Este martes, un joven de 15 años del Reino Unido demostró que había hackeado el Ledger Nano S, una billetera de hardware de U$S100 cuyo fabricante afirma que ha vendido millones. En la publicación "Breaking the Ledger Security Model" en su blog personal, Saleem Rashid demostró un código de prueba de concepto que le permitió bloquear el Ledger Nano S. Las billeteras de hardware a menudo son recomendadas en la industria Bitcoin por su seguridad.

El código desarrollado por Rashid tiene apenas 300 bytes y hace que el dispositivo genere direcciones predeterminadas de cartera y contraseñas de recuperación conocidas por el atacante. Este podría ingresar esas contraseñas en una nueva billetera de hardware Ledger para recuperar las claves privadas que el antiguo dispositivo "backdooreado" tenía almacenada.

El fabricante de Ledger continúa refutando las afirmaciones de que sus dispositivos pueden ser hackeados. Rashid informó a Ledger en noviembre de 2017 y la empresa publicó algunos posts describiendo estos sucesos como "NO críticos" y dijo que estos posibles ataques "no pueden extraer las claves privadas ni la semilla".

Despues de 4 meses, Ahora Rashid refutó a la empresa y publicó en los medios sociales y en su blog personal el artículo donde todavía puede "extraer la clave privada raíz una vez que el usuario desbloquee el dispositivo" y utilizarla para provocar la manipulación de direcciones.

Ledger intentó reparar un total de tres vulnerabilidades de seguridad en su hardware este mes, incluyendo la identificada por Rashid. En un post del 20 de marzo en el que se describe el progreso de las actualizaciones de seguridad, Ledger dijo a los usuarios que estarían totalmente protegidos después de actualizar sus billeteras:

"El proceso de actualización verifica la integridad de su dispositivo y una actualización 1.4.1 correcta es la garantía de que su dispositivo no ha sido objeto de ningún ataque. No hay necesidad de tomar ninguna otra acción, su semilla/llaves privadas están a salvo."

Seguramente continuará...

Fuente: CoinTelegraph