Los monederos hardware de Ledger, considerados durante mucho tiempo el estándar de seguridad en la industria de las criptomonedas, vuelven a estar en el centro de un escándalo. En esta ocasión, la empresa se enfrenta a una demanda colectiva presentada ante el Tribunal del Distrito Sur de Nueva York. El demandante, Douglas Kim, acusa al fabricante de ocultar la magnitud de la filtración de datos ocurrida en diciembre de 2023.
La esencia de las reclamaciones se reduce a que el incidente afectó a información confidencial de los clientes: nombres, direcciones de correo electrónico, números de teléfono y otros datos personales (PII). Kim insiste en que Ledger no solo retrasó la divulgación pública de la información sobre el hackeo, sino que también minimizó conscientemente su gravedad, lo que contradice sus obligaciones con los usuarios.
La ingeniería social como principal vector de ataques
En los documentos judiciales se aprecia una conexión directa entre la filtración y una ola de actividades fraudulentas. Según mis datos, los atacantes, tras obtener acceso a los datos personales, utilizaron activamente tácticas de ingeniería social. Se hacían pasar por representantes oficiales de Ledger, entablaban diálogo con las víctimas y las convencían de aprobar transacciones de phishing. Como resultado, los usuarios perdían criptoactivos, convencidos de que interactuaban con un servicio legítimo.
En la demanda también se presta especial atención a un incidente anterior. Se trata de la filtración de 2020, que, según las estimaciones, afectó a unos 270 000 clientes. Aquel caso ya había socavado la confianza en la empresa, pero ahora los abogados lo consideran parte de un problema sistémico, y no un error aislado.
Consecuencias legales y riesgos reputacionales
A Ledger se le imputa la violación de las leyes de protección al consumidor, negligencia y prácticas comerciales desleales. Destaca especialmente la acusación de tergiversación negligente de los hechos, lo que significa que la empresa podría haber proporcionado a los usuarios información incompleta o engañosa sobre su seguridad.
En este contexto, cabe recordar que ya en agosto los investigadores del equipo OneKey Anzen reprodujeron con éxito un ataque de sustitución de transacciones en la aplicación Ethereum de Ledger versión 1.22.1. Aunque la vulnerabilidad se corrigió rápidamente, el mero hecho de su existencia demuestra que incluso la protección «de hierro» no es absoluta.
Mi análisis: La situación actual es una señal de alerta para toda la industria del almacenamiento de activos digitales. La filtración de PII en 2023, al igual que el incidente de 2020, demuestra que los monederos hardware protegen las claves, pero no siempre protegen los datos personales de los propietarios. Mientras Ledger se centra en su defensa legal, el mercado debería reflexionar: la seguridad del ecosistema no se determina únicamente por el chip Secure Element, sino también por cómo la empresa procesa y almacena la información de los usuarios. Sin transparencia y una revisión radical de los enfoques sobre la privacidad, las pérdidas reputacionales podrían resultar más graves que cualquier coste judicial.