Ledger confirma un implante en una cartera hardware y los avisos llegan a Europa: qué hay detrás

Ledger ha confirmado que en al menos un dispositivo de un usuario afectado había un implante de hardware no autorizado. Según el fabricante, todos los casos confirmados conducen a un único distribuidor del Sudeste Asiático. Desde el 11 de octubre, los usuarios informan además de dispositivos comprados en el comercio minorista europeo, y ahí es donde el asunto empieza a afectarte: si la vía de venta es el punto de ataque, la marca de la caja cuenta menos que la pregunta de por qué manos ha pasado tu dispositivo.

Lo que Ledger confirmó el 11 de octubre y lo que expresamente no dijo

En un informe de situación publicado 72 horas después del incidente, Ledger escribió en X que todos los casos confirmados del robo revelado el 9 de octubre afectaban a dispositivos vendidos a través del distribuidor del Sudeste Asiático CryptoBilis. El servicio especializado en seguridad Help Net Security documenta esa formulación. El fabricante confirmó además que un dispositivo afectado contenía una placa adicional no autorizada.

Hay dos cosas que Ledger no hizo. No explicó cómo funciona técnicamente el implante. Y no indicó el número de dispositivos afectados. La empresa sí señala que sus propios sistemas y su canal de venta directa no se vieron comprometidos. Según sus declaraciones, Ledger colabora con las autoridades competentes y está contactando a los usuarios afectados.

Esa distinción no es un detalle menor. Un ataque a la fabricación afectaría a todos los dispositivos de una serie. Un ataque a una estación de la cadena de distribución afecta solo a los dispositivos que pasaron por ella. La diferencia determina cuántas personas tienen que actuar, y por ahora los indicios apuntan al segundo caso. Cómo empezó el incidente lo describimos el 10 de octubre en nuestro repaso del caso CryptoBilis.

CryptoBilis en Indonesia, Malasia y Filipinas: la vía confirmada hasta el dispositivo

CryptoBilis es un distribuidor autorizado y atiende a clientes en Indonesia, Malasia y Filipinas. La empresa había cambiado de propietario poco antes. Ledger exigió al comercio detener la venta y los envíos; según el fabricante, CryptoBilis ha dejado de vender carteras hardware.

Lo llamativo es la instrucción que Ledger dio después a todos sus distribuidores autorizados: abastecerse solo por canales autorizados y no devolver nunca al estante un producto devuelto. La segunda parte describe la palanca probable. Un dispositivo devuelto, abierto y vuelto a precintar parece mercancía nueva en la tienda.

Un ataque a la cadena de suministro no alcanza al producto en el fabricante. Alcanza una estación del camino hacia el comprador: almacén, transporte, gestión de devoluciones, estante de la tienda. Para los compradores, eso significa que la seguridad de una cartera hardware no empieza al encenderla por primera vez.

Implante de hardware bajo la pantalla: microcontrolador, chip LTE y e-SIM

La descripción técnica más detallada hasta ahora no viene del fabricante, sino de Mark Karpelès, antiguo responsable del exchange Mt. Gox. Afirma haber comprado él mismo un dispositivo manipulado en Malasia y ha publicado fotos y vídeos. En ellos se ve una pequeña placa bajo la pantalla, en el lugar donde por lo demás solo hay un relleno.

Según su exposición, esa placa lleva un microcontrolador, una antena, un módulo LTE y una e-SIM. Una e-SIM es una tarjeta SIM integrada de forma fija y grabable por vía digital; no necesita ranura y no se aprecia desde fuera. Karpelès describe un componente que lee lo que se muestra en la pantalla, capta así la frase de recuperación y la envía al atacante por la red móvil.

La frase de recuperación, también llamada seed phrase, es la secuencia de 24 palabras a partir de la cual puede recalcularse cada clave privada de tu cartera. Quien la conoce ya no necesita tu dispositivo. Por eso el momento de la configuración, cuando esas palabras aparecen una vez en la pantalla, es el instante más valioso para un atacante. Ledger no ha confirmado esta descripción del funcionamiento, y por ahora proviene de un único análisis, si bien técnicamente documentado.

Karpelès informa además de un segundo dispositivo sospechoso, adquirido mediante una oferta en Amazon Japón cuya mercancía procedía de Malasia. Eso también apunta a la vía comercial y no a la fabricación.

Genuine Check superado: el chip de seguridad auténtico sigue siendo auténtico y la placa añadida sigue invisible

El hallazgo más incómodo del caso afecta justo a la comprobación en la que los compradores confiaban. El Genuine Check es la verificación de autenticidad en la que el software de Ledger realiza un intercambio criptográfico de claves con el chip de seguridad del dispositivo y confirma después que se trata de un equipo original.

Karpelès afirma que su dispositivo manipulado llegó con el film retráctil intacto y que superó esa prueba. El motivo resulta evidente en cuanto se escucha: el chip de seguridad era auténtico. El implante está colocado al lado y la comprobación no lo abarca. Según su valoración, abrir el dispositivo es la única vía fiable para encontrar la placa adicional.

De ahí se sigue una consecuencia incómoda para la práctica. Una verificación de autenticidad superada sigue siendo buena señal, pero no prueba que no haya nada ajeno dentro de la carcasa. Quien tiene un dispositivo de segunda mano, o procedente de una vía con una cadena poco clara, no puede apoyarse solo en esa señal. Cómo está construido cada dispositivo y dónde están las diferencias lo detalla nuestra comparativa de carteras hardware.

De 72 a más de 93 millones de dólares: en qué se diferencian las estimaciones del daño

No existe una cifra oficial de daños. Los analistas on-chain de Bitquery llegan a una sospecha de más de 93 millones de dólares. Otras evaluaciones independientes quedan por debajo; el rango de las estimaciones publicadas va de unos 72 millones a más de 93 millones de dólares, repartidos entre cientos de carteras. Un análisis cita 93,4 millones de dólares en más de 300 direcciones.

Están afectados saldos en varias blockchains, y se mencionan Bitcoin, Ethereum y Tron. Que las cifras difieran es cuestión de método: quien atribuye direcciones a un incidente tiene que decidir qué movimientos siguen perteneciendo a él. Por eso damos el rango y no alisamos los valores en una sola cifra.

Análisis de Bitquery: ocho de cada diez carteras vaciadas recibieron fondos solo a partir de junio

El hallazgo más importante para ti no está en la suma del daño. Está en una ventana temporal. Bitquery ha rastreado las carteras vaciadas y constata que más de ocho de cada diez recibieron saldo por primera vez en junio o después. Eso sugiere que también pueden estar afectados dispositivos comprados en CryptoBilis ya en junio.

Eso va más allá del propio aviso de Ledger. El fabricante había recomendado a los compradores de los últimos 90 días trasladar sus fondos a un dispositivo nuevo. Contando hacia atrás desde el incidente del 9 de octubre, esa ventana termina a principios de julio. El rastro on-chain empieza un mes antes. Quien compró su dispositivo en junio a través de este comercio queda fuera del esquema de la recomendación del fabricante, pero no fuera de los datos.

Comercio minorista europeo: qué está acreditado en los avisos y qué no

El 11 de octubre se hizo público un aviso procedente de Europa. Un usuario que escribe en X como @0xJohannes_ afirma haber comprado su dispositivo en una sucursal de un distribuidor europeo oficial; el canal Crypto Banter difundió el caso ese mismo día. Según su relato, en el dispositivo había cables adicionales que no aparecen en los equipos originales, y la forma recordaba a una variante más antigua del implante, aunque la compra era de hacía solo unas semanas. Karpelès, que aparece en X como @MagicalTux, señaló una antena cuyo marcado apuntaría a una versión «euroasiática».

Aquí importa más el rigor que la rapidez. De ese dispositivo no se sustrajo ningún saldo. Del propio aviso no se desprende a qué cadena comercial se refiere. Solo se la nombra en la cobertura colindante; el portal especializado Crowdfund Insider escribe exactamente eso y renuncia a confirmar el caso por su cuenta. Ledger no se ha pronunciado en detalle sobre el aviso europeo y sigue atribuyendo los casos confirmados al comercio del Sudeste Asiático. Varios observadores consideran que las imágenes publicadas no son concluyentes y advierten contra deducir de casos aislados una contaminación amplia del comercio europeo.

Aun así queda algo para tu decisión. Hay un caso de implante confirmado, una vía documentada a través del comercio intermedio y una instrucción del fabricante de no volver a almacenar las devoluciones. Eso basta para repasar una vez la propia vía de compra, y no basta para caer en el pánico.

Compra en tienda o directamente al fabricante: la vía de compra es el criterio

Las recomendaciones de Ledger para los clientes afectados están formuladas con claridad. Quien compró en CryptoBilis y aún no ha configurado el dispositivo no debe inicializarlo. Quien ya lo ha configurado debe trasladar sus fondos a un dispositivo nuevo con una frase de recuperación recién generada, preferiblemente a un equipo adquirido directamente al fabricante. El contacto debe discurrir por los canales oficiales, y la empresa recomienda expresamente presentar una denuncia ante la policía local.

Para el mercado alemán no hay ningún caso confirmado. Los avisos del comercio minorista europeo sí dan motivo, en cambio, para convertir la vía de compra en el criterio. Comprar un dispositivo directamente al fabricante, o a un comercio con una cadena de suministro trazable, no cuesta más que algo de paciencia. Un dispositivo de un marketplace, de un anuncio clasificado o como devolución de manos poco claras trae consigo un riesgo que no puede comprobarse desde fuera.

También importa lo que no conviene hacer: abrir el propio dispositivo para buscar una placa destruye la garantía y, sin imágenes de referencia ni instrumentos de medición, no da ninguna respuesta sólida. La vía de una frase de recuperación nueva en un equipo de procedencia limpia es más barata y más segura que cualquier apaño en la carcasa.

Custodia MiCA y autocustodia: quién responde en caso de daño

Este incidente toca una decisión que muchos inversores toman una sola vez y no vuelven a revisar: autocustodia o custodia por un proveedor de servicios. La autocustodia, también llamada self-custody, significa que tú mismo tienes la clave privada y nadie más puede disponer de tus fondos.

El precio es que, si hay daño, no existe una contraparte. Quien pierde una seed por un dispositivo manipulado no tiene derecho alguno frente a un custodio. Queda una reclamación de daños contra quien manipuló el dispositivo, y ese suele ser desconocido. Con un custodio autorizado bajo el reglamento europeo MiCA, el cliente tiene en cambio un derecho frente a una empresa supervisada, con obligaciones de separar los fondos de los clientes. A cambio renuncia a la clave propia. Qué proveedores tienen licencia de la UE lo muestra nuestro panorama de los exchanges cripto regulados.

Ambas opciones son defendibles, y la mayoría de los inversores sale mejor parada con un reparto que con una solución pura. Lo decisivo es que sepas de qué parte de tus fondos respondes tú mismo si llega lo peor.

Phishing tras el incidente: Ledger no llama y nunca pide las 24 palabras

Tras cada incidente de seguridad grande llega una segunda ola, y esa alcanza a más gente que el incidente mismo. Ledger advierte expresamente de que los estafadores aprovechan la situación y deja claro un punto: la empresa no llama, no envía mensajes directos y nunca pide la frase de 24 palabras. Todo mensaje que haga exactamente eso es un ataque, por auténticos que parezcan el remitente y el diseño.

El mismo incidente ya ha llevado páginas falsas de Ledger a los resultados de búsqueda. Cómo reconocerlas lo escribimos en nuestro análisis de los sitios falsos de Ledger. La regla de fondo es corta: la frase no sale nunca del dispositivo, por ningún canal y para ningún servicio de soporte.

En el mercado, la noticia ha movido poco hasta ahora. El bitcoin cotiza en torno a 82.400 dólares según datos de CoinGecko, un buen uno por ciento por debajo del día anterior, y el mercado en su conjunto perdió alrededor del 3,7 % en 24 horas. El incidente es grave para los afectados y, para la cotización, un asunto secundario hasta ahora.

Implante de Ledger: una seed nueva es la única respuesta fiable

Si queda una duda sobre la vía de compra, no ayuda ninguna prueba en la carcasa. Solo ayuda una clave nueva en un dispositivo cuyo origen conoces. Estos tres pasos llevan hasta ahí:

1. Determinar la vía de compra. Revisa la factura y el comercio de tu dispositivo. Si viene del fabricante o de un comercio con una cadena de suministro clara, con la situación actual no hay nada que hacer. Si la compra fue de segunda mano o de fuente poco clara, parte de que hay riesgo. Qué dispositivos entran en consideración figura en la comparativa de carteras de software para el periodo de transición y entre los modelos de hardware.
2. Generar una frase de recuperación nueva. Configura de nuevo un dispositivo de procedencia limpia, anota las palabras nuevas sin conexión y traslada tus fondos por completo. La frase antigua cuenta como quemada desde ese momento, aunque no haya ocurrido nada. Para el tiempo intermedio, una parte puede quedar aparcada en un custodio regulado con licencia de la UE.
3. Actualizar los accesos. Cambia los accesos en todos los sitios donde estaba vinculado el dispositivo antiguo y vuelve a configurar la protección de dos factores. Dónde llevas qué cuentas y con qué comisiones lo ordena la comparativa de exchanges.

(12 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)