La app Monero de Ledger exponía el estado Keccak: un host comprometido podía sacar claves

El boletín de seguridad LSB-022 de Ledger describe un fallo en la aplicación Monero para los dispositivos Ledger Nano. Según Ledger, el manejador del comando INS_GET_CHACHA8_PREKEY devolvía el estado interno completo de Keccak, de 200 bytes, en lugar de una preclave derivada. Como la permutación Keccak-f es pública e invertible, Ledger afirma que cualquiera que pudiera enviar este comando al dispositivo podía remontarse desde ese estado hasta la clave privada de visualización y la clave privada de gasto. La clave de gasto es la que autoriza los gastos desde una billetera de Monero.

Ledger enumera las condiciones para la explotación: tener instalada una versión vulnerable de la aplicación Monero, el dispositivo desbloqueado, la aplicación abierta y el ordenador anfitrión comprometido de forma que pueda enviar el comando malicioso. El comando no requería ninguna confirmación en el dispositivo. Ledger afirma que estos requisitos previos limitan considerablemente la explotabilidad práctica del ataque. Se trata de un fallo distinto de la extracción de la clave de gasto de Monero de 2020 (CVE-2020-6861, corregida en la aplicación 1.5.1), que aprovechaba el protocolo de firma de transacciones; LSB-022 afecta a otro comando de la rama 2.x de la aplicación.

Ledger afirma que la versión 2.1.4 corrige el problema: la preclave se deriva ahora con SHAKE256 y una etiqueta de separación de dominio, solo se usa como entrada la clave privada de visualización en lugar de ambas claves privadas, y los búferes intermedios sensibles se borran después de usarse. El registro de cambios público de la aplicación describe la 2.1.4 como una corrección de la respuesta de la preclave ChaCha8, que ahora devuelve una salida SHAKE-256 determinista de 200 bytes.

Según el boletín, el fallo se detectó durante una revisión de seguridad interna el 16 de marzo de 2026, la corrección se desarrolló el 19 de marzo y la versión 2.1.4 se publicó el 20 de marzo (el registro de cambios de la aplicación fecha la 2.1.4 el 19 de marzo). La corrección se publicó en el repositorio de código abierto el 3 de junio y el boletín, el 4 de junio de 2026.

Qué recomienda Ledger:

• Actualiza la aplicación Monero a la versión 2.1.4 o posterior.