Cartera hardware manipulada comprada en tienda: los derechos del comprador según la ley alemana

Si tu cartera hardware contiene componentes ajenos, la ley alemana te da durante dos años derechos de garantía frente al comerciante que te la vendió: un dispositivo nuevo, la devolución del precio o una rebaja. Lo que casi nunca obtendrás, en cambio, es una compensación por las criptomonedas que salieron a través del dispositivo. Esa diferencia determina qué te aporta volver a la tienda, y desde el miércoles afecta a más compradores que antes.

La policía de Singapur ha dejado constancia oficial por primera vez de lo que hasta ahora solo habían descrito el fabricante y algunos medios: carteras hardware vendidas en tiendas contenían componentes de hardware maliciosos. Nuestro artículo sobre el implante confirmado y la comprobación de tu propio dispositivo explica cómo acotar técnicamente la sospecha. Aquí se trata de la otra mitad de la cuestión: quién responde, durante cuánto tiempo y con qué prueba.

Lo que comunicó la policía de Singapur el 28 de octubre

La Singapore Police Force publicó el miércoles por la tarde una advertencia sobre carteras hardware manipuladas. En ella se indica que desde el 10 de septiembre de 2026 se han denunciado al menos dos casos, con un perjuicio total de unos 3,5 millones de dólares de Singapur. Al tipo de cambio actual, son unos 2,7 millones de dólares estadounidenses.

El núcleo del comunicado: las investigaciones preliminares han determinado que carteras hardware compradas en algunas tiendas de Singapur contenían componentes de hardware maliciosos. Estos componentes podían capturar la frase de recuperación o las claves privadas de los usuarios, de modo que personas no autorizadas podían acceder a las carteras y retirar fondos sin el conocimiento ni el consentimiento de sus propietarios. La policía afirma estar en contacto con el fabricante, que revisa los casos afectados. La investigación sigue abierta.

Conviene hacer dos precisiones. Primero, se trata de un hallazgo de una autoridad en una investigación en curso, no de una sentencia ni de una determinación definitiva de las causas. La policía habla expresamente de investigaciones preliminares. Segundo, el hallazgo se refiere a dispositivos de tiendas singapurenses. No dice nada sobre cuántos dispositivos están afectados en Europa.

Qué recomienda la policía a quien tenga un dispositivo sospechoso

Las recomendaciones de la autoridad son breves y prácticas. No volver a introducir una frase de recuperación en un dispositivo sospechoso. No realizar más transacciones con él. Contactar con el fabricante por sus canales oficiales. Y quien crea que su frase o su clave privada se ha filtrado debe transferir los fondos restantes, con un dispositivo no comprometido, a una cartera nueva y de confianza con una frase generada de nuevo. A ello se suma la advertencia que repite toda autoridad en este ámbito: no compartas nunca la frase, ni siquiera con personas que se hagan pasar por empleados del fabricante, de un exchange o de un cuerpo policial.

Componentes de hardware maliciosos: el núcleo técnico del hallazgo

Una cartera hardware es un dispositivo que genera y guarda tu clave privada sin entregarla a un ordenador o a un teléfono. Todo su sentido está en que la clave nunca sale del dispositivo. Cómo funciona en condiciones normales lo explica nuestro artículo sobre el funcionamiento de una cartera hardware.

Un componente adicional en la carcasa anula justamente esa promesa. Se sitúa entre los componentes auténticos y puede leer lo que introduces o lo que muestra el dispositivo. Lo decisivo es el momento: la manipulación se produce después de la fabricación y antes de la compra, es decir, en el camino por distribuidores y tiendas. Un ataque a la cadena de suministro no apunta, por tanto, al software, que podrías actualizar, sino al objeto que hay en la caja.

En la práctica, esto significa que restablecer el dispositivo no sirve de nada. Quien genera una frase nueva en el mismo dispositivo la genera en un aparato en el que ya no puede confiar. Los casos anteriores de esta serie se remontaban a un revendedor del sudeste asiático y mostraban el mismo patrón. Por eso la policía también recomienda pasar a otro dispositivo en lugar de sanear el antiguo.

La prueba de autenticidad de la app del fabricante no detecta componentes añadidos

Muchos propietarios confían en la comprobación de autenticidad que realiza la app del fabricante al conectar el dispositivo. El propio fabricante aclaró en octubre que esta prueba no detecta hardware añadido con posterioridad. Comprueba si responde el chip de seguridad auténtico, y este responde aunque tenga al lado un componente ajeno.

Por eso una marca verde en la app no es prueba de nada, y por eso ahora mismo vale más examinar el embalaje y la carcasa que cualquier mensaje del software. Si además quieres saber cómo reconocer una transacción manipulada durante el uso, lo encontrarás en nuestro artículo sobre la firma a ciegas y su comprobación.

