Falsas actualizaciones del firmware de Ledger: SlowMist avisa de páginas de phishing que imitan el Genuine Check

Ninguna actualización auténtica del firmware de Ledger pide tus 24 palabras. Eso es precisamente lo que intenta una campaña de phishing que la firma de seguridad SlowMist comunicó el 16 de octubre de 2026 por su canal de inteligencia de amenazas en X. Las páginas falsas reproducen el recorrido de una actualización oficial, hasta la verdadera comprobación de autenticidad de Ledger, y al final llega la petición de teclear las palabras de recuperación. Quien lo hace pierde el acceso a todos los saldos vinculados a esa cartera.

El momento no es casual. Desde el 9 de octubre avanza el esclarecimiento de un incidente en el que dispositivos Ledger manipulados llegaron al mercado a través de un distribuidor autorizado del Sudeste Asiático. Ese caso ha dado a muchos propietarios de una cartera hardware, por primera vez en años, la sensación de tener que revisar su dispositivo. Esa inseguridad es la materia prima de la que los operadores de las páginas falsas sacan su alcance.

El procedimiento: una actualización falsa pide las 24 palabras

Las páginas descritas por SlowMist no son formularios burdos. Según el aviso, conducen por tres estaciones: una página que imita la llamada Genuine Check, la elección del modelo de dispositivo y un botón con el rótulo «Update Now». Solo después llega la petición decisiva, la introducción de las palabras de recuperación.

Esa construcción es deliberada. Refleja el orden que un propietario espera de una actualización real y coloca la pregunta crítica justo al final, cuando los pasos previos ya han generado confianza. SlowMist no cita en el aviso ningún nombre de dominio de las páginas falsas ni dice por qué vía acaban los propietarios ahí. Está acreditado el recorrido, no el canal de difusión.

Qué es técnicamente la frase de recuperación

La frase de recuperación, a menudo llamada también seed phrase, es una secuencia de 24 palabras que se genera al configurar un dispositivo Ledger. Es la raíz matemática de todos los pares de claves que ese dispositivo gestiona. Quien conoce esas palabras puede restaurar las carteras en cualquier otro dispositivo y mover los saldos sin tener nunca en la mano el aparato original. Un PIN no protege de eso, porque el PIN bloquea solo el dispositivo, no las palabras.

De ahí sale la única regla que cuenta en este asunto: las 24 palabras se muestran una vez durante la configuración y después no se piden nunca más, por ninguna página, ninguna aplicación y ningún agente de soporte. Toda petición es un ataque, por buena que sea la apariencia de la página.

Genuine Check: la comprobación de autenticidad imitada es el cebo

El Genuine Check no es un término inventado por los atacantes, sino un paso real en Ledger. En él, el dispositivo demuestra ante los servidores de Ledger que lleva dentro un elemento seguro sin alterar. Los propietarios conocen el paso porque se ejecuta en segundo plano durante la configuración y en las actualizaciones.

Es justamente esa familiaridad la que hace eficaz la imitación. Una página que recoge un término del recorrido auténtico parece a primera vista más creíble que una interfaz inventada. Quien está acostumbrado a que una comprobación de autenticidad vaya al principio la interpreta como una confirmación y no como parte del engaño. A ello se suma que, tras los avisos de los últimos días, muchos propietarios buscan de todos modos una forma de comprobar la autenticidad de su dispositivo.

CryptoBilis: el implante de hardware que la campaña usa como cebo

El incidente sobre el que se monta la oleada de phishing empezó con informaciones sobre pérdidas de dinero entre los clientes de un distribuidor. En su comunicado, Ledger señala a CryptoBilis, distribuidor autorizado para Indonesia, Malasia y Filipinas, como el canal por el que dispositivos manipulados llegaron a la venta. Ledger ha pedido al distribuidor que suspenda venta y envíos, y ha abierto una investigación. Si el distribuidor sabía de las manipulaciones, Ledger no lo dice; hasta ahora ninguna instancia ha formulado tal constatación.

Según la exposición de Ledger, un grupo criminal compró durante meses dispositivos auténticos, los abrió e insertó componentes ocultos fabricados a medida. Esos componentes estaban diseñados para captar la frase de recuperación durante la configuración. Después, los dispositivos volvían a la venta. El laboratorio de seguridad de Ledger, Donjon, ha desmontado uno de esos implantes y ha determinado cómo funciona.

