ADVERTENCIA LEDGER PROBLEMA DE SEGURIDAD

[darbitmobilerecovery]

Bueno imagino que la mayoria ya lo vio pero por las dudas lo traigo aca, el moderador principal termos* pinneo una noticia sobre una falla de seguridad en algunos dispositivos y principalmente los revendidos por una compañia en particular.

Espero a alguien le sirva, o mejor dicho espero que no porque significaria que no estan alcanzados por este ""bug"".

Hilo principal.


PD: Lo posteo aca y no en la seccion especifica de wallets del local porque es algo muy importante y es preferible que la gente lo vea rapido, cualquier cosa mas adelante lo movemos.

[Hispo]

He leído la noticia más temprano en Twitter y la verdad es que es bastante grave. No solamente porque se trate de una billetera bastante famosa como son las de Ledger, sino porque el negocio que se dedicaba a la distribución era un partner relativamente verificado y validado por la propia Ledger para poder vender dispositivos de hardware wallet. He visto bastantes historias de terror en Twitter de personas perdiendo millones de dólares solamente porque decidieron comprar estas billeteras frías desde un distribuidor autorizado. Verdaderamente parece que este no es el año para las billeteras frías de bitcoin y de otros activos digitales. Tengan cuidado.

[Filicius]

PD: Lo posteo aca y no en la seccion especifica de wallets del local porque es algo muy importante y es preferible que la gente lo vea rapido, cualquier cosa mas adelante lo movemos.

De hecho hay un tema creado en dicha sección, Problemas con Ledger y Cryptobilis, pero tienes razón que la gravedad del caso recomienda que se publique aquí mejor que arriba.

Habréis visto el topic en en apartado de News que advierte sobre una nueva vulnerabilidad de las wallets de Ledger, pero por si no es el caso abro este hilo para compartirlo y que lo comentemos si queréis.

Por ahora está todo en fase de investigación, pero al parecer el revendedor "Criptobilis" ha debido manipular los dispositivos antes de venderlos, añadiéndoles un chip, con lo que las frases generadas o importadas en dichas wallets estarían comprometidas. Ya hay decenas de millones de dólares involucrados.

Parece que este proveedor opera principalmente en Asia, por lo que quizá no haya nada que temer para los visitantes de esta sección local. Pero habrá que estar atentos por si no se quedara solo en esto la historia.

Me ha parecido leer que se trata de wallets que se vendieron entre 2025 y 2026, por lo que en principio quienes tengan dispositivos más antiguos no están en riesgo inminente. Yo hace tiempo que había leído que no era recomendable comprarlas por Amazon porque podían venir de terceros vendedores y significaba añadir un vector de riesgo innecesario, y que se comprara siempre de la web principal de Ledger, pero como bien comenta Hispo en este caso parece que el fiasco ha venido por parte de un distribuidor autorizado.

[danadc]

Hace tiempo tambien habia preguntado donde comprar la Ledger,y lo hice porque tenia miedo de que algo asi pasara y en los sitios que son autorizados es donde es la manera correcta de haerlo.

no he comprando aun mi ledger ni pra enviarla a mi familia en Venezuela y no soy experta en seguridad de estas cosas de criptomonedas en billeteras,pero si quisiera comprar ahorita una billetera Ledger,con lo que esta pasando me lo pensaria de nuevo,he buiscado algunos tutoriales en youtube y hay algunas billeteras que son algo mas confiables si son de catergoria gratuitas.como.

TRUSTWALLET,

me gusta el sistema de las billeteras frias como las de ETH para los tokens donde se manejan mediante sus llaves privadas que hasta ahora no he visto casos donde las hayan hakeado pero tambien son tokens y eso no tiene mucho valor,.


comparando para la epoca de los tokens y las icos no hubo problemas asi con las billeteras frias,son muy seguras.

[mrpcrypto26]

Entiendo la preocupación, sobre todo tratándose de un distribuidor autorizado. Pero conviene separar las hipótesis sobre dispositivos manipulados de lo que finalmente confirme la investigación: no daría todavía por demostrado lo del chip añadido ni que afecte a todos los Ledger.

