13,84 millones de dólares en 48 horas: «los fondos siguen moviéndose»

El atacante que está detrás del llamado drainer de Ledger CryptoBilis no se ha quedado quieto. La firma de análisis Arkham Intelligence cifró el 29 de octubre de 2026 los fondos robados en 95,35 millones de dólares repartidos en 1.486 direcciones y dejó constancia de que en las 48 horas anteriores se habían movido 13,84 millones de dólares. Para quien guarda sus criptomonedas en una cartera hardware, esa es la verdadera noticia del día: el caso tiene tres semanas, pero no está cerrado.

Arkham escribió en X, según recoge crypto.news: «The CryptoBilis Ledger Drainer stole $95M, and is still moving funds». Es decir: el drainer habría robado 95 millones de dólares y seguiría moviendo fondos. Un drainer es el término técnico para el procedimiento con el que un atacante vacía por completo una cartera en cuanto dispone de su acceso.

Arkham cuenta 95,35 millones de dólares en 1.486 direcciones

La cifra es una actualización, no un hallazgo nuevo. Cuando abordamos el caso a mediados de octubre, el centro de atención eran 86 millones de dólares y la cuestión de los dispositivos manipulados. Desde entonces Arkham ha atribuido más direcciones. Las propias salidas de fondos se sitúan entre el 7 y el 9 de octubre de 2026, según el análisis.

Ledger no ha confirmado expresamente esta cifra total. La compañía recuerda que las estimaciones proceden de terceros y que no las ha verificado. Eso es más que una formalidad, porque las cifras no coinciden.

Bitquery llegó a 102 millones de dólares, Arkham a 95,35

La firma de datos Bitquery había hablado de unos 102 millones de dólares en una investigación del 16 de octubre. Análisis anteriores se movían entre 86 y 93 millones de dólares. Esas horquillas surgen porque cada firma de análisis tiene que decidir por sí misma qué dirección atribuye al atacante. Quien incluye una dirección que más tarde se identifica como ajena, acaba con una suma mayor.

Lo que resiste, por tanto, no es la cifra redonda sino el rango: entre 86 y 102 millones de dólares, según la atribución y la fecha de corte. La dirección es la misma en todos los análisis, y apunta hacia arriba.

13,84 millones de dólares se movieron en 48 horas

Que los fondos sigan en movimiento es la información más relevante para los afectados. Los fondos robados que se empujan a través de varias direcciones y varias blockchains acaban casi siempre en un servicio que los cambia por otro tipo de dinero. Ahí intervienen precisamente los investigadores y los emisores de stablecoins, y ahí se decide si de un robo vuelve algo.

Arkham atribuye en este momento 30,44 millones de dólares a las direcciones que ha marcado. Esa es la parte visible y, por tanto, en principio alcanzable. No es un importe al que los perjudicados tengan derecho, ni es una garantía de que vaya a congelarse.

Tether mantiene 10.000.010 USDT congelados en Tron

Una parte del dinero sí está inmovilizada. Tras la intervención del emisor de stablecoins Tether del 9 de octubre, hay 10.000.010 USDT congelados en la blockchain de Tron. Congelar significa aquí que el emisor incluye la dirección afectada en una lista de bloqueo, de modo que los tokens que están ahí ya no pueden transferirse.

Eso funciona con las stablecoins de emisión centralizada, porque existe un emisor capaz de intervenir. Con fondos sin emisor no hay esa palanca. Quien quiera saber cuánto de un robo es recuperable tiene que preguntarse primero en qué tipo de valor está el botín.

El implante leía la frase de recuperación de 24 palabras durante la configuración

La base técnica del caso la ha expuesto Donjon, el departamento de seguridad de Ledger, y es la razón por la que este incidente es distinto de un ataque de phishing corriente. En los dispositivos afectados había un componente adicional. Intercepta las 24 palabras de la frase de recuperación en el momento en que se configura el dispositivo y las envía al exterior por la red móvil, mediante una eSIM preparada para ello.

La frase de recuperación, también llamada frase semilla, es la secuencia de palabras a partir de la cual se pueden recalcular todas las claves de una cartera. Quien la tiene, tiene los fondos, al margen de dónde se encuentre el dispositivo. Por eso leerla durante la configuración equivale a la pérdida completa del control, y por eso a los afectados no les sirvió de nada que su dispositivo siguiera funcionando con normalidad después.

Por qué el ataque solo se hizo visible semanas más tarde

Entre la lectura y el vaciado puede pasar tiempo, porque el atacante decide por sí mismo cuándo actúa. Según el análisis, la mayor parte de las salidas se concentró en una ventana de 51 minutos del 9 de octubre. Hasta entonces no había nada que los afectados pudieran ver: ninguna actualización llamativa, ningún mensaje de error, ninguna transacción inusual.

51 minutos del 9 de octubre, la ventana de la mayoría de las salidas

Esa concentración explica por qué la suma llegó tan rápido a tres cifras. El atacante ya tenía las frases y solo debía lanzar las transacciones. Para la investigación es una ventaja, porque una ventana estrecha facilita la atribución de direcciones. Para los afectados fue el peor caso, porque reaccionar en ese tiempo era prácticamente imposible.

El elemento seguro y el sistema operativo quedaron intactos según Ledger

Ledger subraya un punto que importa a todos los demás dispositivos: el implante no altera ni el elemento seguro, el chip protegido en el que están las claves, ni el sistema operativo del dispositivo. Tampoco interviene en las transacciones ni en las firmas. La compañía añade que no hay indicios de que su propia infraestructura o su canal de venta directa se hayan visto comprometidos.

De ahí se derivan dos conclusiones, una tranquilizadora y otra incómoda. La tranquilizadora: quien compró su dispositivo directamente al fabricante no está afectado por esta vía. La incómoda: la seguridad de una cartera hardware no depende solo de su técnica, sino también de por qué manos pasó antes de encenderse por primera vez. Para elegir un dispositivo con ese criterio, los modelos habituales y sus vías de compra están en nuestra comparativa de carteras hardware.

Ledger atribuye cada caso confirmado a los dispositivos de un solo distribuidor

Según la propia investigación de Ledger, todos los robos confirmados procedían de dispositivos vendidos a través del distribuidor del sudeste asiático CryptoBilis. El soporte de Ledger dejó constancia el 10 de octubre: «Ledger can confirm that one of the impacted users’ devices contained an unauthorized hardware implant». La compañía confirmó así un componente no autorizado en el dispositivo de un usuario afectado.

Cómo llegaron esos componentes a los dispositivos es algo que Ledger, según su propia versión, todavía no ha aclarado. Con ello no se formula ningún reproche al distribuidor; CryptoBilis ha suspendido la venta y la entrega de dispositivos Ledger mientras dure la investigación. Al margen de eso, The Record informó sobre el mecanismo del implante y la valoración del equipo de seguridad de Ledger.

MediaMarkt y Saturn pararon la venta, CryptoBilis las entregas

Para Alemania, ese es el punto de contacto concreto. Tras la información sobre un dispositivo manipulado en el país, MediaMarkt y Saturn suspendieron la venta de dispositivos Ledger, y lo hicieron antes de que estuviera aclarado si el caso alemán guarda relación con la serie del sudeste asiático. En paralelo, Ledger ha endurecido los requisitos de seguridad para los distribuidores y ha detenido la venta autorizada en varios mercados de esa región.

Quien compró un dispositivo en una tienda física no queda en peor posición jurídica que ante cualquier otro defecto. Un dispositivo manipulado es defectuoso, y las reclamaciones se dirigen al vendedor, no al fabricante.

Qué recomienda Ledger a los compradores de dispositivos afectados

Las indicaciones del fabricante distinguen tres situaciones. Quien compró un dispositivo a CryptoBilis y todavía no lo ha configurado no debe configurarlo y debe dirigirse al soporte. Quien ya lo ha configurado debe trasladar sus fondos a un dispositivo nuevo con una frase de recuperación nueva. Y quien ha perdido dinero debe acudir a las autoridades antes de abrir el dispositivo, porque el componente es una prueba.

Ese último punto se pasa por alto con facilidad. Un dispositivo desmontado vale bastante menos para una investigación, y la tentación de mirar uno mismo es grande.

La policía de Singapur comunica dos casos más el 28 de octubre

El 28 de octubre la policía de Singapur informó de dos casos de carteras comprometidas en los que algunos componentes podrían haber interceptado frases de recuperación o claves privadas. Ledger está revisando además otros avisos, entre ellos uno sobre un dispositivo comprado en el aeropuerto de Singapur. Ahí no está confirmada la relación con la serie conocida.

Si de esto surge una segunda línea está abierto. Solo cabe constatar que, tras tres semanas, el caso sigue creciendo, tanto en número de avisos como en importe.

Una alternativa regulada para quien renuncia a la autocustodia

De un caso como este cabe extraer también la conclusión contraria. La autocustodia exige dominar toda la cadena de suministro, de la fabricación a la configuración. Quien no quiera asumirlo puede ceder la custodia, y bajo el reglamento europeo MiCA lo hacen proveedores con autorización y obligaciones de supervisión.

Esa elección tiene un precio, y se llama riesgo de contraparte: cambias la responsabilidad sobre un dispositivo por la confianza en una empresa. No hay una respuesta válida para todos, solo una que encaje con el importe en juego y con tu propia diligencia.

Drainer de Ledger: 30,44 millones en direcciones marcadas

1. Comprueba por qué vía se compró tu dispositivo y conserva el justificante. Si toca un recambio, compara las vías de compra en la comparativa de carteras hardware y compra al fabricante o a un distribuidor que él mismo mencione.
2. Ante cualquier duda, configura una cartera nueva con una frase de recuperación nueva y traslada ahí tus fondos. Para la transición, o para importes pequeños, la comparativa de wallets de software muestra qué aplicaciones entran en juego.
3. Decide de forma consciente cuánto quieres custodiar tú mismo. Lo que vaya más allá puede estar en un proveedor autorizado; los criterios para ello están en los exchanges regulados.

(29 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)