Por Hannah Pérez  

Un ataque a la cadena de suministro de billeteras Ledger convirtió uno de los dispositivos diseñados para proteger criptomonedas en una herramienta de espionaje. Un circuito escondido detrás de la pantalla podía capturar las 24 palabras de recuperación y transmitirlas mediante una conexión celular. Investigadores estiman pérdidas superiores a USD $90 millones, mientras el caso ya se extiende desde el sudeste asiático hasta Europa.

***
  • Ledger confirmó que dispositivos vendidos por CryptoBilis contenían un implante capaz de capturar frases de recuperación.
  • El circuito utilizaba una eSIM y conectividad LTE para transmitir las 24 palabras fuera del dispositivo.
  • Analistas Blockchain han rastreado entre USD $93 millones y USD $94,5 millones vinculados al incidente.
  • MediaMarktSaturn retiró preventivamente productos Ledger en Europa tras detectarse dispositivos manipulados en Alemania.

 

 

Una hardware wallet suele considerarse una de las formas más seguras de almacenar Bitcoin y otras criptomonedas porque mantiene las claves privadas alejadas de computadoras y teléfonos potencialmente comprometidos. Pero un incidente descubierto durante octubre de 2026 expuso una vulnerabilidad mucho más difícil de resolver con software: qué ocurre si el dispositivo ya fue físicamente alterado antes de llegar al usuario.

Eso es precisamente lo que investigadores y Ledger han comenzado a reconstruir tras una serie de robos relacionados con dispositivos vendidos originalmente por CryptoBilis, un revendedor de hardware wallets que operaba en el sudeste asiático.

Lo que inicialmente comenzó como reportes de clientes cuyas billeteras habían sido inexplicablemente vaciadas terminó revelando pequeños circuitos electrónicos escondidos dentro de algunos dispositivos Ledger. El fabricante confirmó posteriormente que el implante era capaz de observar las palabras de recuperación mostradas durante la configuración y transmitirlas utilizando una red celular.

El ataque es particularmente significativo porque no necesitaba romper el Elemento Seguro de Ledger ni vulnerar criptográficamente el dispositivo. Atacaba algo distinto: la pantalla y la cadena de suministro.

Cómo funcionaba el chip oculto

Durante la configuración inicial de una hardware wallet Ledger, el dispositivo genera una frase de recuperación de 24 palabras. Esa secuencia constituye, en términos prácticos, la llave maestra de los activos asociados a la billetera.

Quien conozca esas palabras puede restaurar las claves en otro dispositivo y controlar los fondos sin necesidad de poseer físicamente la wallet original.

La investigación de Ledger determinó que los dispositivos modificados incluían un circuito no autorizado colocado cerca de la pantalla. El implante podía capturar las palabras mientras aparecían ante el usuario durante el proceso de configuración y después enviarlas al atacante mediante conectividad LTE utilizando una eSIM integrada.

Ledger indicó que el circuito no modificaba el Secure Element, el sistema operativo Ledger ni las firmas de las transacciones. En otras palabras, el núcleo criptográfico del dispositivo podía continuar funcionando correctamente mientras un componente externo observaba la información que aparecía en pantalla.

Ese detalle ayuda a explicar por qué el ataque podía pasar desapercibido incluso si el dispositivo superaba las verificaciones habituales de autenticidad.

Uno de los primeros indicios públicos llegó de la mano de Mark Karpelès, antiguo CEO de Mt. Gox, quien encontró una pequeña placa adicional escondida detrás de la pantalla de un dispositivo aparentemente nuevo y correctamente sellado. DiarioBitcoin documentó ese hallazgo el 10 de octubre en su cobertura sobre el chip espía encontrado dentro de un Ledger sellado, una señal temprana de que el problema podía estar en la manipulación física del hardware y no en una falla del software de Ledger.

La posibilidad de que el equipo mantuviera intacto su envoltorio exterior agravó todavía más el problema, porque el usuario no necesariamente tenía una señal visible de que alguien había intervenido el dispositivo antes de su venta.

De un robo de 80 BTC a decenas de millones

Las primeras señales del incidente aparecieron cuando varios propietarios comenzaron a reportar fondos desaparecidos pese a asegurar que nunca habían compartido sus frases de recuperación.

Uno de los casos más llamativos fue el de un usuario que perdió 80 bitcoins (BTC), valorados entonces en aproximadamente USD $6,6 millones, después de trasladarlos a una nueva billetera Ledger.

Los bitcoins habían llegado a la dirección el 29 de septiembre y fueron enviados fuera de ella en una sola operación el 9 de octubre. DiarioBitcoin cubrió aquel episodio en detalle al reportar que el usuario había perdido 80 bitcoins tras comprar una billetera Ledger, en un momento en el que todavía no estaba claro cómo podían haberse comprometido las claves.

La aparición posterior de los implantes físicos ofreció una explicación plausible para al menos parte de esos robos.

Conforme aparecieron más direcciones potencialmente relacionadas, las estimaciones crecieron rápidamente.

Bitquery dijo haber rastreado aproximadamente USD $93,2 millones vinculados al incidente, mientras YFarmX elevó el cálculo hasta aproximadamente USD $94,5 millones. DiarioBitcoin también siguió esa evolución al informar que un implante oculto en una billetera Ledger podía estar relacionado con pérdidas de hasta USD $93,4 millones.

