Ledger investiga un importante grupo de drenajes de wallets que afecta a clientes del Sudeste Asiático que compraron hardware wallets al revendedor CryptoBilis, y la estimación onchain más reciente sitúa las pérdidas sospechadas en 92,9 millones de dólares.

La seguridad de una hardware wallet descansa sobre una premisa única: la seed de recuperación —la frase que controla el acceso a los fondos onchain— se genera en el propio dispositivo y nunca lo abandona. Por eso el canal de venta a través del cual un dispositivo llega a su comprador está en el centro de este caso.

La compañía pidió a CryptoBilis detener todas las ventas y envíos de Ledger el 9 de octubre mientras continúa la investigación. Cualquiera que haya comprado un dispositivo al revendedor durante los últimos 90 días y aún no lo haya inicializado no debe comenzar la configuración. Se aconsejó a los clientes que ya usan uno de estos dispositivos considerar mover sus activos a un nuevo signer de Ledger generado con una seed de recuperación completamente nueva.

En actualizaciones publicadas por su cuenta de soporte en X, Ledger señaló que los casos identificados hasta ahora se limitaban a dispositivos distribuidos a través de CryptoBilis y que no tenía indicios de que su infraestructura de seguridad, sistemas o servicios hubieran sido comprometidos. La compañía no ha confirmado el monto robado, el número de víctimas ni el mecanismo utilizado para acceder a las wallets.

CryptoBilis cambió de propietario meses antes de los drenajes

CryptoBilis fue adquirida a comienzos de 2026, según confirmó el ex cofundador Arravind Prabu después de que comenzara la investigación de los drenajes. Prabu dijo que los antiguos propietarios se apartaron por completo de las operaciones, el acceso a los sistemas y la gestión tras la adquisición, y ya no operan CryptoBilis. La transacción se completó en marzo, mientras que los registros corporativos de Malasia publicados la investigación muestran que un individuo identificado como Jiaming, con dirección registrada en Heilongjiang, China, posee el 100% de las acciones de CryptoBilis al 3 de agosto.

El investigador de seguridad Quit dijo que la adquisición incluyó un acuerdo de confidencialidad que impedía a los antiguos propietarios revelar públicamente la venta, con la restricción programada para expirar el 19 de octubre —diez días después de la solicitud de suspensión de Ledger. Planteó la posibilidad de que la compra pudiera haber sido realizada por un actor de amenazas sofisticado que buscaba acceso a un revendedor autorizado establecido, en lugar de que el incidente se originara en un empleado deshonesto. La teoría refleja la posición de confianza que los revendedores ocupan entre el fabricante y el cliente.

Eso sigue siendo una teoría investigativa. Ninguna evidencia pública ha establecido que el nuevo propietario adquiriera CryptoBilis para comprometer dispositivos Ledger, que participara en los drenajes de wallets o que tuviera alguna conexión con las direcciones controladas por el atacante. No obstante, el momento sitúa el cambio de propiedad meses antes de que se vendieran los dispositivos afectados y de que comenzaran los drenajes coordinados.

La estimación onchain alcanza los 92,9 millones de dólares

Las pérdidas sospechadas han superado las estimaciones iniciales de 72 a 86 millones de dólares a medida que los investigadores identificaron direcciones y redes adicionales afectadas.

Una detallada reconstrucción de Bitquery del drenaje identificó 92,9 millones de dólares sustraídos de 311 wallets en Tron, Bitcoin, Ethereum, BNB Chain y Polygon. Las mayores pérdidas se concentraron en Tron, donde se retiraron aproximadamente 70,5 millones de dólares. Las wallets de Bitcoin perdieron cerca de 203,8 BTC por un valor de 16,8 millones de dólares, mientras que Ethereum, BNB Chain y Polygon representaron los fondos restantes.

El momento de las transacciones apunta a un control centralizado sobre las claves privadas afectadas. Veinticinco wallets de Tron autorizaron al mismo spender en un lapso de tres segundos, y 111 wallets de Bitcoin fueron vaciadas en un solo bloque, según informes compartidos en X. Bitquery también rastreó 41 pequeñas transacciones de prueba en Tron y Ethereum durante las dos semanas previas al drenaje principal. Ese patrón no establece cómo se obtuvieron las claves privadas, pero difiere de víctimas individuales aprobando independientemente transacciones maliciosas durante un período prolongado.

Tether posteriormente congeló aproximadamente 10 millones de dólares en USDT en 20 direcciones vinculadas a la actividad —una medida disponible para el emisor porque los saldos de stablecoins pueden congelarse en direcciones designadas. Otros 15,1 millones de USDD permanecieron en wallets controladas por el atacante, mientras que1.254 ETH fueron enviados a través de Tornado Cash, un protocolo de mezcla construido para ocultar el vínculo entre las direcciones de depósito y retiro, más tarde el 9 de octubre. Cerca de 79 millones de dólares seguían rastreables en el último análisis.

Un implante físico plantea preguntas sobre la cadena de suministro

Una posible vía de ataque basada en hardware también está bajo examen. El ex CEO de Mt. Gox, Mark Karpelès, abrió un dispositivo Ledger obtenido en Malasia y reportó el hallazgo de un implante electrónico oculto posicionado donde normalmente iría el acolchado de la pantalla.

Karpelès dijo que el dispositivo modificado conservaba un empaque convincente y que el implante era difícil de detectar incluso después de abrir la carcasa. Su análisis indicó que el hardware adicional podía monitorear la información mostrada durante la configuración y transmitir externamente los datos de la frase de recuperación. Una modificación de ese tipo atacaría la propia configuración —el momento en que una frase de recuperación se genera y se muestra por primera vez.

Ninguna evidencia pública ha establecido aún que el dispositivo inspeccionado por Karpelès proviniera de CryptoBilis ni que la misma modificación causara el drenaje de 92,9 millones de dólares. Ledger tampoco ha confirmado un ataque a la cadena de suministro.

La técnica se asemeja a los riesgos expuestos a comienzos de este año, cuando se descubrió que una Ledger falsificada con hardware oculto era capaz de atacar frases de recuperación e información de PIN. El caso actual también es distinto de los drenajes de wallets Coldcard a comienzos de 2026, donde los investigadores rastrearon las pérdidas hasta una generación débil de seeds en el firmware afectado, en lugar de una modificación de hardware a nivel de revendedor.

La advertencia de Ledger aplica actualmente de forma específica a los clientes que compraron dispositivos a CryptoBilis en los últimos 90 días. Los usuarios que ya inicializaron uno de esos dispositivos necesitan un nuevo signer y una seed recién generada, en lugar de simplemente trasladar la frase de recuperación existente a otra hardware wallet —una frase expuesta durante la configuración sigue siendo válida en cualquier dispositivo en que se cargue posteriormente. Con el mecanismo aún sin confirmar, tanto el total final de pérdidas como la vía de ataque siguen sujetos a revisión mientras continúa la investigación.

Fuente: Crypto Adventure