Un malware podía cambiar las direcciones de recepción de Ledger mostradas en la pantalla del ordenador

A principios de febrero de 2018 una prueba de concepto mostró que un malware en un ordenador podía cambiar la dirección de recepción que mostraban las aplicaciones de Chrome de Ledger. Según The Next Web, la dirección de recepción la generaba código JavaScript que se ejecutaba en el ordenador anfitrión, y un malware sin derechos de administrador podía sustituir ese código para que todos los depósitos futuros fueran al atacante. Cointelegraph informó de que más de un millón de usuarios de Ledger podían estar expuestos a este vector de ataque.

The Next Web atribuye los hallazgos a un informe de vulnerabilidad publicado en DocDroid, cuyos autores habían contactado con Ledger aproximadamente un mes antes. La propia publicación de Ledger dice que fueron unos investigadores quienes publicaron la demostración, mientras que Cointelegraph describió la divulgación como un informe publicado por Ledger el 3 de febrero de 2018. Ese día Ledger publicó en Twitter un aviso en el que recomendaba a los usuarios verificar siempre la dirección de recepción en la pantalla del dispositivo, con el botón «monitor» del diálogo de recepción.

En una entrada de blog fechada el 5 de febrero de 2018, Ledger afirma que no se trata de un fallo de seguridad de Ledger, que los usuarios no corren riesgo mientras verifiquen la nueva dirección de recepción en el dispositivo y que no tenía constancia de ningún usuario que hubiera perdido monedas de esta forma. Ledger dice que publicó una actualización de la aplicación de Chrome Ledger Wallet Bitcoin que pide a los usuarios verificar la dirección en el dispositivo, y que le seguirían las aplicaciones de ETH y XRP. Según The Next Web, Ledger dijo que el problema no puede resolverse de forma absoluta porque un malware siempre puede cambiar lo que muestra la pantalla de un ordenador, y lo describió como un problema de todas las billeteras de hardware.

Qué recomienda Ledger:

• Verifica cada dirección de recepción en la pantalla del dispositivo antes de compartirla.
• Considera la pantalla de la billetera de hardware como la única pantalla de confianza.
• Actualiza las aplicaciones del dispositivo a la última versión.