Sobre Trust Wallet, que sea gratuita no significa que sea más segura. Utilizada normalmente en un móvil conectado a Internet es una hot wallet; una hardware wallet busca mantener las claves aisladas del teléfono o del ordenador. Son modelos de seguridad distintos.

Una precaución básica es no aceptar nunca una frase de recuperación que venga preparada con el dispositivo ni introducirla en una web por una supuesta actualización. Eso reduce riesgos comunes, aunque no permite descartar por sí solo una manipulación del hardware.

¿Hay alguna actualización oficial que concrete los dispositivos afectados y la causa? Sería útil añadirla aquí para evitar que se mezclen hechos e hipótesis.

[Filicius]

Efectivamente y de hecho yo no he oído hablar de Trust Wallet demasiado bien. Como solución para llevar un poco de dinero en Bitcoin encima puede estar bien, pero nunca confiaría mis ahorros a una cartera de estas características.

Por mucho que no sean infalibles, creo que sigue rentando gastar algo de dinero en una hardware wallet. O mejor aún, crear una paper wallet con Electrum desde un ordenador sin acceso a internet, pero es algo más complicado.

Yo de momento no he visto ninguna actualización oficial con lo que comentas, mrpcrypto26, al menos en su página web, no sigo sus redes sociales.

[darbitmobilerecovery]

He leído la noticia más temprano en Twitter y la verdad es que es bastante grave. No solamente porque se trate de una billetera bastante famosa como son las de Ledger, sino porque el negocio que se dedicaba a la distribución era un partner relativamente verificado y validado por la propia Ledger para poder vender dispositivos de hardware wallet. He visto bastantes historias de terror en Twitter de personas perdiendo millones de dólares solamente porque decidieron comprar estas billeteras frías desde un distribuidor autorizado. Verdaderamente parece que este no es el año para las billeteras frías de bitcoin y de otros activos digitales. Tengan cuidado.

El principal problema es que venimos recibiendo golpes y golpes en distintos eslabones de la cadena de la autocustodia que hacen dudar a cualquiera y hacen tambalear al sistema por desconfianza en los intermediarios de la indole que sean.

Hace unas semanas fue el tema de la falta de aleatoriedad en la creacion de semillas en una conocida marca, ahora es desde un lado mas de hardware y un manoseo de parte de un distruibidor pero que hace mal nombre a todos, mañana que va a ser?

La verdad es que la mierda viene subiendo y podriamos estar ante graves problemas si termina de impactar sobre alguna de las dos grandes o sobre alguna software wallet de las mas usadas y conocidas.

[rubencb28]

Todo esto demuestra que aunque el Bitcoin es segura la autocustodia bien hecha no es para todo el mundo. Una billetera fría comprada directamente al fabricante y actualizado el firmware es relativamente segura pero al final dependes de un tercero en cierta medida.

Recomiendo para una billetera HD https://clavebit.com/billeterahd.html y para seguridad y privacidad descargar de https://github.com/rubencb27/clavebit.com/blob/main/billeterahd.html y correr desde un equipo seguro en local sin internet, anotar todo y reiniciar el sistema.

Con esto o una multisig 2 de 3 trezor, bitbox y clavebit hecha y controlada desde sparrow es suficiente.

[Artemis3]

Llevo años advirtiendo que esos dispositivos en lugar de ayudar, aumentan los vectores de riesgo especialmente para una wallet fría.

Lo mejor sigue siendo escribir a mano las frases semillas en un papel y que nada electrónico las vea.


Lo que hizo este "distribuidor autorizado" fue espiar lo que se mostraba por la pantalla (las frases semilla al crear una wallet) y enviarlo por datos móvil. Por supuesto que fue una operación de crimen organizado preparada con tiempo. ¿Cuantas mas faltarán por descubrir?

[Porfirii]

Llevo años advirtiendo que esos dispositivos en lugar de ayudar, aumentan los vectores de riesgo especialmente para una wallet fría.

Lo mejor sigue siendo escribir a mano las frases semillas en un papel y que nada electrónico las vea.

