Ledger confirmó el sábado 10 de octubre que una hardware wallet perteneciente a un cliente afectado contenía un implante de hardware no autorizado. La empresa dijo que el hallazgo se produjo mientras investigaba reportes de criptomonedas robadas vinculados a CryptoBilis, un revendedor del sudeste asiático de sus dispositivos. Fue la primera vez que Ledger confirmó manipulación física de un dispositivo afectado. El caso involucra dispositivos distribuidos a través de un canal de reventa de terceros.

La empresa afirmó que "uno de los dispositivos de los usuarios afectados contenía un implante de hardware no autorizado". Añadió que no tiene "ningún indicio de que la infraestructura de seguridad, los sistemas o los servicios de Ledger hayan sido comprometidos". La cuenta de soporte de Ledger dijo que está contactando a los usuarios afectados y colaborando con las autoridades. La confirmación tuvo peso porque la protección central de una hardware wallet es su frase de recuperación — la secuencia de palabras generada durante la configuración que, por sí sola, puede restaurar el acceso a los fondos de un usuario sin el dispositivo.

Estimaciones recopiladas por analistas e investigadores on-chain independientes sitúan las pérdidas sospechosas entre unos 72 millones y 93,4 millones de dólares.

La revelación se produjo tras una advertencia pública del fundador de Binance, Changpeng "CZ" Zhao, quien había alertado a los compradores de hardware wallets un día antes:

⚠️ Cuidado si usas una hardware wallet de Ledger, especialmente si compraste una recientemente. Según la información disponible hasta ahora, parece limitarse a un ataque de cadena de suministro con un solo proveedor. Un pequeño número de personas probablemente compró Ledgers falsificados (o manipulados). Ledger es uno de los más…

— CZ 🔶 BNB (@cz_binance) 9 de octubre de 2026

Lo que encontraron los investigadores

El analista on-chain Yfarmx estimó las pérdidas sospechosas en 93,4 millones de dólares distribuidas en 471 direcciones. Bitquery calculó unos 92,9 millones en 311 direcciones, y el investigador Specter dijo que las pérdidas superaron los 86 millones. El investigador on-chain tanuki42 identificó más de 72 millones de dólares enviados a direcciones que se cree están vinculadas a los robos. Ledger no ha confirmado ninguna de estas cifras, y los investigadores no han establecido un conteo final de wallets afectadas.

El exdirector ejecutivo de Mt. Gox, Mark Karpelès, publicó hallazgos sobre una Ledger Nano X modificada. Describió una placa de circuito oculta y equipo celular capaz de interceptar frases de recuperación. Según esos hallazgos, el equipo monitoreaba los datos enviados a la pantalla del dispositivo durante la configuración y luego podía transmitir las palabras de recuperación a través de un enlace celular. El mecanismo atacaba en el momento que las hardware wallets están diseñadas para proteger: la configuración, cuando se crea la frase secreta y el dispositivo es el único lugar donde existe. Los investigadores no han demostrado que todas las wallets afectadas contuvieran piezas similares, y no existe un conteo definitivo de dispositivos manipulados.

El revendedor pausa ventas y envíos

CryptoBilis, que opera en Indonesia, Malasia y Filipinas, ha dejado de vender hardware wallets hasta que concluya la investigación. Ledger pidió al revendedor pausar las ventas y envíos el 9 de octubre. La pausa ha llamado la atención sobre la capa de revendedores del mercado de hardware wallets, donde los dispositivos pasan por distribución de terceros antes de llegar a los compradores.

La empresa indicó a los clientes que compraron un dispositivo al revendedor en los últimos 90 días que no lo configuraran. A quienes ya lo hicieron se les recomendó trasladar activos a un nuevo signer de Ledger con una nueva semilla. Una nueva semilla reemplaza la frase de recuperación generada durante la configuración original.

Ledger dijo que está trabajando en herramientas más robustas contra la manipulación y agradeció al colectivo de seguridad voluntario SEAL 911 por ayudar a los investigadores.

En X, algunos usuarios preguntaron si Ledger reembolsará a las víctimas. Otros argumentaron que la empresa debería asumir la responsabilidad porque CryptoBilis era un revendedor autorizado. Ledger no ha anunciado ninguna compensación.

Aparece un sitio falso de Ledger en la Búsqueda de Google

Por separado, el investigador Cyber Scrilla advirtió que un sitio web y una aplicación falsos de Ledger aparecieron cerca de los primeros resultados de la Búsqueda de Google, como destacó un reportaje de Bitcoin News. Según los reportes, los operadores intentaban que los visitantes ingresaran sus frases de recuperación de 24 palabras.

FAKE LEDGER WEBSITE APPEARS AT TOP OF GOOGLE SEARCH AMID $86M WALLET THEFT INVESTIGATION

Security researcher @cyberscrilla has flagged a fraudulent Ledger website and app appearing prominently in Google Search, designed to trick users into revealing their 24-word recovery…

— Bitcoin News (@BitcoinNewsCom) October 10, 2026

Los reportes indicaron que el sitio mostró más de 1 millón de visitas en 30 días, una cifra que no ha sido confirmada. No se ha establecido un conteo de víctimas ni un monto robado para este sitio, y se desconoce cuántos usuarios pudieron haber estado expuestos.

Un informe de septiembre de la empresa de seguridad Zscaler describió un esquema similar que utilizaba anuncios fraudulentos de Google. La firma descubrió que la cifra de 1 millón de visitas parecía referirse a google.com, no a la página de phishing, lo que sugiere que el dato de tráfico pudo haber sido atribuido erróneamente.

Los investigadores no han demostrado que los sitios de phishing causaran las pérdidas de CryptoBilis. Son dos asuntos distintos, aunque ambos involucran a usuarios de Ledger.

Recomendaciones para los usuarios de Ledger

Ledger dice que los usuarios nunca deben escribir una frase de recuperación en un sitio web, aplicación o formulario en línea, y que jamás pedirá a los clientes su frase de recuperación de 24 palabras. Recomienda descargar el software únicamente desde el sitio web oficial de Ledger y revisar cuidadosamente las direcciones web.

La actualización más reciente llegó el 10 de octubre, cuando Ledger dijo que un dispositivo confirmado contenía un implante. El número de otros dispositivos manipulados y los responsables siguen siendo desconocidos. Si los investigadores establecen un conteo definitivo de dispositivos manipulados, si Ledger anuncia alguna compensación y cuándo reanuda ventas CryptoBilis son los temas abiertos a seguir mientras continúa la investigación.

Fuente: CoinCentral