Enfrentamiento Público entre Pascal Gauthier y Mark Karpelès
El CEO de Ledger, Pascal Gauthier, ha tenido un enfrentamiento público con el exjefe de Mt. Gox, Mark Karpelès, en relación con las advertencias sobre billeteras de hardware modificadas, que están vinculadas a un estimado de $90 millones en robos de criptomonedas.
Intercambio en Redes Sociales
En un intercambio del 17 de octubre en X, Karpelès cuestionó si el fabricante de billeteras había comunicado adecuadamente el peligro de implantes de espionaje sofisticados antes de que los clientes reportaran pérdidas relacionadas con dispositivos vendidos a través del revendedor de Asia Sudoriental, CryptoBilis. Gauthier defendió el trabajo de seguridad de Ledger y desafió las críticas del exejecutivo del intercambio.
«Viniendo del CEO de Mt. Gox… Vamos, hombre. No eres un caballero blanco. Póngase realista» – Pascal Gauthier
Descubrimiento de Electrónica No Autorizada
La disputa surgió tras el descubrimiento de electrónica no autorizada dentro de un dispositivo Ledger genuino. Los investigadores encontraron que el hardware adicional podía capturar la frase de recuperación de 24 palabras de una billetera durante la configuración y transmitirla a través de una conexión celular. Las estimaciones de investigación colocan las pérdidas sospechosas por encima de los $90 millones.
Comunicación de Seguridad de Ledger
Ledger no ha confirmado esa cifra como un total verificado, y la afirmación de Karpelès de que advertencias anteriores podrían haber prevenido esas pérdidas sigue sin ser probada. El desacuerdo comenzó cuando Karpelès cuestionó la comunicación previa de Ledger sobre modificaciones físicas a sus billeteras de hardware. En una publicación del 17 de octubre, corrigió una afirmación anterior de que Ledger no había discutido tales implantes antes del último incidente.
Karpelès reconoció que la compañía había publicado un artículo de seguridad en marzo que abordaba los riesgos asociados con dispositivos manipulados. Sin embargo, argumentó que publicar orientación en una sección educativa era insuficiente, dada la sofisticación de los dispositivos descubiertos posteriormente.
Reacción de Gauthier
Gauthier respondió que la compañía trabaja extensamente para proteger a los clientes y que los externos deberían distinguir entre evidencia establecida y especulación. El CEO de Ledger escribió que el trabajo es difícil, reconoció la contribución de Karpelès a la discusión y le pidió que limitara sus comentarios a lo que pudiera sustentar.
Implicaciones del Incidente
El intercambio se volvió más confrontacional cuando Gauthier se refirió al liderazgo anterior de Karpelès en el fallido intercambio Mt. Gox. Mt. Gox colapsó en 2014 tras pérdidas masivas de Bitcoin, dejando a los acreedores enfrentando un largo proceso de recuperación.
Karpelès respondió que su propia experiencia con un gran fracaso de intercambio era una razón para esperar una comunicación de seguridad más sólida de las empresas que manejan activos de clientes. El desacuerdo público concierne a la respuesta de Ledger ante la amenaza.
Artículo de Seguridad y Prácticas de Compra
El artículo de seguridad en el centro de la disputa se titula «Mejores Prácticas Para Comprar Su Ledger Signer de Forma Segura». La versión actual explica varias formas en que los criminales pueden interferir con las billeteras de hardware antes de que lleguen a los clientes. Cubre dispositivos falsificados, billeteras enviadas con frases de recuperación preseleccionadas y dispositivos genuinos modificados después de salir de la fábrica.
La guía de compra actual de Ledger recomienda comprar directamente de la compañía o a través de vendedores autorizados, verificando la manipulación visible y completando la autenticación a través de software oficial. Advierte que la distribución autorizada y un Genuine Check exitoso no pueden garantizar que una billetera nunca haya sido modificada físicamente.
Conclusiones sobre el Incidente
Ledger comenzó a investigar quejas de clientes que habían comprado billeteras de hardware a través de CryptoBilis. El 9 de octubre, la compañía pidió a CryptoBilis que suspendiera las ventas y envíos mientras los investigadores examinaban informes de criptomonedas desaparecidas. A los clientes que compraron dispositivos del revendedor en los 90 días anteriores se les aconsejó no inicializar billeteras no utilizadas.
El total de robos reportados ha variado en estimaciones independientes a medida que los investigadores identifican direcciones y transacciones potencialmente conectadas. El incidente ha planteado, por lo tanto, preguntas sobre la supervisión de revendedores, así como las protecciones técnicas incorporadas en dispositivos individuales.