Defecto material según el artículo 434 del BGB: un dispositivo manipulado no cumple los requisitos objetivos

Pasemos a la situación jurídica en Alemania, que en este punto es más clara de lo que muchos esperan. Según el artículo 434 del Código Civil alemán (BGB), un bien está libre de defectos materiales si en el momento de la entrega cumple los requisitos subjetivos, los objetivos y los de montaje. Entre los requisitos objetivos figura que el bien sea apto para su uso habitual y tenga la calidad habitual en bienes del mismo tipo que un comprador puede esperar.

Una cartera hardware que contiene un componente capaz de capturar la frase de recuperación no es apta para su uso habitual, que es guardar una clave de forma segura. Un dispositivo así es, por tanto, defectuoso, con independencia de que el comerciante conociera o no la manipulación. La garantía en el derecho de compraventa alemán no exige culpa del vendedor y solo pregunta si la mercancía estaba en orden en el momento de la entrega.

Si en esta situación estás pensando a qué dispositivo cambiarte, encontrarás los modelos actuales y sus diferencias en nuestra comparativa de carteras hardware. Más importante que el modelo es el canal de compra: directamente al fabricante o a un socio designado por él.

Subsanación, resolución, rebaja e indemnización: las cuatro vías del artículo 437 del BGB

Lo que puedes exigir como comprador lo enumera el artículo 437 del Código Civil alemán. La norma tiene tres apartados, tras los que hay en la práctica cuatro vías.

Subsanación. Según el artículo 439, eliges entre la eliminación del defecto o la entrega de un bien sin defectos. Ante un dispositivo manipulado, la sustitución es la vía sensata, porque una reparación no devolvería la confianza en ese dispositivo concreto. Los gastos necesarios corren a cargo del vendedor, incluidos expresamente los de transporte y mano de obra. Es decir, no pagas el envío de vuelta.

Resolución. Devuelves el dispositivo y recuperas el precio. Por regla general, la resolución exige que antes hayas fijado al comerciante un plazo para la subsanación. Ese plazo no es necesario si la subsanación ha fracasado o no es razonablemente exigible.

Rebaja. Te quedas el dispositivo y pagas menos. En una cartera cuya promesa de seguridad ha desaparecido, rara vez es la opción adecuada, porque su valor de uso no disminuye, desaparece.

Indemnización. Esta vía figura en el artículo 437, apartado 3, y es la más difícil. Volvemos a ella más abajo.

Contra quién reclamar

La garantía se dirige contra tu contraparte en el contrato, es decir, la tienda o el comercio en línea donde compraste. No contra el fabricante. El fabricante puede ofrecer voluntariamente una garantía comercial o un cambio, y en esta situación tiene sentido contactarlo en paralelo. Pero de ello no nace ningún derecho derivado del contrato de compraventa.

Dos años de prescripción y un año de inversión de la carga de la prueba según el artículo 477 del BGB

Los plazos están en el artículo 438. Las reclamaciones por defectos en bienes muebles prescriben a los dos años, contados desde la entrega del bien. El punto de partida es, por tanto, la fecha de compra del justificante, no el día en que descubres el defecto.

A ello se suma una norma muy valiosa en este caso. Según el artículo 477, en las compras de un consumidor se presume que el bien ya era defectuoso en la entrega si el defecto se manifiesta en el plazo de un año. Durante ese primer año, por tanto, no tienes que demostrar que el componente ajeno ya estaba en el dispositivo en la tienda. Sería el comerciante quien tendría que probar lo contrario. Transcurrido el año, la carga se invierte, y entonces se complica, porque demostrar cuándo se instaló un componente es laborioso.

Hay una excepción al plazo de dos años: si el vendedor ocultó el defecto de forma dolosa, se aplica la prescripción ordinaria en lugar del plazo corto. Eso exige que lo supiera. En una manipulación en la cadena de suministro, es la rara excepción, no la norma.

El vendedor no suele responder por las criptomonedas perdidas

Aquí está la mala noticia. La indemnización del artículo 437, apartado 3, exige culpa del vendedor, es decir, dolo o negligencia. Una tienda que vende un dispositivo precintado de la cadena de suministro oficial y que no podía detectar la manipulación con un esfuerzo razonable no actúa, por regla general, con negligencia. Así desaparece la compensación por los fondos sustraídos, aunque se mantenga el derecho a un dispositivo nuevo o a la devolución del precio.

