La app de Tangem registraba claves privadas de frases semilla que se enviaban al soporte

El 29 de diciembre de 2024 el usuario de Reddit u/areklanga afirmó que las claves privadas de usuarios de Tangem se encontraban en historiales de correos de soporte accesibles para el personal de Tangem. Tangem reconoció el problema el 30 de diciembre y publicó una corrección; el 31 de diciembre publicó una entrada en su blog.

Tangem afirma que, cuando se activaba una billetera con una frase semilla, generada o importada, la clave privada se escribía por error en los registros de la aplicación móvil, que se adjuntan cuando un usuario contacta con el soporte a través de la aplicación. Atribuye el error a un mecanismo de registro de NFC añadido para mejorar el rendimiento en determinados dispositivos que pasó desapercibido en la revisión de código y en las pruebas. Las billeteras creadas sin frase semilla, en las que las claves se generan en la tarjeta, no se vieron afectadas.

Según Tangem, menos del 0,1 % de los usuarios se vieron potencialmente afectados: los que activaron una billetera con frase semilla y contactaron con el soporte a través de la aplicación en los 7 días siguientes a la activación. Tangem dice que eliminó de forma permanente todos los registros y archivos adjuntos enviados al soporte, añadió un aviso en la aplicación que pregunta a los usuarios con frase semilla si contactaron con el soporte en ese periodo y corrigió el error en las versiones 5.19.1 (App Store) y 5.19.2 (Google Play) de la aplicación. Cointelegraph y CoinMarketCap recogen críticas porque Tangem no hizo ningún anuncio en sus redes sociales cuando salió a la luz el problema, y el usuario de Reddit dijo que se había eliminado una publicación anterior sobre el tema.

Qué recomienda Tangem (usuarios afectados):

• Actualiza la aplicación, saca los fondos de la billetera afectada y restablece la billetera a los ajustes de fábrica.
• Vuelve a activarla sin frase semilla o con una frase semilla nueva y, después, devuelve los fondos.