-snip-

El problema del método que propones es que en el momento que quieres usar las monedas tienes que introducir la frase semilla en un ordenador. Para una inversión que no se va a tocar durante años probablemente el papel (o metal) sea la opción más segura, pero para quienes realizan transacciones de vez en cuando es mucho más cómodo conectar el "pincho" y funcionar. Unido a la promesa de que la clave nunca toca el ordenador, el éxito para las fabricantes de hw estaba garantizado, por mucho que sus productos no sean infalibles.

Estos eventos lo que hacen es que, si en algún momento le pasa algo a tus ahorros en una hw, no podrás decir que no te avisaron. Pero la mayoría los seguirán usando igual, por más que sigamos sumando años de advertencias.

[darbitmobilerecovery]

Llevo años advirtiendo que esos dispositivos en lugar de ayudar, aumentan los vectores de riesgo especialmente para una wallet fría.

Lo mejor sigue siendo escribir a mano las frases semillas en un papel y que nada electrónico las vea.

-snip-

El problema del método que propones es que en el momento que quieres usar las monedas tienes que introducir la frase semilla en un ordenador. Para una inversión que no se va a tocar durante años probablemente el papel (o metal) sea la opción más segura, pero para quienes realizan transacciones de vez en cuando es mucho más cómodo conectar el "pincho" y funcionar. Unido a la promesa de que la clave nunca toca el ordenador, el éxito para las fabricantes de hw estaba garantizado, por mucho que sus productos no sean infalibles.

Estos eventos lo que hacen es que, si en algún momento le pasa algo a tus ahorros en una hw, no podrás decir que no te avisaron. Pero la mayoría los seguirán usando igual, por más que sigamos sumando años de advertencias.

Esto es como todo en la vida, todo tiene sus pro y sus contras, y digamos que como siempre se termina formando esa especie de triangulo en el cual solo puedes tener dos vertices y no todos.

Pongamosle que en este caso seria practicidad-seguridad-conveniencia, basicamente siempre podes tener dos como maximo pero nunca las 3 al maximo. Si nos vamos full seguridad con el papel o cualquier medio del estilo se nos vuelve poco practico y 0 conveniente, si tenemos una wallet fria comun, mejora en las dos pero baja un poco su seguridad, y asi con todo.

Queda en uno elegir que para que y cuando, igualmente considero que se pueden tener varias y asi lograr una mayor eficiencia en todo y no tener todos los huevos en una canasta.

[danadc]

Llevo años advirtiendo que esos dispositivos en lugar de ayudar, aumentan los vectores de riesgo especialmente para una wallet fría.

Lo mejor sigue siendo escribir a mano las frases semillas en un papel y que nada electrónico las vea.

-snip-

El problema del método que propones es que en el momento que quieres usar las monedas tienes que introducir la frase semilla en un ordenador. Para una inversión que no se va a tocar durante años probablemente el papel (o metal) sea la opción más segura, pero para quienes realizan transacciones de vez en cuando es mucho más cómodo conectar el "pincho" y funcionar. Unido a la promesa de que la clave nunca toca el ordenador, el éxito para las fabricantes de hw estaba garantizado, por mucho que sus productos no sean infalibles.

Estos eventos lo que hacen es que, si en algún momento le pasa algo a tus ahorros en una hw, no podrás decir que no te avisaron. Pero la mayoría los seguirán usando igual, por más que sigamos sumando años de advertencias.

Mira que tambien estoy de acuerdo con lo que dicen,porque no hay anda mas seguro que lo que se escribe en papel y se guarda muy bien,tiene sus riesgos de ser perdido, quemado,etc, pero dejarlo en dispositivos que se tenga acceso a Internet es vulnerable.

yo tomo como precaucion siempre anotar mis llaves privadas y frases,pero veo la Ledger como viajar en avion,es seguro pero pueden ocurrir accidentes por errores humanos.

pero tampoco podemos desligarnos de la tecnologia y de la seguridad que en esos dispositivos nos pueden brindar,ya hicieron estragos con esto,ya saben que pueden lograr otro ataque.


lo malo es el espionaje y es que la plata es amiga de todos y todos quieren tener.

[Hispo]

Llevo años advirtiendo que esos dispositivos en lugar de ayudar, aumentan los vectores de riesgo especialmente para una wallet fría.

Lo mejor sigue siendo escribir a mano las frases semillas en un papel y que nada electrónico las vea.


Lo que hizo este "distribuidor autorizado" fue espiar lo que se mostraba por la pantalla (las frases semilla al crear una wallet) y enviarlo por datos móvil. Por supuesto que fue una operación de crimen organizado preparada con tiempo. ¿Cuantas mas faltarán por descubrir?

Espero que no hayan muchas que aún estén latentes en otros tipos de dispositivos (modelos y compañias).

Luego de todo lo acontecido estoy considerando el utilizar una computadora, quitarle la tarjeta de red e instalarle el electrum para manejar direcciones de forma fria.

Puede que esté sea el peor año para las compañías de billeteras frías que he visto... La filtración de direcciones de clientes por partes de Trezor y Ledger se ven bastante superados con lo que ha pasado con Coldcard y con Ledger, pues han conllevado a la perdida de fondos de forma masiva...

[onlytwenyone]

De hecho, aparte de que los dispositivos Ledger son de código cerrado, lo cual sería una razón clara para no usarlo. Por alguna razón, todos los dispositivos Ledger se envían sin tamper evident, es decir, ese holograma que cambia si lo quitas, lo que haría mucho más difícil la manipulación por parte de los revendedores.

[Artemis3]

Con las iniciativas de "Red Team" todo lo que está relacionado a Bitcoin está siendo atacado con IA, cuando descubren algo avisan a la compañía y les dan unos 3 meses para arreglar el problema. Pero así como el Red Team lo hace, los amigos de lo ajeno también... Así que si, este año ha sido "especial".

La IA hace el trabajo que antes tomaba meses o años y lo reduce a días u horas. Todo está cambiando profundamente por eso. El propio Linux (nucleo) este año ha tenido cientos de arreglos de seguridad porque están usando justamente IA para encontrar fallas. Ya no se puede esperar, si no lo haces tu, lo hacen "ellos"...

Todo el mundo de la informática está atravesando un paso forzoso relacionado con la IA y se está viendo de todo. Es un choque como cuando apareció el internet. Y en realidad la informática toca la vida de todos así que esto es apenas el comienzo.

[darbitmobilerecovery]

Con las iniciativas de "Red Team" todo lo que está relacionado a Bitcoin está siendo atacado con IA, cuando descubren algo avisan a la compañía y les dan unos 3 meses para arreglar el problema. Pero así como el Red Team lo hace, los amigos de lo ajeno también... Así que si, este año ha sido "especial".

La IA hace el trabajo que antes tomaba meses o años y lo reduce a días u horas. Todo está cambiando profundamente por eso. El propio Linux (nucleo) este año ha tenido cientos de arreglos de seguridad porque están usando justamente IA para encontrar fallas. Ya no se puede esperar, si no lo haces tu, lo hacen "ellos"...

Todo el mundo de la informática está atravesando un paso forzoso relacionado con la IA y se está viendo de todo. Es un choque como cuando apareció el internet. Y en realidad la informática toca la vida de todos así que esto es apenas el comienzo.

Adhiero plenamente a lo que decis y creo que el hecho que el propio linux que siempre fue considerado el pinaculo del estar seguro haya sido ""vulnerado"" y le encontraron algun que otro resquicio por donde entrarle hace que automaticamente todo el resto de cosas programables esten en un estado aun mas riesgoso.

La IA vino a cambiar muchas cosas y esta es una de ellas, creo yo igualmente que en algun momento se va a estabilizar en cuanto los sistemas ya sean todos IA proved o directamente codeados por IA y super atacados por otras IA y ese sea el nuevo estandar de la industria, pero en el mientras tanto va a estar duro.

De hecho, aparte de que los dispositivos Ledger son de código cerrado, lo cual sería una razón clara para no usarlo. Por alguna razón, todos los dispositivos Ledger se envían sin tamper evident, es decir, ese holograma que cambia si lo quitas, lo que haría mucho más difícil la manipulación por parte de los revendedores.

Si eso es una cosa que siempre fue un * respecto a loa marca, pero la realidad es que no hay demasiado por fuera de ellos.

