un ataque a la cadena de suministro en la biblioteca Ledger dApp Connect Kit permitía el drenaje automático de criptomonedas y NFT desde las billeteras conectadas. El código malicioso, inyectado mediante una cuenta NPM comprometida, afectaba las versiones 1.1.5 a 1.1.7 del kit.
Estimaciones de pérdidas varían
Se desconoce realmente cuánto ha sido robado. Algunas firmas informan que al menos se habrían perdido unos 150.000 dólares en cripto, mientras que otras sugieren una cifra de aproximadamente 610.000 dólares. La cantidad puede variar ampliamente según el usuario afectado.
Se eliminó la versión maliciosa y se lanzó una nueva
La versión maliciosa de la biblioteca fue eliminada, y se cargó una nueva versión limpia del kit, la versión 1.1.8, en los canales de distribución de Ledger a las 2:35 p.m. CET. Sin embargo, todos los proyectos potencialmente afectados deben reemplazar su versión maliciosa con una copia limpia antes de que sea seguro volver a usarlos.
Usuarios deben evitar interacciones con dApps
Ledger recomendó a los usuarios que eviten toda interacción con cualquier dApp hasta que hayan confirmado que se han trasladado a una versión segura del Connect Kit. La compañía también advirtió sobre continuos ataques de phishing que intentan aprovechar la situación, y recomendó a los usuarios que permanezcan atentos a los mensajes que les piden que compartan su frase secreta de recuperación de 24 palabras.
El ataque se originó en un ex-empleado
Ledger dijo que su biblioteca se vio comprometida después de que su cuenta NPMJS fuera violada durante un ataque de phishing a un ex-empleado. El atacante publicó una versión maliciosa del Ledger Connect Kit, que afecta a las versiones 1.1.5, 1.1.6 y 1.1.7. El código malicioso utilizó un proyecto falso de WalletConnect para redirigir fondos a una billetera de delincuentes informáticos.
El hardware y la aplicación principal no se vieron afectados
Ledger ha asegurado a los usuarios que el hardware central (dispositivo Ledger) y la aplicación de software principal (Ledger Live) utilizados para administrar los activos de criptomonedas no se han visto comprometidos ni afectados directamente por este ataque a la cadena de suministro.
Se congelaron las criptomonedas robadas
Ledger dijo que habían informado las direcciones de la billetera del delincuente y que Tether había congelado el USDT robado. Ledger ha prometido publicar más detalles sobre el incidente a través de un informe completo más tarde, pero por ahora se están centrando en proteger la biblioteca e investigar la infracción.
Problemas sucesivos de Ledger
La cantidad de incidentes de seguridad que ha sufrido Ledger lleva a preguntarse si realmente es seguro utilizar sus dispositivos y si realmente le interesa la seguridad de sus clientes.
- Filtración de correos electrónicos: Delincuentes informáticos han publicado más de 270.000 direcciones de correo electrónico asociadas con clientes de Ledger, supuestamente obtenidas durante un hackeo a la empresa en julio de 2020.
- Recolección de datos por parte de Ledger Live: Ledger Live extrae datos sobre los activos que tiene en su billetera de hardware cuando accede a Ledger Live. También envía información adicional sobre su computadora y dispositivo, incluida la dirección IP y el ID del dispositivo.
- Introducción de Ledger Recover: En la versión 2.2.1, la empresa introdujo Ledger Recover, que permite «recuperar» la frase semilla y se envía a tres entidades para que las custodien. Para utilizar este servicio es obligatorio realizar el proceso de KYC y una suscripción con la empresa.