Ledger confirmó que un dispositivo perteneciente a un usuario afectado contenía un implante de hardware no autorizado, lo que marca el primer hallazgo a nivel de dispositivo en una investigación sobre los fondos perdidos reportados por compradores de sus dispositivos a través del revendedor CryptoBillis.

En su última actualización pública, el fabricante de billeteras de hardware dijo que está contactando a los usuarios afectados, trabajando con el revendedor CryptoBillis y cooperando con las autoridades correspondientes. La compañía también dijo que no ha encontrado indicios de que su infraestructura, sistemas o servicios de seguridad hayan sido comprometidos.

El hallazgo dirige la atención hacia la ruta de distribución del dispositivo, mientras la compañía continúa examinando las circunstancias más amplias de las pérdidas reportadas. La actualización de Ledger clasificó el implante como un hallazgo confirmado en un dispositivo, mientras que la cantidad de dispositivos potencialmente afectados y el papel que desempeñó el implante en las pérdidas siguen bajo revisión. La compañía no ha revelado el alcance potencial ni ha vinculado públicamente el implante con cada pérdida reportada.

Cómo llegó la investigación a un hallazgo a nivel de dispositivo

Ledger comenzó a investigar después de que usuarios reportaran fondos perdidos vinculados a dispositivos comprados a través de CryptoBillis. En esa etapa, la compañía no había confirmado una causa común, los totales de pérdidas reportadas ni un compromiso de sus propios sistemas. Pidió al revendedor que pausara las ventas y advirtió a los clientes que no inicializaran los dispositivos sin usar, como se cubrió en reportajes anteriores.

La declaración más reciente otorga a la investigación un hallazgo concreto a nivel de dispositivo. No establece cuántas unidades podrían estar afectadas ni explica cómo ocurrió cada pérdida reportada.

CryptoBillis suspende todas las ventas de billeteras de hardware

Ledger dijo que CryptoBillis ha cesado las ventas de todo su inventario de billeteras de hardware hasta que concluya la investigación. La pausa limita la distribución adicional a través del revendedor mientras ambas compañías determinan los próximos pasos.

El hallazgo centra la atención en la cadena de suministro. La seguridad de una billetera de hardware comienza antes de que su propietario cree una billetera: el dispositivo debe llegar al comprador sin modificaciones no autorizadas. Las billeteras de hardware están diseñadas para mantener las claves privadas del usuario fuera de línea, y ese modelo de seguridad se basa en que el hardware sea genuino cuando se configura. Ledger no ha dicho que todos los dispositivos de CryptoBillis fueron alterados, razón por la cual la investigación y la pausa de ventas siguen siendo importantes.

Las listas de revendedores en redes sociales no son advertencias oficiales

Una publicación en X del colaborador de CryptoQuant Darkfost mencionó a otros revendedores de Ledger en el sudeste asiático que, según dijo, podrían enfrentar exposición en la cadena de suministro debido a su proximidad regional con CryptoBillis. La publicación describió explícitamente esa sugerencia como especulación y no presentó evidencia de que esos minoristas vendieran dispositivos alterados.

Ledger ha confirmado un implante no autorizado en un dispositivo vinculado a CryptoBillis. No ha identificado públicamente revendedores adicionales, no ha confirmado un problema de distribución más amplio ni ha aconsejado a todos los clientes de la región mover sus fondos. Por lo tanto, los compradores deben evitar tratar una lista de revendedores en circulación como una advertencia oficial, mientras siguen las indicaciones Ledger si compraron en CryptoBillis o reciben una actualización directa de la compañía.

Qué deben considerar los compradores afectados

Estos pasos aplican a las personas que compraron un dispositivo Ledger a través de CryptoBillis. Ledger no ha emitido una instrucción de migración para todos los usuarios de Ledger.

• Dejar un dispositivo sin usar sin inicializar. Los clientes que compraron al revendedor y no han comenzado la configuración no deben inicializar el dispositivo mientras continúa la investigación.
• No reutilizar una frase de recuperación existente en un reemplazo. Un dispositivo de reemplazo cargado con la antigua frase de 24 palabras restaura la misma billetera y no crea un límite de seguridad separado.
• Considerar mover los activos a un nuevo firmante con una frase nueva. Para un dispositivo previamente inicializado, Ledger aconseja considerar una migración a una configuración de billetera nueva. Los usuarios deben verificar cada dirección de destino en la pantalla de la billetera de hardware antes de aprobar una transacción.
• Nunca divulgar la frase de recuperación. Ledger dice que nunca pedirá a los usuarios su frase de recuperación de 24 palabras, y cualquier solicitud de esta debe tratarse como un intento de estafa.

Una pista física, con preguntas abiertas

La confirmación de Ledger transforma el caso, que era una serie de reportes de usuarios, en una investigación con un hallazgo confirmado a nivel de dispositivo. Persisten preguntas sobre la escala del problema y la conexión entre el implante y las pérdidas reportadas. Las señales que vale la pena observar a partir de ahora son las actualizaciones de seguimiento de Ledger sobre cuántos dispositivos podrían estar afectados, las notificaciones directas a los compradores que adquirieron a través del revendedor y la conclusión de la investigación que determinará si CryptoBillis reanuda las ventas.

Para los compradores de CryptoBillis, la prioridad inmediata es sencilla: no inicializar un dispositivo sin usar y usar una frase de recuperación nueva al mover activos. Para otros usuarios de autocustodia, este episodio es un recordatorio de que la seguridad de la billetera depende de la integridad del dispositivo antes de que se firme su primera transacción.

Este artículo se proporciona únicamente con fines informativos y no constituye asesoramiento financiero ni de seguridad. Los usuarios que crean que un dispositivo puede estar afectado deben seguir las indicaciones oficiales de Ledger y nunca compartir su frase de recuperación.