Por Canuto  

Mark Karpelès sostiene que Ledger debió actuar con mayor contundencia tras recibir reportes sobre dispositivos alterados. La confirmación de un implante no autorizado y las alertas sobre ventas en mercados digitales elevan la preocupación por la verificación de vendedores.
***

  • Karpelès dijo conocer al menos dos reportes enviados a Ledger desde diciembre de 2025 y no haber visto una advertencia pública de la empresa.
  • El investigador Joe Grand informó a Ledger sobre un Nano X comprado en Lazada Tailandia que, según sus hallazgos, contenía un implante malicioso.
  • También surgieron reportes sobre dispositivos Trezor vendidos por canales no autorizados, mientras OneKey retiró sus anuncios de revendedores para revisar sus controles.

Alertas previas y respuesta de Ledger

Las advertencias sobre billeteras de hardware presuntamente manipuladas habían llegado a Ledger meses antes de que la empresa confirmara un caso de implante no autorizado. Mark Karpelès, exdirector ejecutivo del exchange de Bitcoin Mt. Gox, dijo a Cointelegraph que conocía al menos a dos personas que contactaron a la fabricante francesa desde diciembre de 2025. Según Karpelès, no había encontrado una advertencia pública de Ledger en respuesta a esos reportes.

Uno de esos casos fue comunicado por el investigador de seguridad Joe Grand el 4 de marzo de 2026. Grand explicó que alertó a Ledger sobre un implante malicioso que encontró en un Nano X adquirido en agosto de 2025 a través de Lazada Tailandia, un mercado digital con múltiples vendedores. La empresa reconoció sus hallazgos y señaló que investigaba el asunto internamente, según el investigador.

Grand cuestionó que Ledger no hubiera advertido de forma proactiva a sus clientes sobre la amenaza. Su crítica no equivale a afirmar que todos los dispositivos vendidos en la plataforma estuvieran comprometidos; se refiere al equipo que examinó y a la comunicación posterior de la empresa. El caso, sin embargo, puso el foco en la dificultad de establecer quién controla cada anuncio dentro de un mercado con vendedores independientes.

Karpelès también mencionó el reporte de Tai Zen, un educador de criptomonedas vietnamita que, de acuerdo con su relato, contactó a Ledger en diciembre de 2025 por una billetera que sospechaba que había sido manipulada. El exdirectivo sostuvo que una alerta aislada podía no bastar para justificar una reacción amplia, pero que la acumulación de reportes y el nivel técnico de los implantes cambiaban el escenario. A su juicio, la empresa debía al menos recordar a sus clientes que verificaran sus compras.

La crisis y las dudas sobre los canales de venta

La crisis de seguridad más reciente de Ledger salió a la luz el 9 de octubre, cuando se reportaron pérdidas cripto vinculadas con billeteras vendidas mediante CryptoBilis, un revendedor autorizado en el sudeste asiático. Ledger confirmó que uno de los dispositivos afectados contenía un implante no autorizado, sin que esa confirmación establezca que todos los productos ofrecidos por el distribuidor estuvieran alterados. Cointelegraph informó que las pérdidas relacionadas con el caso podrían superar los 86 millones de dólares. La empresa declinó comentar específicamente sobre cómo gestionó la divulgación de Grand y remitió a sus declaraciones públicas.

En una presentación compartida con Cointelegraph, Grand identificó al vendedor del dispositivo manipulado como «LedgerXXX», en Lazada. Al momento de la publicación, ese vendedor no figuraba en la lista de revendedores autorizados de Ledger en Tailandia, aunque sí aparecía una tienda de Ledger en la plataforma. El medio pidió a Grand y a la empresa aclaraciones sobre la identidad y autorización del vendedor cuando se compró el dispositivo.

La presencia de una tienda oficial en un mercado no garantiza por sí sola que cada anuncio que muestre la plataforma provenga de ese canal. Archie, responsable de ventas de OneKey, señaló que sitios como Lazada albergan numerosos vendedores independientes, por lo que los compradores pueden tener dificultades para distinguir las tiendas autorizadas de otras publicaciones. Esa separación entre plataforma, tienda oficial y vendedor externo complica la verificación antes de adquirir un dispositivo destinado a proteger activos digitales.

