Hacker vende info. de decenas de miles de usuarios de Ledger, Trezor y Keepkey

[VB1001]

Hacker vende información de decenas de miles de usuarios de Ledger, Tezor y Keepkey

El hacker que irrumpió en el foro de Ethereum.org supuestamente está vendiendo las bases de datos de las tres billeteras de hardware más populares: Ledger, Trezor y KeepKey.

Las tres bases de datos contienen el nombre, la dirección, el número de teléfono y el correo electrónico de más de 80,000 usuarios combinados, pero no contienen las contraseñas de las cuentas.

https://es.cointelegraph.com/news/hacker-sells-tens-of-thousands-of-ledger-tezor-and-keepkey-users-info

Hay que tomarlo con cautela por el "supuestamente" pero mejor cambiar las passwords de las cuentas, al menos hasta que no se pronuncien por parte de Ledger,Trezor y KeepKey, para ver como acaba esta noticia.

[Csmiami]

Ui, que casualidad. He creado este otro hilo hace nada sobre el tema en la zona de Hardware Wallets sobre lo mismo; pero al parecer ni Ledger ni Trezor se han visto afectadas (o eso han comunicado en sus cuentas de Twitter correspondientes). En principio, ninguna de esas 2 empresas utiliza Shopify, que es lo que aparentemente ha sido vulnerado

Traslado esta información al otro hilo si te parece.

Resulta que no se leer.... Ledger SI se ha visto afectada; aunque en principio han negado que los datos filtrados/hackeados les pertenezcan a ellos

[DdmrDdmr]

El uso principal que se le puede dar a la (supuesta) información hackeada sería sobre todo la de crear una campaña de phishing targetizada, a sabiendas que los usuarios son en efecto poseedores de hardware wallets. Claro que, al haber direcciones de domicilio, no es descartable algo más del estilo de dar un palo a algún poseedor, aunque esperemos que la técnica del "5 $ wrench" no sea la que se derive de la situación.

[tomahawk9]

Por si alguna persona de habla hispana sigue esta noticia, este es el último update por parte de "Under the Breach":


https://twitter.com/underthebreach/status/1264893076146982912

En pocas palabras: no hay certeza de que las base de datos filtradas por este hacker pertenezcan a Ledger o Trezor ya que partes de las DB no coinciden con las de estas empresas.

Ahora bien, los de Ledger más temprano dejaron un tweet en su cuenta oficial: https://twitter.com/Ledger/status/1264875816221114368

Dicen que posiblemente (falta confirmación) esta base de datos que el hacker filtró pertenece a una filtración "vieja" que contenía emails y dirección postal, por lo cual no afectaría a las wallets...Ojo: no especifican que tan vieja es esa base de datos con emails y direcciones postales.

[DdmrDdmr]

<…> Dicen que posiblemente (falta confirmación) esta base de datos que el hacker filtró pertenece a una filtración "vieja" que contenía emails y dirección postal, por lo cual no afectaría a las wallets...Ojo: no especifican que tan vieja es esa base de datos con emails y direcciones postales.

De finales del año 2016, según logró averiguar un usuario de Twitter (@l33tguy), que luego publicó el log de su conversación con el presunto hacker. Su pretexto, es que estaba vendiendo sus viejas bases de datos para monetizarlas. @l33tguy le da poca credibilidad en todo caso (tirando a nula).

Conversación: https://pastebin.com/raw/i9CfEaM4
Tweet: https://twitter.com/l33tguy/status/1264661534380191744

[Csmiami]

Pues finalmente Ledger ha confirmado que se trataba de un intento de estafa, que no ha salido bien. Podemos volver a dormir tranquilos sabiendo que no va a venir nadie a casa a robarnos las billeteras

[Darkuso]

Mientras mantengas tus priveta keys y tu seed bien resguardada, no pasara nada. Puede ser una estafa o que hubo un leak de informacion de usarios, de cualquier forma lo mas importante es mantener la informacion vital de cualquier wallet bien a salvo y segura, preferiblemente offline.

[DdmrDdmr]

<...>

El problema potencial de estas situaciones no es realmente relativo a la seguridad de los dispositivos en sí, ni de los activos que ayudan a proteger, sino respecto del potencial riesgo de extorsión, robo o atraco a personas que siendo poseedoras de harwdware wallets, pueden ser objeto de algún susto físico en busca de los activos.

No por poseer un hardware wallet se ha de suponer que la persona tiene criptoactivos de entidad, pero quizás perfilando con más datos (compras adicionales en un negocio) se puede llegar a priorizar una lista de targets por parte de algún conjunto criminal.

Lo paradójico es que a una gran parte del mundo (según regiones) se le supone que tiene ahorros en las entidades bancarias o afines, pero eso de ser tu propio banco puede dar a los criminales ideas, y el hecho de figurar en listas de tenedores de este tipo de dispositivo, es la base (hipotética) para ello.

[Artemis3]

Una vez mas la cartera física "hoja de papel" demuestra su independencia y superioridad respecto a unos artilugios creados por terceros que, inevitablemente recaban datos de sus usuarios.

Cuando escribes a mano 12 palabras en un papel, no hay una empresa espiándote. No es necesaria una transacción comercial para adquirir dicho papel y lápiz.

Lo irónico al usar esos dispositivos, es que también necesitas tener esa hoja. Entonces, tienes la hoja, tienes un password, y dependiendo del caso 2fa, etc.

Una hardware wallet es útil para cantidades pequeñas. Es mejor que usar un teléfono a una pc con windows u otro sistema inseguro. Pero versus la hoja de papel, es claramente inferior.

Me parece tonto usarlas para carteras en frio, es un desperdicio. En lugar de almacenar y proteger una pequeña hoja de papel, se almacena un artilugio Y una hoja de papel. Porque el artilugio puede dañarse guardado... (¿Han visto el tiempo de vida promedio que una memoria flash conserva sus datos?).

Pero lo mas importante es que sus datos personales no van a dar a ningún lado. ¿Y si un gobierno los presiona? Sin el "hacker" mas de uno ni sabría de esto.

Es un tema de dependencia a terceros. Uno de los puntos fundamentales con Bitcoin, es que se puede manejar el dinero sin depender de nadie, ni bancos, ni gobiernos ni empresas o grupos de ninguna índole.

[Bitcoinauta]

... unos artilugios creados por terceros que, inevitablemente recaban datos de sus usuarios.

También está la opción de no darle tus datos cuando compras una de estas wallets. Creo recordar que admiten pagos en criptomonedas, puedes usar un alias y poner como dirección de envío la de un amigo, vecino, empresa, apartado de correos...

[womanderful]

También está la opción de no darle tus datos cuando compras una de estas wallets. Creo recordar que admiten pagos en criptomonedas, puedes usar un alias y poner como dirección de envío la de un amigo, vecino, empresa, apartado de correos...

Pero igual tienes que andar preocupándote de actualizar el firmware. Y luego está el caso misterioso del menda que hizo una transacción y de repente apareció otra transacción de la nada y el tío perdió parte los fondos (https://bitcointalk.org/index.php?topic=5224683.0). Posiblemente un bug, pero ya tiene narices la historia.

Estos juguetes están bien para meterles el dinero que sueles tener en la cuenta corriente a la vista, pero para los ahorros de más entidad, las 24+1 palabritas son insuperables.

[th3nolo]

Lo mas preocúpate de esto son los ataques fishing que te pueden hacer, hace poco vi un hilo donde un usuario de twitter con una actualizacion "falsa" y una comprobacion de la semilla donde perdió todos sus fondos.