Ledger culpa del hackeo a un ex empleado y se queda tan ancha
Ledger culpa del hackeo a un ex empleado y se queda tan ancha

Ledger culpa del hackeo a un ex empleado y se queda tan ancha

El pasado jueves 14 de diciembre, Ledger una de las más grandes empresas del mundo cripto fue víctima de un hackeo. La compañía detectó que su desarrollo open-source Ledger Connectkit había sido vulnerado. Debido a ello, los fondos de los usuarios Web3 que interactuaban con cualquier dApp con un monedero Ledger se vieron expuestos al peligro de ser drenados por los atacantes.

Trezor o Ledger: ¿cuál es mejor para guardar mis criptomonedas?

Ledger hackeo

Al conocer el suceso, la comunidad en X explotó con mensajes por todos lados, atacando y poniendo en aprietos a Ledger. Hay que tener en cuenta que no es la primera vez que Ledger, empresa que crea hardware wallets para mantener seguras nuestras criptomonedas, pone en peligro las criptomonedas de sus usuarios.

Anatomía del ataque

La nueva vulnerabilidad, dada a conocer en un post de X, hizo sonar las alarmas en toda la comunidad cripto. Usuarios de X,  como @bangt y @ZachXBT, rápidamente comenzaron a informar de la situación. Al parecer, un hacker (o grupo de hackers) logró acceder a una clave de desarrollo de Ledger. Con esta clave, el hacker envío al repositorio de Node (conocido como repositorio npm) y al CDN (Content Delevery Network), una versión maliciosa de la librería de desarrollo Ledger Connectkit. En dicha versión se incluía un código capaz de sustraer criptomonedas de los usuarios expuestos a este software malicioso.

Ledger sigue con la recuperación de claves para competir con custodios

El objetivo era bien simple: robar los fondos de los usuarios de Ledger que se conectan a las dApps que utilizarán esta librería. Por ejemplo, aplicaciones como SushiSwap, Phantom, Revoke.cash y Wallet Connect. Todas estas dApps usan Ledger Connectkit y, por tanto, fueron vulnerables debido a este ataque. Con el ataque a Ledger Connectkit, el hacker obtuvo unos 600.00 dólares de las diferentes víctimas.

Por suerte, la compañía Ledger afrontó el problema rápidamente para corregir el fallo e informar de las acciones recomendadas: borrar la caché del navegador y esperar al menos 24 horas tras la corrección para que todos los posibles afectados revisen plataformas y los cambios se propaguen a los servicios de forma correcta.

Ledger nuevamente en la mira

Pese a que la historia del hack terminó rápidamente, Ledger no ha podido evitar caer en la mira y la ira de la comunidad. Si bien, desde la empresa indican que el fallo solo ha afectado a Ledger Connectkit y que han tomado medidas para verificar el resto de proyectos, la realidad es que este nuevo fallo de seguridad deja muy mal parada a la compañía.

Qué es Internet Computer Protocol: su token creció 57% el último mes

En primer lugar, Ledger ha tenido graves fallos de seguridad antes. El más conocido, que tuvo lugar en 2020, provocó que miles de sus usuarios sufrieran robos, blackmail y estafas en su vida cotidiana. Esto se debió a que los hackers lograron hacerse con los datos privados de estas personas. Más recientemente, en mayo de 2023, Ledger se vio empañada por una mala implementación  en su monedero que puso en riesgo los fondos Bitcoin de sus usuarios. El fallo fue descrito al completo wizardsardine en un post que hizo hervir la sangre a muchos dentro de Ledger.

Pero lo ocurrido con el hack del 14 de diciembre rompe con toda confianza. Según informa Ledger, este nuevo hack ha sido posible porque se ha suplantado la identidad y el acceso de un ex-empleado de Ledger. Y no, no se trata de una broma de mal gusto. La propia Ledger ha reconocido que este ha sido el medio utilizado para llevar a cabo el ataque.

Kolokium certifica con blockchain procesos industriales generados con IA

Una completa locura

Este último dato es quizá el punto más sorprendente de todos, porque nos lleva a preguntarnos ¿Qué hace un ex-empleado de Ledger con acceso a sus espacios de desarrollo y más aún con permisos directos para desplegar nuevas versiones? Desde cualquier punto de vista de seguridad, esto es un fallo enorme e imperdonable. No solo porque un empleado tiene acceso de escritura directa a un repositorio del que dependen miles de aplicaciones que manejan miles de millones de dólares. Lo más grave es que deja claro que no existe un proceso de revisión exhaustivo a dichos cambios.

Algunos ganaron mucho dinero con los tokens de metaverso en 2023

Para quienes no entiendan la complejidad de todo esto, lo explicaré de una forma más fácil Ledger le ha dejado las llaves a este desarrollador (y se las ha olvidado) para acceder a todos los monederos que hicieran uso de alguna dApp. Con eso se puede hacer mucho. Por ejemplo, se pudo haber vulnerado a Ledger Connectkit y LedgerJS para acceder al firmware de estas wallets.

El fallo deja claro que las políticas internas aplicadas por Ledger para mantener la seguridad de sus desarrollos deja mucho que desear. Un problema que viene arrastrando desde hace ya bastante tiempo y del que Ledger no parece haber aprendido dada las situaciones anteriores. Solo esperemos que si se produce una situación similar, la comunidad avise rápidamente para poder actuar con prontitud para solucionarla.

Comparte esto:
Esta web utiliza cookies. Puedes ver aquí la Política de Cookies. Si continuas navegando estás aceptándola    Ver
Privacidad