Esa es la asimetría que encarece tanto este caso para los inversores: con bastante probabilidad recuperarás 79 o 149 euros por el dispositivo, pero no el contravalor de los bitcoins o altcoins que guardaba. Si una pérdida de este tipo puede hacerse valer fiscalmente es otra cuestión; la hemos tratado para el caso de un dispositivo perdido y los impuestos.

Solo un asesoramiento jurídico puede ofrecer una valoración vinculante de tu caso concreto. Lo que se expone aquí es el marco en el que se decide la cuestión.

La ley de responsabilidad por productos no cubre un puro perjuicio patrimonial

Muchos piensan en este punto en la ley alemana de responsabilidad por productos defectuosos, porque contempla reclamaciones contra el fabricante sin culpa. En este caso no se aplica. El artículo 1, apartado 1, de la ley exige que el defecto de un producto cause la muerte de alguien, una lesión en su cuerpo o su salud, o daños a un bien. En caso de daños materiales, además, debe tratarse de un bien distinto del propio producto defectuoso y destinado habitualmente al uso privado.

Los criptoactivos sustraídos no son nada de eso, sino un puro perjuicio patrimonial, que esta norma no cubre. La ley de responsabilidad por productos ayuda con un dedo herido, no con un saldo de cartera vacío. Quien quiera actuar contra el fabricante necesita, por tanto, otra vía, que pasa por demostrar el incumplimiento de un deber y no por el mero carácter defectuoso del producto.

MediaMarkt y Saturn detuvieron la venta en octubre

Para los compradores en Alemania, el caso no es abstracto. A mediados de octubre, MediaMarktSaturn retiró los productos del fabricante de sus tiendas y de sus propias plataformas en línea. El detonante fue el aviso de un cliente que afirma haber encontrado electrónica adicional en dos dispositivos de tiendas distintas. Según la información publicada hasta ahora, este hallazgo no se ha verificado de forma independiente; un portavoz habló de una medida de precaución. Informamos de la suspensión de ventas en MediaMarkt y Saturn el 13 de octubre, cuando se conoció.

El fabricante comunicó entonces que no se habían notificado pérdidas económicas en relación con este caso alemán. Paralelamente, pidió a comerciantes y distribuidores de siete mercados asiáticos que suspendieran provisionalmente la venta. No hay constancia de una fecha para reanudarla en Alemania.

En la práctica, esto significa dos cosas. Si tienes en casa un dispositivo sin usar de una de estas tiendas, devuélvelo sin abrir en lugar de configurarlo. Y si tienes uno en uso, normalmente aún conservas el justificante de compra, con lo que el plazo del artículo 438 se puede acreditar sin problemas.

Denuncia penal, conservación de pruebas y el papel de la policía en Alemania

Junto al derecho de compraventa existe la vía penal, que afecta a los autores desconocidos, no al comerciante. Acceder a la cartera de otra persona y retirar sus fondos constituye en Alemania un delito de fraude informático y de espionaje de datos. Puedes presentar una denuncia en cualquier comisaría y en las comisarías en línea de los estados federados.

Qué debe quedar documentado

El valor de una denuncia y de una reclamación de garantía depende del mismo material. Incluye el justificante de compra con fecha y tienda, el embalaje original con su precinto adhesivo, fotos de la carcasa abierta, las direcciones de la cartera y los identificadores de las salidas con su hora. Este material ya no puede reconstruirse tras una nueva configuración o después de tirar la caja, y precisamente por eso documentar va antes que reclamar.

Una advertencia sobre las expectativas: la tasa de esclarecimiento de los delitos transfronterizos de este tipo es baja, y una denuncia no sustituye una reclamación contra el comerciante. Sin embargo, deja el caso registrado, y en muchos casos esa es la condición para que una aseguradora o un procedimiento posterior tengan en cuenta el perjuicio.

Cartera hardware: los dos años de garantía cuentan desde la fecha de compra

1. Primero los fondos, después la reclamación. Si tu dispositivo es sospechoso, transfiere las criptomonedas restantes, con otro dispositivo no comprometido, a una cartera nueva con una frase generada de nuevo. Un paso intermedio ordenado es una cuenta en un exchange autorizado; qué proveedores tienen licencia MiCA en Alemania lo recoge nuestra comparativa de exchanges regulados.
2. Documentar y después exigir. Guarda el justificante, el embalaje y las fotos y, a continuación, pide por escrito al comerciante la sustitución o la devolución del dinero, con un plazo. Si mientras tanto necesitas una custodia sin dispositivo nuevo, la comparativa de carteras de software muestra lo que ofrece cada solución y dónde están sus límites.
3. Cambiar el canal de compra. Compra el próximo dispositivo al propio fabricante o a un socio designado por él, no en el comercio libre. Los modelos y sus diferencias están en la comparativa de carteras hardware.

(29 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)