Te llega un Ledger nuevo. El paquete parece de Ledger, viene de Ledger, pero lo de dentro está manipulado.
Así se han llevado casi 100 millones de dólares en Bitcoin, Ethereum y Tron.
No ha sido el típico hackeo a distancia, de esos de encontrar una vulnerabilidad vete a saber dónde. No, no. Ha sido un ataque físico a la cadena de suministro.
Por lo visto, en Vietnam o por el sudeste asiático había revendedores de Ledger. Ledger les mandaba los aparatos y ellos los repartían con un transportista, como aquí puede ser Seur o Nacex.
El transportista estaba comprometido. Algún repartidor cambiaba el paquete original por otro con un Ledger nuevo, pero con los componentes manipulados.
Piensa en lo que hace falta para montar eso. Uno que abre los Ledger, los mira y los manipula. Otro que trabaja en el transporte y hace el cambiazo del paquete.
Esto no lo hace una persona sola. Es un grupo entero y es algo muy sofisticado.
Por eso, por otro lado, es más fácil llegar a los malos. No se va a coger a todos ni el dinero va a volver, eso que quede claro. Pero un ataque físico deja rastro de personas, no como el de internet, que te lo hacen desde detrás de una VPN, de TOR o de mil historias.
Ahora te cuento lo que hago yo cuando me llega un monedero físico a casa.
Lo primero, mirar que el paquete venga cerrado y que no lo haya abierto nadie. Casi todos los monederos ya traen sistemas para comprobarlo. Jade, por ejemplo, viene con dos pegatinas que si las quitas o las manipulas dejan marca.
Por mucho que el celofán ese que traen alrededor se pueda quitar y volver a poner, si alguien ha abierto la caja se nota. Las pegatinas cantan.
Luego se habla mucho por ahí de pesarlo, de saber cuánto tiene que pesar exactamente. Para eso necesitas una báscula de precisión y más cosas. Yo lo que más miro es que el paquete no se haya podido abrir y que esas pegatinas las tenga que quitar yo.
Dentro de la comunidad estamos hablando mucho de este tema. La gente se pone nerviosa, es normal. Llevamos un verano muy feo, con hackeos por todos los sitios. Esto parece un campo de minas.
Volvemos siempre a lo mismo: hay que tener unos mínimos, hay que comprobar las cosas y hay que comprar el aparato a la casa oficial. Y aun así está complicado.
Porque volvemos también a la otra de siempre: en quién confías.
Se vende mucho que con la autocustodia no dependes de nadie. Que es tuyo y no hay más. Pues no es así.
Por mucho que tengas tus bitcoins, tienes que confiar en el monedero. En que está bien hecho, en que no viene manipulado, en que no tiene vulnerabilidades. Con Coldcard confías en el equipo. Con Ledger, en Ledger y además en los repartidores. Con el resto de aparatos, igual.
Siempre confías en alguien, salvo que uses algo como una SeedSigner y te lo montes tú.
Por eso me gustan tanto algunos detalles de Jade. Llevo unos cuatro años usándolo, incluso fui distribuidor en España, y es el que usamos dentro de Bitconia. Funciona de maravilla.
Al principio Jade era negro opaco. No se veía nada de lo que había dentro. Después empezaron a fabricarlo en colores transparentes.
La gente me decía: "oye, tío, a mí esto no me gusta, es horrible, no es bonito que se vea lo de dentro, yo quiero el negro opaco".
Yo les daba la razón. Pero fui y les pregunté a los de Blockstream por qué habían dejado de hacer el negro de toda la vida.
La respuesta fue muy sencilla: para que la gente pueda ver que el aparato no ha sido manipulado y que por dentro está lo que tiene que estar.
Yo no había caído en algo tan tonto. Precisamente por eso me pareció una pasada.
Ojo, que un ataque así le puede pasar a cualquiera, y con Jade también tienes que confiar en que Blockstream está haciendo bien las cosas. Pero al menos puedes ver lo que hay dentro.
Te llega un Jade nuevo. Y ves si está manipulado o no.
Por otro lado, el hackeo de Coldcard fue por una vulnerabilidad en la manera de generar las semillas. La famosa entropía. Era muy baja y se podia identificar el patron.
Pues desde Blockstream cuando salió esta vulnerabilidad, dijeron que ellos estaban tranquilos, que generaban la entropía de una manera superaleatoria. Esto me dejo flipando la verdad.
Jade trae Bluetooth y la verdad que no conozco a nadie que lo use con ese sistema, todo el mundo lo usa con cable. No nos fiamos de una conexión inalámbrica. Cosa normal.
Así que nunca entendí por qué lo traía si nadie lo quería ni nadie lo usaba.
Como era de esperar, ellos sabían que nadie usa el Bluetooth, pero es que no lo lleva para que nos conectemos por ahí. Lo lleva para que, cuando se genera la semilla, recoja el ruido del ambiente y haga la entropía lo más aleatoria posible.
2 de 2 en estos casos a favor de Jade. Aquí se ve cómo saben lo que hacen.
Que ojo, cualquiera puede ser vulnerada a día de hoy, pero con Jad estoy tranquilo. Dentro de todo lo que se está viendo últimamente, me genera mucha confianza.
Por si te interesa cambiar de monedero físico, el Jade está de oferta ahora mismo a 61€. No sé si es algo puntual aprovechando el hackeo a Ledger, pero es un momento perfecto para comprarlo. Si además usas mi código de referido, te hacen un 10% de descuento y se te queda en 55€.
Por ese dinero no vas a encontrar un monedero frío mejor solo para bitcoin, ni de coña. Te dejo el enlace en el primer comentario.
Confiar vas a tener que confiar igual. En el que fabrica el aparato, en el que te lo trae a la puerta, en alguien.
Lo único que está en tu mano es mirar la caja antes de abrirla y mirar el aparato cuando ya está abierto.
Este enlace te lleva directamente a la pagina de Blockstream. La empresa que hace Jade, sin intermediarios.