En un comunicado de prensa reciente emitido por Ledger, la empresa que fabrica la famosa billetera de hardware, nos enteramos de que los delincuentes se han aprovechado de otra violación de datos, proveniente de Shopify, que involucra a otros 20.000 usuarios.
The information obtained by these agents is 93% similar to the previous data dump. However, 7% (around 20,000) of the customer records breached are new. We have directly contacted the concerned users to inform them about this.
— Ledger (@Ledger) January 13, 2021
El incidente se remonta a mayo del año pasado, cuando los delincuentes explotaron una falla en el portal Shopify, y en esa ocasión, se robaron datos de más de 300.000 usuarios de varios portales como Trezor, Augur y Ledger.
Lamentablemente, al mes siguiente también hubo otro ataque, esta vez directamente contra Ledger, en el que se robaron alrededor de 1 millón de direcciones de correo electrónico y los datos completos de más de 9500 usuarios. Unos meses después, los delincuentes también intentaron un tercer ataque contra los usuarios.
Por si fuera poco, fue recién el mes pasado que se publicaron todos los datos de la base de datos robada, incluida la información privada de los usuarios que habían tratado con Ledger, es decir, los que habían comprado una billetera de hardware para proteger sus criptomonedas.
Ciertamente, 2020 no fue el mejor año para Ledger, pero como apunta la propia empresa, ninguno de estos episodios pone en peligro la seguridad de los dispositivos electrónicos en poder de los usuarios, aunque se recomienda no introducir su semilla en plataformas sospechosas y especialmente en Ledger Live, ya que podría verse comprometido.
Medidas de Ledger ante la violación de datos
Mientras tanto, Ledger ha tomado medidas para advertir a los nuevos usuarios afectados por el reciente descubrimiento de los datos robados e informarles que no proporcionen su semilla a nadie y que no la utilicen en ninguna otra plataforma que no sea la billetera física.
Además, Ledger está trabajando para integrar un modelo de mensajería para acceder a los fondos de los usuarios y, por lo tanto, podríamos ver un sistema tipo 2FA para mejorar la seguridad, por lo que incluso en el caso de pérdida de semillas, se necesitará una segunda contraseña para acceder a los fondos.
En cuanto a lo que sucedió, Ledger se ha movido para rastrear los datos con el apoyo de Chainalysis. En particular, intentarán rastrear las semillas utilizadas y los movimientos de las billeteras, con el fin de identificar cómo los delincuentes están usando estos fondos.
En el caso de Shopify, tanto el FBI como la RCMP están trabajando con las autoridades francesas para localizar a los criminales que perpetraron el ataque de Shopify.
Otras medidas que tomará la empresa serán las relacionadas con la gestión de la base de datos, por lo que los nombres privados de los compradores serán eliminados una vez procesado el pedido, para evitar problemas similares en el futuro.
De hecho, incluso si se accede a una base de datos de esta magnitud, si se hubieran implementado métodos para ocultar, proteger y hacer imposible la lectura de la información que contiene, ciertamente no habría sido fácil para los delincuentes.
Esto demuestra el descuido con el que la empresa ha tratado estos datos, provocando preocupación entre muchos usuarios, que en algunos casos han sugerido crear una demanda colectiva contra Ledger.
Finalmente, Ledger ha ofrecido una recompensa a todos aquellos que brinden información útil para atrapar a los delincuentes.
La recompensa es de 10 BTC cada uno, para alentar a los piratas informáticos blancos a apoyar el caso.
