Ledger informó que su equipo de investigación de seguridad Donjon descubrió un implante de hardware no autorizado oculto dentro de billeteras de hardware vendidas por CryptoBilis, un revendedor que opera en el sudeste asiático. El componente encubierto lee la frase de recuperación de 24 palabras desde la pantalla mientras la billetera se configura y transmite las palabras a través de una conexión celular mediante una eSIM aprovisionada.

El fabricante de billeteras de hardware con sede en París anunció el hallazgo en una publicación en X el martes. Ledger Donjon, el equipo de investigación de seguridad interno de la compañía, confirmó el implante el sábado 10 de octubre en el dispositivo de un usuario afectado. Todas las pérdidas confirmadas del incidente, que Ledger reveló por primera vez el viernes, involucran dispositivos vendidos a través de CryptoBilis, y la compañía afirmó que no ha verificado un drenaje vinculado a un dispositivo comprado en ningún otro lugar.

Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…

— (@Ledger) October 13, 2026

Las billeteras de hardware son un pilar de la autocustodia, diseñadas para mantener las claves privadas del usuario fuera de línea. Un dispositivo Ledger, que la compañía llama signer, muestra su frase de recuperación de 24 palabras en la pantalla durante la configuración inicial. Cualquiera que obtenga esa frase puede restaurar la billetera en otro dispositivo y tomar el control total de sus fondos. Por lo tanto, la pantalla de configuración es el único punto en el que la frase es visible fuera del dispositivo, razón por la cual un implante que lee la pantalla puede anular las protecciones de una billetera sin modificarlas.

Según el análisis de Ledger Donjon, el implante se encuentra dentro del encapsulado del dispositivo y lee lo que se muestra en la pantalla. Cuando detecta las pantallas de la frase de recuperación, su microador decodifica las palabras y las transmite por LTE usando la eSIM aprovisionada.

Ledger dijo que el implante es un componente independiente y agregó que no modifica el Secure Element del dispositivo ni el sistema operativo Ledger, ni altera transacciones ni firmas. Según Ledger, CryptoBilis confirmó que dejó de vender dispositivos Ledger mientras continúa la investigación. El caso también pone el foco en la capa de revendedores externos de la cadena de suministro de hardware, donde los dispositivos pasan fuera del control directo del fabricante antes de llegar a los compradores.

La compañía no ha confirmado el número total de usuarios afectados ni el valor perdido, y dijo que las cifras que circulan en línea provienen de terceros que no ha verificado por completo. El investigador onchain Specter rastreó más de $86 millones en presuntos robos en Ethereum, Tron y Bitcoin, como informó Decrypt el viernes.

Ledger revisa reportes más allá de CryptoBilis

Ledger dijo que también está revisando reportes de implantes en otros signers y ubicaciones. Un usuario de X afirmó haber encontrado dos dispositivos Ledger manipulados comprados en tiendas minoristas de Europa, una afirmación que no ha sido verificada de forma independiente.

La compañía dijo a los compradores de dispositivos CryptoBilis que aún no los han configurado que no lo hagan y que contacten a Ledger Support. Quienes ya los configuraron deben trasladar sus activos de inmediato a un nuevo dispositivo con una nueva frase de recuperación, y no deben ingresar ni restaurar ninguna frase de recuperación en un dispositivo comprado a CryptoBilis.

Los usuarios que perdieron fondos o que tienen un dispositivo manipulado también deben presentar un reporte ante las autoridades locales, dijo Ledger, y no deben enviar el dispositivo a nadie ni abrirlo antes de hablar con Ledger Support o la policía.

Los compradores que no adquirieron su dispositivo a CryptoBilis pueden inspeccionar el interior de su dispositivo usando una guía de Ledger, aunque la compañía advirtió que abrir un signer puede dañarlo y urgió a los usuarios a respaldar primero su frase de recuperación.

Ledger reiteró que nunca llamará a los usuarios, les enviará mensajes directos ni les pedirá su frase de recuperación. El Donjon analizará los dispositivos que reciba y compartirá más información a medida que continúe la investigación, dijo la compañía.