- Un acceso no autorizado en Global-e expuso nombres y datos de contacto de clientes de Ledger.
- Ledger confirma que no se accedió a frases de recuperación de fondos ni claves privadas de las wallets.
- Expertos en seguridad advierten que la filtración de datos de contacto aumenta los riesgos de phishing y estafas.
El fabricante de wallets de hardware, Ledger, enfrenta una nueva exposición de datos tras producirse un acceso no autorizado en los sistemas de su procesador de pagos externo Global-e. El incidente involucró la sustracción de datos personales de clientes, como nombres e información de contacto, desde la infraestructura en la nube de Global-e. No hay indicios de que fondos de wallets, claves privadas o frases de recuperación hayan sido comprometidas en ningún momento.
Global-e notificó a los clientes afectados por correo electrónico, indicando que detectó actividad inusual en parte de su entorno en la nube y lanzó una investigación. El mensaje no reveló cuántos clientes de Ledger fueron afectados ni el momento exacto del exploit. La notificación se difundió públicamente por primera vez luego de ser compartida por el investigador de blockchain ZachXBT en X.
Ledger confirmó el incidente, indicando que la brecha ocurrió completamente dentro de los sistemas de Global-e. La empresa señaló que Global-e actuó como controlador de los datos y por lo tanto fue quien emitió las notificaciones a los clientes.
Brecha de Terceros Confirmada por Global-e
Global-e indicó que identificó actividad irregular y rápidamente aplicó controles de seguridad para contener el problema. Luego, la empresa convocó a especialistas forenses externos para revisar el incidente en detalle.
Esa revisión confirmó el acceso indebido a un conjunto limitado de datos personales de clientes.
En su correo electrónico, Global-e dijo a los clientes: “Contratamos expertos forenses independientes para realizar una investigación sobre el incidente.” Agregó que los investigadores confirmaron que “algunos datos personales, incluyendo nombre e información de contacto, fueron accedidos de manera indebida.” La declaración no mencionó detalles de pago ni credenciales de autenticación.
Posteriormente, Ledger refrendó esas conclusiones. La empresa dijo que el acceso no autorizado afectó los datos de pedidos almacenados en los sistemas de información de Global-e. Ledger reiteró que el incidente no involucró su infraestructura interna, dispositivos o aplicaciones.
Respuesta de Ledger y Alcance de la Seguridad
Ledger recalcó que sus productos de autocustodia no se vieron afectados por el incidente.
La empresa aclaró que Global-e no puede acceder a frases de recuperación, balances de wallets ni secretos de activos digitales. Ledger señaló que sus sistemas de hardware y software continúan operando normalmente.
“Esto no fue una brecha de la plataforma, hardware o sistemas de software de Ledger”, indicó la empresa.
Agregó que Global-e solo procesaba información relacionada a compras y pedidos de los clientes que compraban a través de Ledger.com. Los canales de redes sociales de Ledger actualmente no reportan incidentes de seguridad activos.
La empresa también explicó por qué Global-e contactó directamente a los clientes. Ledger dijo que Global-e tenía control sobre los datos afectados y por lo tanto tenía la responsabilidad de las notificaciones. Al momento de la publicación, ninguna de las empresas ha dado una estimación de clientes afectados.
Relacionado: El CTO de Ledger advierte a los titulares de wallets tras hackeo de cuenta NPM
Brechas Históricas y Riesgos Persistentes
El incidente sucede tras varios eventos de seguridad previos que involucraron a Ledger. En junio de 2020, una API de terceros mal configurada expuso datos de marketing y e-commerce. Esa brecha filtró aproximadamente un millón de direcciones de correo electrónico y datos de contacto detallados de 9.500 clientes.
En 2023, atacantes explotaron una librería de software comprometida vinculada a Ledger. El ataque drenó entre $484.000 y $600.000 en criptomonedas en cinco horas. Las aplicaciones afectadas incluyeron SushiSwap, Zapper, MetalSwap y Harvest Finance.
ZachXBT luego sugirió que los clientes usen información de contacto mínima o alternativa al comprar wallets de hardware. El enfoque apunta a reducir la efectividad del phishing dirigido si las bases de datos se ven expuestas. Los expertos en seguridad siguen advirtiendo que la filtración de datos de contacto puede alimentar ataques de ingeniería social incluso sin acceso a las wallets.