[seoincorporation]

Pero aquí ya no me quedó claro si todas las ledger fueron vulneradas o solo las que vende 1 proveedor, por lo que había leido de la publicación de Theymos eran solo las que ofrecía un proveedor, sin embargo no deja de ser algo bastante grave y digno de preocupación.

Afortunadamente yo no uso este tipo de carteras, así que no me afecta, pero se que hay mucha gente en la comunidad que si las usa, esperemos que puedan mover su BTC antes de que sea tarde.

[Porfirii]

Pero aquí ya no me quedó claro si todas las ledger fueron vulneradas o solo las que vende 1 proveedor, por lo que había leido de la publicación de Theymos eran solo las que ofrecía un proveedor, sin embargo no deja de ser algo bastante grave y digno de preocupación.

Afortunadamente yo no uso este tipo de carteras, así que no me afecta, pero se que hay mucha gente en la comunidad que si las usa, esperemos que puedan mover su BTC antes de que sea tarde.

Por lo que parece se trata tan solo de las carteras que fueron "trampeadas" por el proveedor Cryptobilis, al menos que yo sepa no ha habido novedades después de eso. En caso de que todas las ledger fueran vulnerables sería una noticia demoledora para la marca y para muchos usuarios del foro, me atrevería a añadir. Pero ojo, que tiempo al tiempo...

[danadc]

Por lo que parece se trata tan solo de las carteras que fueron "trampeadas" por el proveedor Cryptobilis, al menos que yo sepa no ha habido novedades después de eso. En caso de que todas las ledger fueran vulnerables sería una noticia demoledora para la marca y para muchos usuarios del foro, me atrevería a añadir. Pero ojo, que tiempo al tiempo...

Lo que pasa es que ya nos quedo en nuestra mente el gusanilo de la desconfianza y eso es algo que no me gusta,yo tengo ganas de comprar mi ledger y una de las cosas que me imaginaba que iban a pasar era esa, la de criptobilis,asi como criptobilis muchas mas que son proveedores pudieron haber hcho lo mismo, ledger era lo mas seguro en billeteras y ya fue vulnerada.

lo delicado es que las billeteras guardan nuestra plata,esa que tanto nos cuenta conseguir trabajando, ahorrando,teniendo negocios,esfuerzos eso es lo que implica,y que de un momento a otro se vaya o nos blanqueen y que la empresa no responda,eso si es para volverse algo loco.

[Porfirii]

Por lo que parece se trata tan solo de las carteras que fueron "trampeadas" por el proveedor Cryptobilis, al menos que yo sepa no ha habido novedades después de eso. En caso de que todas las ledger fueran vulnerables sería una noticia demoledora para la marca y para muchos usuarios del foro, me atrevería a añadir. Pero ojo, que tiempo al tiempo...

Lo que pasa es que ya nos quedo en nuestra mente el gusanilo de la desconfianza y eso es algo que no me gusta,yo tengo ganas de comprar mi ledger y una de las cosas que me imaginaba que iban a pasar era esa, la de criptobilis,asi como criptobilis muchas mas que son proveedores pudieron haber hcho lo mismo, ledger era lo mas seguro en billeteras y ya fue vulnerada.

lo delicado es que las billeteras guardan nuestra plata,esa que tanto nos cuenta conseguir trabajando, ahorrando,teniendo negocios,esfuerzos eso es lo que implica,y que de un momento a otro se vaya o nos blanqueen y que la empresa no responda,eso si es para volverse algo loco.

Sí pero si nos quedamos con lo positivo, estas notician sirven para que seamos conscientes de que por muy seguras que nos las han vendido, no son infalibles y no se debería confiar en ellas ciegamente. Supongo que la mejor estrategia sería una paper wallet creada en un ordenador con airgap (que no airbag) en la que guardar los ahorros que no se piensan tocar en años, una hw para una cantidad intermedia, que permita afrontar gastos puntuales sin necesidad de tocar la otra "cuenta ahorro", y por último Apps en el móvil para pequeñas cantidades del día a día.

La probabilidad de pérdida, de este modo, iría de la mano de la comodidad de uso y, más importante, de lo dispuestos que estaríamos de perder las distintas cantidades.