Por Canuto  

Un SDK utilizado por aplicaciones de billeteras Ledger enviaba a servidores de la empresa información sobre firmas, direcciones consultadas y datos del dispositivo. Ledger sostiene que esos datos permiten mostrar descripciones legibles de las transacciones y asegura que no los conserva.
***

  • El SDK enviaba detalles de transacciones y solicitudes de firma, además del modelo y la versión de software del dispositivo.
  • El comportamiento llegó activado por defecto; las aplicaciones debían integrar un módulo propio o desactivar el intercambio.
  • Ledger justificó el envío por la función de firma clara y afirmó que no almacena la información recibida.

 

Un comportamiento predeterminado que sorprendió a usuarios

Un kit de desarrollo de software utilizado por aplicaciones de billeteras para conectarse con dispositivos de hardware Ledger enviaba a servidores de la empresa metadatos relacionados con firmas de transacciones cripto. El hallazgo de un desarrollador de Ambire fue recogido por The Defiant y puso en cuestión la expectativa de que la firma con un dispositivo físico mantuviera también en privado la información asociada a cada operación. Según Protos, el comportamiento quedó activado por defecto y la mayoría de las aplicaciones no lo deshabilitaba.

El SDK, o kit de desarrollo, funciona como una pieza de software que permite a una aplicación comunicarse con el dispositivo y coordinar solicitudes de firma. En este caso, el módulo transmitía detalles de transacciones y solicitudes de firma de datos tipados, además de información del dispositivo, como el modelo de Ledger y la versión del software. El reporte también podía incluir las direcciones de blockchain que el usuario consultaba o a las que enviaba pagos.

Kaloyan Kosev, desarrollador de Ambire y conocido como superKalo, advirtió sobre el comportamiento mientras actualizaba los paquetes de Ledger para investigar un problema. Señaló que los servidores de la empresa recibían esos datos y sostuvo que las firmas realizadas desde billeteras que usaran la versión más reciente del kit podían reportarse a Ledger. Kosev añadió que ninguna versión afectada llegó a producción en Ambire, una precisión que limita el alcance de su advertencia para esa billetera.

El componente que llamó la atención de los investigadores fue un punto de conexión cuyo nombre aludía a la firma sin visión previa, aunque, según el reporte, enviaba información en cada transacción y solicitud de firma de datos tipados. El envío ocurría tanto si el usuario solicitaba una firma a ciegas como si no. Para Kosev, la privacidad debería ser el ajuste predeterminado, especialmente en una empresa cuyos productos se promocionan para gestionar activos cripto mediante dispositivos de hardware.

La firma clara como justificación de Ledger

Ledger Donjon, el equipo de seguridad interno de la compañía, respondió a las críticas al explicar que el intercambio forma parte del funcionamiento de la firma clara. Esa función convierte los datos técnicos de una transacción en una descripción legible para que el usuario pueda revisarla antes de aprobarla. Según Donjon, esas descripciones pueden ser demasiado grandes para cargarlas directamente en el dispositivo, por lo que el SDK las busca en servidores de Ledger.

La explicación de la compañía implica que el SDK necesita enviar los detalles relevantes de la transacción para localizar la descripción correspondiente. Donjon afirmó que Ledger no conserva ninguno de los datos recibidos, pero el envío sigue ocurriendo antes de que el usuario autorice la operación, según la descripción del comportamiento. La diferencia entre transmitir y almacenar es central para evaluar la respuesta de la empresa, aunque no elimina el hecho de que la información sale de la aplicación hacia sus servidores.

El historial de versiones recogido por Protos sitúa el inicio del cambio en el context-module de Ledger. La compañía confirmó el informe de datos original el 26 de marzo, y la versión 1.16.0 añadió el comportamiento al paquete en vivo en abril; esa versión dirigía el intercambio a un servidor de pruebas. Más adelante, la versión 2.1.0 activó el envío en producción, y el comportamiento se extendió entre usuarios durante abril y mayo, de acuerdo con el reporte.

La consecuencia práctica es que las aplicaciones que incorporan el SDK deben tomar medidas si quieren evitar el envío predeterminado, ya sea desactivando esa función o integrando un módulo propio. Ledger sostuvo que las billeteras pueden implementar su propia solución para no depender de este comportamiento. Nicolas Bacca, cofundador que dejó la empresa en 2023, dijo al entusiasta de Bitcoin Mr Hodl que el ajuste pudo haberse pasado por alto; consultado sobre por qué se eligió una exclusión voluntaria en vez de un consentimiento previo, respondió que no lo sabía.

El alcance de los datos y los antecedentes de la compañía

El hallazgo no significa que Ledger haya revelado claves privadas ni que los fondos puedan moverse solo por recibir estos metadatos; la información descrita se refiere a transacciones, solicitudes de firma y características del dispositivo. Sin embargo, una dirección de blockchain puede mostrar actividad asociada a ella, y el envío de direcciones consultadas o pagadas puede revelar a un tercero qué operaciones está revisando una aplicación. La fuente no afirma que Ledger haya vinculado esos datos con la identidad civil de cada usuario.

La aplicación propia de Ledger también utiliza servicios de la compañía para algunas funciones relacionadas con Bitcoin. Su módulo consulta el historial de cuentas y las tasas de comisión en un explorador de Ledger, realiza consultas dirección por dirección y transmite las transacciones al punto de envío de ese explorador. Ese flujo constituye un mecanismo distinto al módulo de firma descrito en el hallazgo, pero muestra que ciertas tareas de la billetera pasan por infraestructura operada por la empresa.

El SDK tampoco es el primer motivo de debate sobre la información que recibe Ledger. En 2023, Protos informó que Ledger Live enviaba a la firma datos de uso a través de la herramienta de análisis Segment, incluidos clics, cantidad de cuentas, nombres de activos cripto, tipo de dispositivo y firmware. Ledger dice ahora que sus rastreadores de personalización requieren que el usuario acepte participar, una política que la compañía distingue del intercambio vinculado a la firma clara.

Los antecedentes de seguridad y privacidad aumentan la sensibilidad de este episodio, aunque son incidentes distintos y no prueban que los datos del SDK se hayan usado indebidamente. Una brecha de datos de Ledger en 2020 expuso nombres, direcciones y números de teléfono de unos 272.000 clientes. En otro incidente, un spyware distribuido mediante un revendedor aparentemente oficial, pero poco confiable, en Malasia drenó más de USD $86.000.000 de las víctimas. La discusión inmediata queda en manos de Ledger y de las aplicaciones que integran su SDK: aclarar qué datos necesitan, cuándo los envían y cómo pueden evitarlo los usuarios.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados