Por Canuto  

Ledger relacionó los casos confirmados de vaciado con billeteras vendidas por el revendedor CryptoBilis. Investigadores on-chain estimaron pérdidas de entre USD 86 millones y USD 93,4 millones, cifras que la compañía no ha confirmado. Mark Karpelès dijo que encontró un implante en un dispositivo; Ledger confirmó un componente no autorizado en uno de los equipos, pero no ha explicado cómo funcionaba.
***

  • Ledger afirmó que todos los casos confirmados del incidente divulgado el 9 de octubre involucran dispositivos vendidos por CryptoBilis, un revendedor del Sudeste Asiático.
  • Mark Karpelès aseguró que encontró una placa oculta con componentes de comunicación en una billetera manipulada. Ledger confirmó un implante en un dispositivo, pero no detalló su funcionamiento.
  • La empresa aconsejó a quienes compraron en CryptoBilis que no inicialicen el dispositivo y que, si ya lo configuraron, trasladen sus activos a otro equipo y usen una frase de recuperación nueva.

Ledger relacionó los casos confirmados del vaciado de billeteras divulgado el 9 de octubre de 2026 con dispositivos vendidos por CryptoBilis, un revendedor del Sudeste Asiático. Investigadores on-chain estimaron pérdidas de entre USD 86 millones y USD 93,4 millones, mientras la compañía sostiene que sus sistemas y sus canales de venta directa no fueron comprometidos.

La preocupación se centra en un implante de hardware que, según Mark Karpelès, podría capturar la frase de recuperación, el secreto que permite restaurar una billetera en otro dispositivo. Ledger confirmó que uno de los equipos afectados contenía un componente no autorizado, pero aún no explicó cómo operaría. El relato técnico más detallado procede de Karpelès, ex CEO de Mt. Gox, quien dijo haber comprado una billetera manipulada en Malasia.

Un implante oculto bajo la pantalla

Las fotografías y los videos publicados por Karpelès parecen mostrar una pequeña placa de circuito escondida bajo la pantalla, en el espacio que normalmente ocuparía el relleno de ese componente. Según su descripción, la placa incluiría un microcontrolador, una antena, un chip LTE y una tarjeta eSIM, elementos que, de estar presentes y funcionar como él plantea, permitirían transmitir información desde el dispositivo.

Karpelès sostuvo que el implante observaría lo que aparece en la pantalla y registraría la frase de recuperación cuando el usuario la ve durante la configuración. Luego, afirmó, podría enviarla a un atacante. Ledger no ha confirmado públicamente este mecanismo ni ha detallado qué información habría capturado el componente que identificó en uno de los equipos.

La frase de recuperación no es una contraseña ordinaria: quien la obtiene puede reconstruir la billetera en otro dispositivo y controlar los fondos asociados, sin volver a tocar el hardware original. Por eso, si el mecanismo descrito por Karpelès fuera correcto, el atacante no necesitaría vaciar cada equipo en el momento del robo y podría esperar antes de mover los activos.

Ese posible retraso sería compatible con una operación que recolectara frases de forma silenciosa para usarlas más tarde, aunque esa explicación sigue siendo una hipótesis y no una conclusión confirmada por Ledger. El fabricante no ha descrito cómo se habría instalado el implante ni cuántos dispositivos podrían contenerlo, de modo que la investigación deberá aclarar tanto el método como el alcance.

El sello y la comprobación no descartaron la manipulación

Uno de los aspectos más inquietantes del caso es que Karpelès dijo que el envoltorio plástico de su billetera parecía intacto y que el dispositivo superó la Genuine Check de Ledger. A su juicio, la comprobación pudo pasar porque el chip de seguridad interno era genuino, aunque alguien hubiera añadido componentes ajenos bajo la pantalla.

Su explicación no demuestra que todos los dispositivos vendidos por revendedores puedan ser manipulados sin dejar señales, ni que la verificación de Ledger falle en general. La documentación de la empresa describe Genuine Check como una comprobación de la autenticidad del Elemento Seguro; pasarla no permite concluir, por sí solo, que el resto del dispositivo no haya recibido modificaciones físicas.

