Las acusaciones de una brecha en la cadena de suministro contra Ledger, el fabricante de monederos de criptomonedas, van en aumento. Tras el descubrimiento de dispositivos Ledger modificados físicamente, ahora se afirma que también se ha encontrado software espía en dispositivos adquiridos en diversas tiendas de Europa.
Un usuario que hizo nuevas declaraciones sobre el tema en las redes sociales afirmó que la seguridad de la cadena de suministro de Ledger en Europa se ha visto comprometida y argumentó que la empresa debería iniciar de inmediato un proceso de retirada del producto para proteger a sus usuarios.
Según el denunciante, se encontraron las mismas alteraciones físicas en dos dispositivos Ledger distintos, adquiridos en diferentes tiendas europeas. El usuario afirmó que, tras comprar el segundo dispositivo, grabó en vídeo el momento de desempaquetarlo y, una vez más, descubrió software espía en su interior.
Se alega que ambos dispositivos examinados contenían componentes adicionales, como cables y un módulo de comunicación LTE, que no formaban parte del diseño original. Se cree que estos componentes podrían haber sido instalados con el objetivo de extraer datos de los dispositivos.
El usuario argumentó que esta situación podría indicar un ataque a la cadena de suministro más generalizado, en lugar de un incidente aislado, y señaló que el minorista en cuestión tiene más de 1000 tiendas en 11 países europeos. Sin embargo, aún no hay pruebas confirmadas de que otros dispositivos Ledger en estas tiendas también se hayan visto afectados.
Las sospechas recayeron sobre el distribuidor que operaba en toda Europa.
El demandante afirmó que inicialmente creyó que los dispositivos comprometidos habían sido comprados y devueltos previamente, y luego revendidos por las tiendas.
Sin embargo, informó que un empleado de la tienda con el que habló le dijo que el dispositivo que compró no era un artículo retornable y que los dispositivos Ledger devueltos se envían directamente al fabricante en lugar de revenderse.
El usuario afirmó que envió el primer dispositivo que encontró al ex director ejecutivo de Mt. Gox, Mark Karpelès, para que lo examinara, y que enviaría el segundo dispositivo directamente a Ledger.
Ledger también instó a los usuarios que compraron sus dispositivos a vendedores distintos de la tienda oficial del fabricante a que inspeccionaran cuidadosamente sus dispositivos.
Mark Karpelès había afirmado anteriormente que algunos dispositivos Ledger tenían módulos de comunicación ocultos integrados y que estos dispositivos habían logrado superar los controles oficiales de autenticidad del fabricante.
Si se confirman las nuevas acusaciones, se está considerando la posibilidad de que el incidente sea un ataque más amplio a la cadena de suministro de hardware que afecte no solo a unos pocos dispositivos, sino también a los canales de venta físicos en toda Europa.
Sin embargo, en esta etapa, el alcance del ataque, el número de dispositivos afectados y los posibles autores no han sido verificados de forma independiente.
*Esto no constituye asesoramiento de inversión.