Estas cantidades, sin embargo, deben interpretarse con cautela.

Ledger ha confirmado la existencia del implante y su capacidad para capturar frases de recuperación, pero eso no significa que cada dólar identificado por investigadores Blockchain pueda atribuirse definitivamente al mismo dispositivo, operador o grupo de atacantes.

Tether congela parte de los fondos

La transparencia de las blockchains permitió seguir una parte importante del dinero robado y, en algunos casos, intervenir antes de que desapareciera por completo.

Tether congeló aproximadamente USD $10 millones en USDT relacionados con direcciones vinculadas a la investigación. DiarioBitcoin informó sobre esa medida en su cobertura del congelamiento de USD $10 millones tras el robo asociado a dispositivos Ledger distribuidos por CryptoBilis.

Los investigadores detectaron además movimientos posteriores de fondos entre diferentes redes y servicios, una estrategia habitual para dificultar su seguimiento.

Ledger sostiene que todos los casos confirmados inicialmente estaban asociados con dispositivos vendidos mediante CryptoBilis y que sus propios sistemas internos y ventas directas no fueron comprometidos.

La compañía pidió a quienes tengan un dispositivo adquirido mediante ese distribuidor que no lo configuren si todavía permanece sin inicializar. A quienes ya lo utilizaron les recomendó mover sus activos a un dispositivo seguro utilizando una frase de recuperación completamente nueva.

Ese último punto es crucial. Cambiar únicamente el dispositivo pero reutilizar las mismas 24 palabras no elimina el riesgo, porque un atacante que haya capturado la semilla comprometida puede seguir teniendo acceso a los fondos.

El problema aparece también en Europa

El caso dejó de ser exclusivamente un problema relacionado con CryptoBilis cuando surgieron reportes de dispositivos manipulados en Alemania.

Un cliente aseguró haber comprado dos Ledger Nano X en distintas tiendas MediaMarkt y haber encontrado componentes electrónicos adicionales dentro de ambos equipos.

MediaMarktSaturn posteriormente retiró productos Ledger de sus tiendas físicas y plataformas en línea en varios mercados europeos como medida preventiva. Ledger confirmó que coordinaba con el minorista la investigación de un dispositivo manipulado reportado en Alemania.

Hasta el 14 de octubre, no se habían reportado pérdidas de fondos asociadas con ese caso europeo y Ledger dijo que no tenía indicios de que sus sistemas centrales hubiesen sido comprometidos.

El fabricante investiga ahora en qué punto de la cadena de suministro fueron modificados los dispositivos.

El episodio también provocó una reacción entre otros fabricantes. OneKey eliminó a CryptoBilis de su red de revendedores y lanzó un programa para reemplazar determinados dispositivos vendidos a través del distribuidor. DiarioBitcoin recogió esa respuesta al informar que OneKey había retirado a CryptoBilis de su red tras los reportes de robos multimillonarios.

Una vulnerabilidad diferente: confiar en el dispositivo

El ataque pone de manifiesto una distinción importante dentro del concepto de autocustodia. Una hardware wallet protege contra numerosos ataques digitales porque mantiene las claves privadas dentro de hardware especializado y exige autorización física para firmar transacciones. Pero ninguna arquitectura criptográfica elimina completamente el riesgo de que un dispositivo sea manipulado físicamente antes de llegar al propietario.

En este caso, los atacantes aparentemente evitaron enfrentarse directamente al Secure Element. En lugar de intentar extraer una clave privada protegida criptográficamente, esperaron a que el propio dispositivo mostrara al usuario la información necesaria para reconstruirla. Eso transforma la cadena de suministro en parte del modelo de seguridad.

El incidente también reavivó el debate sobre si mantener personalmente las claves sigue siendo más seguro que recurrir a custodios institucionales o vehículos como ETF de Bitcoin. DiarioBitcoin abordó precisamente esa discusión al analizar cómo el implante hallado en dispositivos Ledger reavivó el debate entre autocustodia y fondos cotizados en bolsa (ETF) de Bitcoin.

La conclusión, sin embargo, no es que la autocustodia haya dejado de ser segura. Los modelos presentan riesgos diferentes. Un custodio institucional introduce riesgo de contraparte, mientras la autocustodia traslada al usuario la responsabilidad por claves, dispositivos y procedimientos de seguridad. El caso CryptoBilis añade ahora una tercera variable: la procedencia física del hardware.

Para los propietarios de criptomonedas, la lección inmediata es evitar hardware de segunda mano o procedencia incierta, comprar directamente al fabricante o a canales cuya cadena de distribución pueda verificarse y desconfiar de dispositivos cuyo precio sea anormalmente bajo.

Y, sobre todo, si existe cualquier sospecha de manipulación, una comprobación de software por sí sola puede no ser suficiente. El episodio demuestra algo paradójico para una industria construida alrededor de la eliminación de intermediarios: incluso cuando las matemáticas que protegen las claves permanecen intactas, el usuario todavía tiene que confiar en que el objeto físico que sostiene en sus manos es realmente el que cree haber comprado.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados