Ledger Live mostraba como recibidos pagos de Bitcoin RBF cancelados (BigSpender)

El 2 de julio de 2020 la empresa de billeteras ZenGo publicó una investigación, a la que llamó BigSpender, sobre cómo algunas billeteras de Bitcoin gestionan las transacciones Replace-By-Fee (RBF). Según SiliconANGLE y Decrypt, Ledger Live, Edge y Breadwallet estaban afectadas. El boletín LSB-012 de Ledger indica que Ledger Live aumentaba el saldo del usuario en cuanto se recibía una transacción entrante sin confirmar y no lo reducía cuando esa transacción se cancelaba.

Según Ledger, un atacante podía enviar una transacción de alto valor con comisiones mínimas y después cancelarla, de modo que la víctima creyera que el pago había llegado; el boletín añade que Send Max podía quedar bloqueado cuando el saldo mostrado superaba el real. SiliconANGLE describe tres formas: un doble gasto básico, una variante de amplificación en la que pagos cancelados repetidos inflan el saldo y una variante de denegación de servicio. Las billeteras de hardware de Ledger no estaban afectadas; el CTO de Ledger, Charles Guillemet, dijo a Decrypt que el hardware no se veía afectado por este fallo de la interfaz de usuario y lo calificó de truco más que de vulnerabilidad.

LSB-012 atribuye el hallazgo a Tal Be’ery y Oded Leiba, de ZenGo, que lo comunicaron a través del programa de recompensas por errores de Ledger, e indica que el problema está corregido a partir de Ledger Live 2.7.0. Decrypt informó el día de la divulgación de que Ledger solo había corregido la variante amplificada en la versión 2.6 y de que otras variantes aún no estaban corregidas; Guillemet dijo que una actualización añadiría un aviso siempre que una transacción entrante estuviera sin confirmar. ZenGo avisó a los fabricantes unos 90 días antes de la publicación.

Qué recomienda Ledger:

• Actualiza a Ledger Live 2.7.0 o posterior.
• Comprueba las transacciones entrantes sospechosas en un explorador de bloques, que marca las transacciones sin confirmar.