El comunicado de Ledger del 15 de octubre: una «localized distribution attack»

Ledger expuso su lectura del incidente el 15 de octubre de 2026 en una publicación propia. La frase central dice: «This was not a systemic supply chain attack, it was a localized distribution attack». Es decir: la empresa no ve un ataque a toda la cadena de suministro, sino una intervención en la vía de distribución, después de que los dispositivos hubieran salido de su ámbito de control. Ledger escribe además: «There was no flaw in Ledger’s chip, operating system or servers», esto es, ningún fallo en el chip, el sistema operativo o los servidores, y: «Ledger’s systems were not compromised».

Para los propietarios en Alemania, el mismo comunicado contiene un dato que les afecta directamente. Ledger envió equipos propios a mercados locales, expresamente también a Alemania, compró allí dispositivos en tienda y los abrió, y examinó muestras de las existencias de almacén. La empresa resume el resultado con la frase «Every unit examined was clean», es decir: toda unidad examinada estaba limpia. Ledger pidió además a distribuidores y mayoristas autorizados que suspendieran la venta en el Sudeste Asiático y Hong Kong.

Estos datos proceden del propio fabricante y no son una verificación de una instancia independiente. Aun así, son la descripción pública más precisa del incidente disponible, y acotan geográficamente el área afectada.

De 86 a 93,2 millones de dólares: la horquilla de las estimaciones

Sobre la cuantía del daño hay dos cifras y difieren entre sí. La firma de análisis Bitquery llegó, en una evaluación del 11 de octubre de 2026, a unos 93,2 millones de dólares, salidos de 315 carteras en seis blockchains distintas. Junto a ella hay un recuento más bajo, de unos 86 millones de dólares, que analistas on-chain obtuvieron a partir de las direcciones de recolección de los atacantes y del que informamos el 10 de octubre.

Ambos valores son estimaciones del análisis de la blockchain, no cuentas confirmadas. Ledger no ha confirmado la cifra de Bitquery. La horquilla se mantiene por eso, y puede desplazarse hacia arriba si se atribuyen más direcciones.

Por qué las cifras de daño crecen en incidentes de este tipo

Con un implante que capta las palabras durante la configuración, entre el robo de los datos y la salida del saldo suele mediar mucho tiempo. Los atacantes pueden esperar a que en una dirección haya un importe que merezca la pena. Una evaluación a una fecha concreta recoge por tanto solo las carteras vaciadas hasta entonces, no todos los dispositivos comprometidos.

La vía auténtica de actualización pasa por la app de Ledger, no por un enlace

Una actualización de firmware de un dispositivo Ledger se hace a través de la aplicación acompañante del fabricante en el ordenador o el móvil, durante mucho tiempo llamada Ledger Live. La aplicación reconoce el dispositivo conectado, descarga la actualización y exige una confirmación en cada paso en la propia pantalla del dispositivo. Esa pantalla es el punto donde compruebas qué ocurre realmente, porque la genera el dispositivo y no una página web.

SlowMist formula en el aviso dos recomendaciones que apuntan exactamente a esto: no actualizar nunca dispositivos Ledger mediante enlaces en páginas web, y no introducir la frase de recuperación en ningún sitio. Ambas frases suenan banales y dan en el centro, porque las páginas falsas extraen todo su efecto de confundir el navegador con el dispositivo.

Cinco rasgos de las páginas falsas de actualización

• La página pide introducir las 24 palabras en un campo de formulario. Ese punto por sí solo lo decide todo.
• El recorrido arranca en el navegador en lugar de en la aplicación instalada del fabricante.
• Se genera presión de tiempo, por ejemplo con la afirmación de que el dispositivo es inseguro sin la actualización.
• La entrada llegó por un enlace en un mensaje, un anuncio o un resultado de búsqueda.
• La página no exige ninguna confirmación en la pantalla del dispositivo, aunque afirma estar ejecutando una actualización.

La página falsa de la que informamos el 11 de octubre subía en la búsqueda de Google y muestra que la vía de entrada cambia. La petición de las palabras, en cambio, permanece constante, y por ella se reconoce cada variante. Más sobre estos patrones en nuestro análisis de la página falsa de Ledger en la búsqueda de Google.

Autocustodia o custodia regulada: la ponderación para los inversores en Alemania

El incidente mueve una pregunta que muchos daban por resuelta. Una cartera hardware te quita el riesgo de contraparte de un exchange y te impone en cambio otros dos riesgos: la seguridad de tu vía de compra y la seguridad de tus 24 palabras. El caso del implante demuestra que la vía de compra no es un riesgo teórico, y la oleada de phishing actual demuestra lo mismo para las palabras.

De ahí no sale ningún argumento contra la autocustodia, sino uno a favor de un reparto consciente. Si custodias tú mismo cantidades grandes, compra los dispositivos directamente al fabricante o a distribuidores autorizados y configúralos de modo que las palabras nunca salgan del dispositivo en forma digital. Si prefieres ceder la custodia, acabas con proveedores que necesitan una licencia para la actividad de custodia en la UE, y cambias un riesgo por otro. En qué se diferencian los dispositivos lo muestra nuestra comparativa de carteras hardware.

Distribuidores en Alemania han parado en parte la venta

El incidente ha llegado también al comercio alemán. MediaMarkt y Saturn han suspendido la venta de dispositivos Ledger, de lo que informamos el 14 de octubre. Ledger, por su parte, presentó el 15 de octubre un nuevo dispositivo llamado Atom que, según el fabricante, impediría implantes de este tipo mediante otra vía de configuración.

Para la decisión que toca ahora, eso es una nota al margen. Lo decisivo sigue siendo de dónde viene un dispositivo y si las palabras han llegado alguna vez a un campo de entrada. El estado de la investigación lo hemos recogido en nuestro artículo sobre la confirmación del implante por Ledger.

Trezor, SafePal y BitBox: la misma lógica alcanza también a otros fabricantes

La petición de las palabras de recuperación no es un problema de Ledger, sino el objetivo común de todos los ataques contra carteras hardware. En las últimas semanas hubo ocasiones comparables en otros proveedores, entre ellas una fuga de datos en un operador logístico de Trezor y una fuga de datos en SafePal, de las que informamos el 13 de septiembre y el 11 de octubre. En ninguno de los dos casos la puerta de entrada fue el dispositivo, sino la lista de direcciones de clientes, que luego servía para un acercamiento selectivo.

El mecanismo se repite: un incidente público genera inseguridad, y en pocos días aparecen páginas y mensajes que traducen esa inseguridad en una acción. Quien conoce el patrón una vez ya no necesita los detalles de cada campaña, porque la última pregunta es siempre la misma.

Qué queda por hacer si la frase ya se ha introducido

Si las 24 palabras se han teclado en una página ajena, la cartera se considera abierta. Entonces cuenta la velocidad: configurar un dispositivo nuevo con una frase generada de cero y mover los saldos a las nuevas direcciones antes de que lo hagan los atacantes. La frase antigua no se vuelve a usar nunca, ni siquiera para un solo activo, porque cubre todas las direcciones derivadas de ella. Una restauración en el mismo dispositivo no resuelve el problema, porque el problema es la frase y no el hardware.

Lo esencial del aviso de SlowMist

SlowMist comunicó el 16 de octubre de 2026 una campaña de phishing que reproduce una actualización de firmware de Ledger e imita el Genuine Check auténtico de Ledger para pedir al final las 24 palabras de recuperación. La campaña usa como cebo el caso del implante en el distribuidor CryptoBilis. Ledger calificó el incidente el 15 de octubre de «localized distribution attack», descartó cualquier fallo en el chip, el sistema operativo y los servidores, y comunicó que también los dispositivos comprados y abiertos en Alemania estaban limpios. Las estimaciones del daño van de unos 86 a 93,2 millones de dólares. La contramedida es la misma en ambos casos: actualizaciones solo desde la aplicación del fabricante, y las palabras en ningún campo de entrada.

Phishing de Ledger: ninguna actualización auténtica pide tus 24 palabras

1. Actualiza solo desde la aplicación instalada del fabricante. Conecta el dispositivo, abre la aplicación acompañante y confirma cada paso en la pantalla del dispositivo. Si llega un aviso de actualización por correo, anuncio o resultado de búsqueda, ignora el enlace y abre tú mismo la aplicación. Qué dispositivos usan qué vía de configuración está en la comparativa de carteras hardware.
2. Comprueba la procedencia de tu dispositivo. Los dispositivos del fabricante o de distribuidores autorizados son el caso normal; las ofertas de mercados de segunda mano y de vendedores desconocidos, no. Con un dispositivo de segunda mano, configúralo con una frase generada de cero. Para el lado del software de la custodia ayuda la comparativa de carteras de software.
3. Decide qué parte de tu saldo está dónde. Fija qué importe custodias tú mismo y cuál queda en un proveedor autorizado, y escribe la decisión. Un panorama de los mercados autorizados en la UE lo encuentras en exchanges cripto regulados.

Fuentes: el comunicado de Ledger del 15 de octubre de 2026 y el artículo sobre el aviso de SlowMist del 16 de octubre de 2026.

(16 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)