Tras los incidentes recientes, OneKey retiró sus anuncios de revendedores mientras prepara controles más estrictos, según explicó la compañía. La firma sostuvo que los fabricantes deben asumir responsabilidad por la protección de sus clientes, en vez de depender únicamente de que cada comprador identifique qué vendedor merece confianza. El gesto muestra una respuesta comercial ante el problema, aunque la información disponible no detalla qué controles nuevos se aplicarán ni cuándo volverán las publicaciones.

Reportes sobre Trezor y límites de las garantías

Los hallazgos de Grand no se limitaron a Ledger. En agosto de 2026, el investigador también alertó a Trezor sobre billeteras Trezor One y Model T que, según indicó, habían sido manipuladas y se compraron a vendedores no autorizados en TikTok y Facebook. La empresa respondió que los productos falsificados pueden aparecer ocasionalmente en canales no autorizados y recordó que ya había advertido en 2022 sobre dispositivos modificados que se vendían en mercados rusos.

Trezor precisó que su afirmación reciente de que no tenía evidencia de dispositivos comprometidos se refería únicamente a billeteras nuevas vendidas por revendedores autorizados. Esa delimitación es importante: no constituye una garantía sobre productos adquiridos a vendedores ajenos a su red oficial ni contradice, por sí sola, los reportes de Grand sobre esos canales. La compañía describió los casos de vendedores no autorizados como señales tempranas que pueden ayudar a reforzar sus revisiones de seguridad.

La empresa añadió que una técnica nueva o el primer caso detectado a través de un canal autorizado cambiarían la evaluación del riesgo y motivarían una respuesta más rápida, incluida una advertencia directa a los clientes. La distinción plantea dos umbrales distintos: investigar incidentes en el mercado externo y determinar si el problema alcanzó la distribución oficial. No elimina el riesgo para quien compra fuera de esos canales, pero explica por qué Trezor considera relevante el origen de cada dispositivo reportado.

En este tipo de productos, la confianza depende tanto del dispositivo como de la certeza sobre su procedencia. Una billetera de hardware sirve para gestionar claves privadas y autorizar operaciones, pero la protección que ofrece puede quedar en entredicho si el comprador no puede confirmar quién la vendió o si fue alterada antes de llegar a sus manos. La información de estos casos no permite concluir que todas las billeteras vendidas en plataformas digitales sean inseguras; sí evidencia que distinguir vendedores autorizados puede ser difícil.

La advertencia pendiente para los compradores

El centro del reclamo de Karpelès no fue solo la existencia de un dispositivo alterado, sino la respuesta ante una serie de señales. Según él, Ledger debió considerar en conjunto los reportes conocidos y el nivel técnico de los implantes, en lugar de tratar cada descubrimiento como un episodio aislado. Su argumento apunta a una responsabilidad de comunicación: incluso cuando la investigación sigue en curso, una advertencia puede ayudar a que los usuarios revisen sus compras y extremen precauciones.

La empresa no ofreció comentarios específicos a Cointelegraph sobre la gestión de la divulgación de Grand y remitió a sus publicaciones públicas. Por eso, los detalles disponibles sobre la investigación interna provienen del relato del investigador, mientras que la confirmación de un implante en uno de los dispositivos afectados procede de Ledger. Mantener separadas esas atribuciones evita presentar como comprobados todos los señalamientos relacionados con vendedores, fechas o equipos distintos.

Los episodios también dejan claro que una marca visible en un anuncio no basta para acreditar la autorización del vendedor. Grand identificó una cuenta concreta en Lazada y el material consultado la mostraba fuera de la lista autorizada de Ledger en Tailandia, aunque la plataforma también tenía una tienda de la marca. La información no establece cuándo cambió el estatus del vendedor ni quién controlaba la cuenta durante toda la vida del anuncio, de modo que esos puntos siguen abiertos.

Por ahora, las señales descritas exigen cautela sin justificar una conclusión general sobre todos los productos de Ledger o Trezor. Ledger reconoció un implante no autorizado en un dispositivo afectado, Grand comunicó otros hallazgos y Trezor explicó el alcance limitado de su declaración sobre productos de distribuidores autorizados. La presión para mejorar la verificación y la comunicación continúa, mientras los fabricantes y las plataformas deben aclarar cómo separan los canales oficiales de los vendedores independientes.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados