El SDK de Tangem para Android ignoraba la comprobación offline de autenticidad de la tarjeta en el primer escaneo
A quién afecta
Los usuarios de Android de la aplicación de Tangem anterior a 5.18.3 podían ver aceptado el primer escaneo de una tarjeta aunque fallara la comprobación offline de autenticidad. Tangem afirma que esto no podía explotarse en escenarios reales.
Qué pasó
En las notas de la versión 5.18.3 de la aplicación de Tangem para Android, fechadas el 28 de noviembre de 2024, Tangem afirma que se identificó y corrigió en el SDK de Tangem para Android un fallo en la lógica de la atestación offline de la billetera (la comprobación de autenticidad). Según Tangem, el fallo hacía que se ignoraran los resultados de la verificación durante el primer escaneo de una tarjeta.
El problema se publicó como CVE-2025-27839 el 7 de marzo de 2025. El registro describe un fallo lógico en operations/attestation/AttestationTask.kt del SDK de Tangem para Android anterior a 5.18.3 que hace que se descarten los resultados de la verificación durante el primer escaneo de una tarjeta. Clasifica la debilidad como CWE-1025 (comparación con factores incorrectos) y le asigna una puntuación base CVSS 3.1 de 3,2 (baja). El propio registro CVE indica que la explotación podría no haber sido posible.
Las notas de la versión de Tangem dicen que la probabilidad de explotación era imposible de materializar en escenarios reales y que la corrección refuerza la seguridad. El commit de GitHub y la etiqueta de versión citados en el registro CVE ya no se encuentran en el repositorio público tangem-sdk-android.
Fuentes
Información e investigaciones independientes con las que se verificó esta entrada.
Más información
Guías para protegerse de este tipo de incidente (Vulnerabilidad de software) y los términos del glosario que lo describen.
Cómo Proteger Tu Cripto de los Hackers
Pasos prácticos para proteger tu criptomoneda de hackers, malware, fraudes y ataques de ingeniería social.
Leer guíaCómo Enviar Cripto de Forma Segura
Enviar cripto puede dar miedo — una dirección incorrecta y los fondos desaparecen para siempre. Sigue esta guía para enviar de forma segura.
Leer guíaMalware
El malware es software malicioso que roba o desvía criptomonedas, por ejemplo registrando pulsaciones, cambiando direcciones copiadas o leyendo archivos de billeteras.
Blind Signing
Blind signing es el proceso de firmar una transacción sin ver su contenido, típicamente utilizado en billeteras de hardware para una seguridad mejorada.
Citar esta entrada
WalletInsights. «El SDK de Tangem para Android ignoraba la comprobación offline de autenticidad de la tarjeta en el primer escaneo». Registro de incidentes de seguridad en hardware wallets. Última verificación: 4 de noviembre de 2026. https://walletinsights.io/es/security-incidents/tangem-android-sdk-attestation-first-scan-2024/
Correcciones y derecho de réplica
Fabricantes, investigadores y lectores pueden enviar correcciones o comunicados a security@walletinsights.io. Los contrastamos con las fuentes, actualizamos la entrada y anotamos el cambio en su registro.