Ir al contenido principal
WalletInsights
CRYPTO SECURITY

Buscar...

Búsquedas populares
Enlaces rápidos
Todas las reseñas
Comparar billeteras
Buscador de Wallets
Guías y tutoriales

Ataque a la cadena de suministro de Ledger Connect Kit en npm

LedgerAlta

A quién afecta

Los usuarios de dApps que cargaron la biblioteca comprometida, con cualquier billetera, podían perder sus fondos al aprobar transacciones maliciosas durante un intervalo de menos de dos horas. Según Ledger, los dispositivos Ledger y Ledger Live no se vieron comprometidos.

Qué pasó

El 14 de diciembre de 2023 se publicaron en npm las versiones maliciosas 1.1.5, 1.1.6 y 1.1.7 de Ledger Connect Kit, una biblioteca JavaScript que los sitios web utilizan para conectarse a billeteras. Ledger afirma que un antiguo empleado fue víctima de phishing y que el atacante utilizó un token de sesión para eludir la autenticación de dos factores en la cuenta de npm de esa persona, que no se había revocado cuando el empleado se marchó. Ledger dice que el atacante nunca tuvo acceso a la infraestructura de Ledger.

El código inyectado vaciaba los fondos de usuarios de dApps de terceros que cargaban la biblioteca, pidiéndoles que firmaran transacciones maliciosas; el informe de Ledger menciona a Angel Drainer. Según The Block, proyectos como Kyber y Revoke.cash desactivaron sus interfaces, y MetaMask dijo que se vieron afectados usuarios de todas las billeteras, no solo los propietarios de Ledger.

Ledger dice que desplegó la corrección en los 40 minutos siguientes a tener conocimiento del problema, que el archivo malicioso siguió accesible durante unas cinco horas debido a la caché de la CDN y que los fondos se vaciaron durante menos de dos horas. Tether congeló los USDT del atacante y WalletConnect desactivó el proyecto utilizado en el vaciado. Ledger afirma que el exploit no afectó al hardware de Ledger ni a Ledger Live.

Qué recomienda Ledger:

  • Comprueba cada transacción en la pantalla del dispositivo antes de aprobarla; lo que muestra el dispositivo es lo que firmas.
  • No apruebes nunca una transacción que no hayas iniciado tú.
BlockchainToken

Un token es un activo digital en una blockchain que representa valor, propiedad, utilidad o derechos de acceso. Ejemplos incluyen tokens ERC-20 en Ethereum.

Read full definition
SecurityWallet drainer

Un wallet drainer es un kit de phishing que engaña al usuario para que firme aprobaciones o transferencias que vacían su billetera.

Read full definition
BlockchainStablecoin

Un stablecoin es una criptomoneda diseñada para mantener un valor estable, típicamente vinculado a una moneda fiduciaria como el dólar estadounidense o respaldado por reservas.

DefiWalletConnect

WalletConnect es un protocolo que permite la comunicación segura entre aplicaciones descentralizadas (dApps) y billeteras móviles a través de escaneo de códigos QR o enlaces profundos.

Read full definition
WalletLedger Live

Ledger Live es una aplicación de software que gestiona los activos de criptomonedas e interactúa con las billeteras hardware de Ledger para transacciones seguras y gestión de portafolios.

Read full definition

Fuentes

Información e investigaciones independientes con las que se verificó esta entrada.

  1. Ledger — Security Incident Report (20 Dec 2023)
  2. Ledger — A letter from Ledger Chairman & CEO Pascal Gauthier regarding Ledger Connect Kit exploit (14 Dec 2023)
  3. CoinDesk — Ledger exploit drained $484K, upended DeFi (14 Dec 2023)
  4. The Block — Security issue in Ledger ConnectKit library affects multiple decentralized applications (14 Dec 2023)
  5. ForkLog — Ledger puts estimated user losses from recent breach at about $600,000 (20 Dec 2023)

Más información

Guías para protegerse de este tipo de incidente (Cadena de suministro) y los términos del glosario que lo describen.

Ataques en la cadena de suministro en billeteras de hardware: Cómo verificar tu dispositivo

Empaque manipulado, firmware modificado, dispositivos falsos — cómo verificar que tu billetera de hardware sea genuina y no haya sido comprometida.

Leer guía

Cómo verificar que tu cartera de hardware es genuina

Una cartera de hardware manipulada o falsa puede robar tus fondos. Usa esta checklist para confirmar que es genuina antes de confiarle cripto.

Leer guía

Ataque a la cadena de suministro

Un ataque a la cadena de suministro apunta a vulnerabilidades en el proceso de producción o distribución de hardware o software criptográfico, comprometiendo dispositivos o sistemas antes de que lleguen al usuario.

Diseño a Prueba de Manipulación

El Diseño a Prueba de Manipulación se refiere a las características de los dispositivos hardware que muestran visiblemente si han sido alterados, asegurando la integridad y seguridad de los activos o datos en blockchain.

Citar esta entrada

WalletInsights. «Ataque a la cadena de suministro de Ledger Connect Kit en npm». Registro de incidentes de seguridad en hardware wallets. Última verificación: 3 de noviembre de 2026. https://walletinsights.io/es/security-incidents/ledger-connect-kit-supply-chain-attack-2023/

Correcciones y derecho de réplica

Fabricantes, investigadores y lectores pueden enviar correcciones o comunicados a security@walletinsights.io. Los contrastamos con las fuentes, actualizamos la entrada y anotamos el cambio en su registro.

Todos los incidentes de Ledger

Todos los incidentesTodos los incidentes de Ledger