Usuarios de la cartera de hardware Ledger expuestos por la brecha global del socio procesador de pagos

El sector de la custodia de criptomonedas se enfrentó a nuevas turbulencias cuando Ledger reveló un compromiso de datos que afectaba a algunos de sus clientes, esta vez derivado de un procesador de pagos externo y no de sus propios sistemas. Global-e, que opera como socio de comercio electrónico facilitando transacciones para Ledger.com, confirmó el acceso no autorizado a la información de pedidos de los clientes, incluidos nombres y datos de contacto almacenados en su infraestructura en la nube.

Cómo se desarrolló la brecha del procesador de pagos de terceros

La exposición salió a la luz a través de una notificación por correo electrónico de Global-e, inicialmente publicada por el analista de blockchain seudónimo ZachXBT en redes sociales. El procesador de pagos reveló que partes no autorizadas accedieron a información personal de clientes que completaron compras a través de sus servicios de comercio en Ledger.com. De forma crucial, la brecha no comprometió los datos de las tarjetas de pago, ni afectó a la tecnología principal de carteras de Ledger, la seguridad del hardware ni los sistemas de gestión de claves privadas.

Global-e actuó rápidamente al detectar actividades sospechosas, implementando controles de seguridad y contratando a investigadores forenses independientes para examinar el alcance del incidente. La investigación confirmó que algunos datos personales de los clientes fueron accedidos de forma incorrecta, aunque el número exacto de usuarios afectados sigue sin revelar ni el procesador de pagos ni Ledger.

Aclaración de riesgos de la empresa

En respuesta a las consultas de los medios, Ledger enfatizó una distinción importante: este incidente representa un compromiso de los sistemas de un socio de comercio electrónico externo, no un fallo de la tecnología de autocustodia de Ledger. “Esto no supuso una brecha en la plataforma, hardware o software de Ledger, que siguen siendo seguros”, afirmó la empresa. El fabricante de monederos de hardware aclaró que, dado que sus productos operan bajo un modelo de autocustodia, Global-e no tiene acceso a las frases de recuperación de 24 palabras de los usuarios, saldos de blockchain ni a ninguna clave privada asociada a activos digitales.

La empresa confirmó que colabora con Global-e para notificar a los clientes afectados con directrices de protección pertinentes. Cabe destacar que Ledger no fue la única marca afectada: la exposición del procesador de pagos en el sistema en la nube implicó datos de pedidos de clientes de varios minoristas, lo que pone de manifiesto una vulnerabilidad sistémica en este proveedor particular de infraestructura de comercio electrónico.

Contexto histórico: patrón de incidentes con terceros

Este es el tercer incidente de seguridad significativo de Ledger en los últimos años, aunque con una gravedad diferente. En 2020, una brecha a través de su socio de comercio electrónico Shopify expuso información personal de aproximadamente 270.000 clientes. Más importante aún, en 2023, Ledger fue víctima de un ataque sofisticado que resultó en el robo de casi 500.000 dólares en criptomonedas, afectando a varios protocolos financieros descentralizados. Ese incidente fue posteriormente vinculado a un código malicioso plantado por un antiguo empleado.

Cada incidente ha reforzado la distinción entre la seguridad principal de la cartera de Ledger y las vulnerabilidades en los servicios circundantes. Esta última exposición a Global-e, aunque preocupante desde el punto de vista de la privacidad, no amenaza directamente los activos digitales almacenados de los usuarios siempre que mantengan prácticas operativas adecuadas de seguridad.

Contexto más amplio del mercado

La revelación de la brecha de datos llega mientras el mercado de criptomonedas en general navega por la volatilidad continua. Bitcoin retrocedió recientemente por debajo del nivel de 84.000 dólares en medio de presiones más amplias del mercado y un sentimiento cauteloso de los inversores. Los volúmenes de negociación spot de criptomonedas se han contraído significativamente, cayendo a aproximadamente 900.000 millones de dólares en los últimos periodos desde 1,7 billones del año anterior, reflejando la refrigeración del entusiasmo del mercado y la incertidumbre macroeconómica.

Mientras tanto, ciertas acciones relacionadas con criptomonedas —especialmente aquellas operadas por mineros que se han diversificado en infraestructuras de inteligencia artificial y computación de alto rendimiento— han demostrado resiliencia frente a vientos en contra más amplios del mercado, lo que sugiere una diferenciación basada en la adaptabilidad del modelo de negocio.

El incidente de Ledger subraya por qué la adopción institucional de la infraestructura de criptomonedas requiere una evaluación de seguridad multinivel, abordando no solo la tecnología central de protocolos y custodia, sino también todo el ecosistema de proveedores de servicios externos que acceden a los datos de los clientes.