El 13 de octubre, Pascal Gauthier, consejero delegado de Ledger, anunció que la empresa revisaría los controles de venta directa y de revendedores, la cadena de custodia y la detección de manipulaciones. También pidió colaboración a investigadores y otros proveedores. Ledger confirmó ese mismo día un implante no autorizado en un dispositivo vendido por CryptoBilis, un distribuidor del sudeste asiático. (Anuncio de Pascal Gauthier; actualización de Ledger sobre el incidente)
Qué confirmó Ledger sobre el implante
Según Ledger, el componente separado detectaba la pantalla de configuración en la que aparecía la frase de recuperación de 24 palabras, la descodificaba y transmitía las palabras por LTE mediante una eSIM provisionada. La empresa dijo que el componente no modificaba el Secure Element ni el sistema operativo, y que tampoco alteraba las transacciones o las firmas.
En su actualización del 13 de octubre, Ledger dijo que todas las pérdidas que había confirmado en relación con el incidente estaban vinculadas a dispositivos vendidos por CryptoBilis. La empresa también indicó que CryptoBilis había detenido la venta de sus dispositivos.
Qué debe hacer quien compró en CryptoBilis
Ledger indicó que los compradores no deben inicializar un dispositivo que aún no hayan usado. Si ya lo configuraron, deben trasladar cuanto antes sus activos a un dispositivo de firma nuevo, asociado a una frase de recuperación nueva. No hay que introducir ni restaurar una frase de recuperación en un dispositivo de CryptoBilis.
Antes de enviar un dispositivo sospechoso, Ledger aconseja hablar con Ledger Support o con la policía local. Si se han perdido fondos, la empresa pide coordinarse con las autoridades antes de abrir el dispositivo.
