C??mo un adolescente logr?? hackear el dispositivo considerado m??s seguro para almacenar criptomonedas

De los m??todos que existen para guardar criptomonedas, el llamado almacenamiento en fr??o (que usa dispositivos f??sicos que no est??n conectados a internet) est?? considerado como el m??s seguro.

Pero un adolescente brit??nico de 15 a??os tiene algo que decir al respecto.

El joven, Saleem Rashid, public?? en su blog que consigui?? hackear el Ledger Nano S, un modelo de monedero USB del que se vendieron millones de unidades en todo el mundo.

Los dispositivos de almacenamiento en fr??o permiten guardar criptomonedas como Bitcoin, Ethereum o Litecoin de forma que solo se puede acceder a ellas con una clave que ??nicamente deber??a conocer su propietario.

El c??digo que escribi?? Rashid permitir??a a un atacante vaciar todos los fondosque se almacenan en uno de estos aparatos sin conocer la contrase??a.

Ledger, la empresa que lo fabrica, dijo que el problema ya est?? solucionadogracias a una actualizaci??n.

Se cree que el fallo afecta tambi??n a otro modelo, el Nano Blue, para el que la actualizaci??n que solucionar??a el problema no estar?? disponible “hasta dentro de varias semanas”, seg??n confirm?? al medio Quartz el responsable de seguridad de Ledger, Charles Guillemet.

El ataque programado por Rashid est?? dirigido a los sistemas internos del dispositivo. Uno de ellos, el que se encarga de controlar la peque??a pantalla del aparato y las funciones USB, no distingue entre el firmware original (el c??digo que hace funcionar al dispositivo) y el que pueda crear un tercero.

Un problema importante descubierto por el adolescente es que el atacante tendr??a que tener acceso f??sico al dispositivo antes de que este llegase a manos de la v??ctima. Por ejemplo, compr??ndolo, manipul??ndolo y vendi??ndolo en alg??n portal de internet.

En su blog, Rashid dijo que contact?? con Ledger “hace unos meses” y que les mand?? el c??digo que hab??a creado. Asegur?? que no recibi?? ninguna recompensa por ello.

Dijo que decidi?? publicar el problema de seguridad despu??s de que el CEO de Ledger, Eric Larcheveque, hiciese comentarios “llenos de imprecisiones t??cnicas” sobre ello en Reddit.

“Como resultado, me preocup?? que esta vulnerabilidad no fuese bien explicada a los clientes”, escribi?? Rashid.

En sus comentarios en Reddit, Larcheveque dijo que el problema de seguridad hab??a sido “exagerado enormemente”.

“Aunque es factible, esta prueba de concepto no es desde luego de una severidad cr??tica, y nunca ha sido demostrada“, escribi??.

El CEO de Ledger acus?? al adolescente de haberse “enfadado visiblemente” cuando la empresa no present?? la soluci??n como si fuera una “actualizaci??n de seguridad cr??tica”, y dijo que su decisi??n de hacer p??blico el problema “gener?? mucho p??nico”.

“Es muy dif??cil proteger cualquier dispositivo de un atacante que tiene acceso f??sico al mismo. Por ello es tan importante tener fabricantes, comerciantes y servicios de reparaci??n confiables“, coment?? Craig Young, un investigador de la empresa de seguridad Tripwire.

“En este caso particular, se descubri?? que cualquiera con acceso f??sico al monedero USB podr??a modificarlo para tener acceso a los fondos. Eso significa que alguien que vendiese el aparato podr??a despu??s robar los fondos que se almacenen en ??l”.

“Afortunadamente para los propietarios de un dispositivo Ledger, la compa????a fue debidamente informada del problema y se minimiz?? el riesgo para los usuarios finales”, afirm?? Young.

Hace unas semanas, Ledger confirm?? que otro fallo permit??a que sus monederos pudieran sufrir otro tipo de ataque en el que sus usuarios pod??an ser enga??ados para mandar criptomonedas a hackers sin saberlo.