La única forma que Karpelès considera confiable para encontrar la placa adicional consiste en abrir la billetera, un procedimiento que implica desmontar el equipo y no representa una revisión sencilla para la mayoría de los clientes. Abrirlo tampoco constituye una recomendación general de Ledger; por ahora, la empresa ha centrado sus indicaciones en que los usuarios afectados contacten al soporte oficial y sigan las medidas de seguridad que comunicó.

La compañía afirmó que todos los casos confirmados relacionados con el incidente divulgado el 9 de octubre involucran billeteras vendidas por CryptoBilis, y agregó que sus propios sistemas y canales de venta directa permanecen fuera del compromiso. En cambio, una afirmación de un usuario sobre posibles equipos vendidos en Europa por MediaMarkt seguía sin verificarse y Ledger todavía no había comentado ese señalamiento, por lo que no debe confundirse con los casos confirmados.

La ventana de exposición podría ser mayor

En su actualización publicada el 11 de octubre, Ledger dijo que estaba trabajando con las autoridades pertinentes y que se comunicaba con los usuarios afectados. La empresa instó a quienes compraron una billetera a CryptoBilis a no inicializarla si aún no lo habían hecho, una medida que busca evitar que el cliente confíe fondos a un dispositivo que podría estar comprometido.

Para quienes ya configuraron un equipo adquirido a ese revendedor, Ledger recomendó trasladar los activos a un dispositivo nuevo y generar una frase de recuperación distinta. Transferir fondos sin cambiar una frase potencialmente expuesta no resolvería el riesgo: quien la hubiera obtenido podría restaurar la billetera y acceder de nuevo a los activos.

Ledger delimitó su consejo a las personas que compraron en CryptoBilis durante los 90 días anteriores, pero Bitquery advirtió que el periodo podría no cubrir todos los equipos en riesgo. La firma de análisis de blockchain indicó que más de ocho de cada diez billeteras vaciadas que rastreó recibieron fondos por primera vez en junio o después. Ese dato podría apuntar a una exposición más antigua, aunque no confirma cuándo se compró cada dispositivo ni cuándo habría sido manipulado.

Ledger pidió a CryptoBilis que pausara las ventas y los envíos mientras investiga los reportes. También recordó a sus revendedores y distribuidores autorizados que deben abastecerse solo por canales autorizados y no volver a poner en circulación productos devueltos. La empresa aconsejó evitar a vendedores no autorizados, pero el incidente también muestra que la condición de revendedor autorizado, por sí sola, no garantiza la integridad física de cada unidad.

Ledger pide cautela ante nuevos intentos de fraude

Ledger recomendó a los usuarios afectados comunicarse con su soporte mediante canales oficiales y presentar denuncias ante las autoridades locales. Help Net Security informó que la compañía también alertó sobre posibles intentos de fraude vinculados con el incidente, en los que estafadores podrían contactar a clientes para persuadirlos de revelar su frase de recuperación.

La empresa recalcó que nunca llamará ni enviará mensajes directos para pedir la frase de 24 palabras, y que los clientes deben confiar únicamente en sus canales oficiales. Esa advertencia es especialmente importante durante una investigación de seguridad, porque la urgencia y la incertidumbre pueden facilitar engaños que se hacen pasar por asistencia técnica o por una respuesta al incidente.

Por ahora, Ledger no ha publicado una explicación técnica completa del implante ni una cifra definitiva de dispositivos comprometidos. Las estimaciones de entre USD 86 millones y USD 93,4 millones proceden de investigadores on-chain y no han sido confirmadas por la compañía.

La investigación deberá precisar cómo llegó el componente a los equipos, qué periodo y número de unidades abarca y si existieron otros puntos de venta afectados. Mientras tanto, quienes compraron a CryptoBilis tienen una instrucción inmediata: no utilizar una unidad sin inicializar y, si ya la configuraron, mover los activos a un dispositivo distinto con una frase nueva, sin compartirla con nadie que los contacte de manera inesperada.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados