Datos de clientes de Ledger expuestos a través del proveedor de pagos Global-e, pero la seguridad de la cartera permanece intacta

Ledger, el principal fabricante mundial de monederos de hardware, se enfrenta a un importante incidente de exposición de datos derivado de su procesador de pagos externo, Global-e. Los sistemas de seguridad detectaron accesos no autorizados a la información de los clientes almacenada en la infraestructura en la nube de Global-e, lo que afectaba a un número no especificado de datos personales de los usuarios de Ledger, incluyendo nombres e información de contacto. La brecha subraya los riesgos inherentes a depender de proveedores de servicios externos, aunque Ledger ha intentado aclarar que el incidente no comprometió su plataforma principal ni sus activos de usuario.

Lo que se vio comprometido en el incidente Global-e

Global-e, una plataforma de comercio electrónico que atiende a grandes minoristas y marcas de todo el mundo, notificó a los clientes sobre la brecha de seguridad tras identificar actividades inusuales en sus sistemas. La investigación reveló que partes no autorizadas accedieron a datos de pedidos e información personal —específicamente nombres y datos de contacto— de los sistemas de información de Global-e. Sin embargo, los datos de las tarjetas de pago no estuvieron implicados en el compromiso. El incidente también afectó a clientes de otras marcas que utilizan los servicios para comerciantes de Global-e, lo que sugiere una vulnerabilidad sistémica amplia en lugar de un ataque específico de Ledger. Cabe destacar que Global-e contrató a expertos forenses independientes para llevar a cabo una investigación exhaustiva y ha implementado controles de seguridad adicionales para prevenir futuros accesos no autorizados.

Lo que permaneció seguro: la infraestructura central de Ledger

En una respuesta oficial a las consultas de los medios, Ledger destacó varios puntos críticos sobre el alcance de la brecha. La empresa afirmó que Global-e no mantiene acceso a las claves privadas de los usuarios, saldos de blockchain, frases semilla (el mecanismo crítico de recuperación de 24 palabras) ni ningún secreto relacionado con activos digitales. Dado que Ledger funciona como una plataforma de autocustodia, los usuarios mantienen el control total sobre sus credenciales criptográficas. Además, los propios sistemas, software e infraestructura de hardware de Ledger no se vieron comprometidos. La exposición se limitó estrictamente a los datos de transacciones de pedidos procesados a través de Global-e, lo que significa que las tenencias de criptomonedas y la funcionalidad de la cartera permanecen completamente seguras. Ledger aclaró que está colaborando con Global-e para identificar y contactar con todos los usuarios afectados con información relevante sobre el incidente.

Contexto histórico: incidentes de seguridad previos en Ledger

No es la primera vez que Ledger se enfrenta a un desafío en la seguridad de los datos. En 2020, la empresa sufrió una brecha significativa a través de su socio de comercio electrónico Shopify, que expuso información personal de aproximadamente 270.000 clientes. Más recientemente, en 2023, Ledger fue objeto de un hackeo dirigido que resultó en el robo de casi 500.000 dólares y comprometió varias aplicaciones financieras descentralizadas relacionadas con cuentas comprometidas. Estos precedentes demuestran un patrón continuo de vulnerabilidades de proveedores externos que afectan al proveedor de monederos de hardware, a pesar de los esfuerzos de Ledger por mantener una infraestructura primaria segura.

Implicaciones a nivel industrial y precauciones para los usuarios

El incidente refleja un desafío más amplio al que se enfrentan los proveedores de servicios de criptomonedas: los riesgos de seguridad que supone integrarse con las plataformas convencionales de pago y comercio electrónico. Aunque el diseño autocustodial de Ledger protege los activos digitales de la concesión, la información personal y los historiales de transacciones siguen siendo vulnerables cuando se procesan a través de terceros centralizados. Ledger ha instado a los usuarios a mantenerse vigilantes y subraya su compromiso continuo con la lucha contra los estafadores y actores malintencionados que intentan comprometer la información de los usuarios en los sectores de criptomonedas y comercio electrónico. La empresa sigue afirmando que, a pesar de estas vulnerabilidades de terceros, su tecnología principal de monedero hardware y los activos protegidos en su interior siguen protegidos y bajo control del usuario.