El fundador y CEO de OneKey, Yishi Wang, anunció que la red de distribuidores del fabricante de wallets de hardware “se reducirá significativamente” tras una revisión completa de los distribuidores certificados previamente, y que aquellos con “entidades operadoras no verificables o beneficiarios finales poco claros” tendrán su autorización revocada y serán eliminados del sitio web oficial. Wang también confirmó que OneKey ha revocado la autorización de CryptoBilis como distribuidor de sus dispositivos.

El anuncio se produce después de que se reportara que una de las wallets Ledger vendidas por el revendedor del sudeste asiático CryptoBilis contenía un implante de hardware no autorizado, mientras continúa la investigación sobre un robo de criptomonedas con pérdidas estimadas actualmente entre 86 y 93 millones de dólares. El episodio pone de relieve la capa de revendedores del negocio de las wallets de hardware, en la que los dispositivos pasan por intermediarios entre el fabricante y el usuario final.

¿Qué ha dicho Ledger sobre el hackeo de las wallets de CryptoBilis?

Una actualización del 10 de octubre compartida en la página de soporte de Ledger confirmó que, mientras concluye su investigación, CryptoBilis no venderá ningún producto del fabricante de wallets de hardware. Esa declaración llegó después de que Ledger, en una declaración pública en X, dijera que al menos “uno de los dispositivos de los usuarios afectados contenía un implante de hardware no autorizado”.

Ledger subrayó que sus propios sistemas y canales de venta directa no fueron afectados, señalando que todos los dispositivos expuestos se rastrearon hasta CryptoBilis. La distinción entre las unidades adquiridas a través de revendedores y los dispositivos enviados directamente por el fabricante es la base de la guía para clientes que siguió.

Ledger recomienda a quienes compraron wallets al revendedor del sudeste asiático que no inicialicen ningún dispositivo que aún no hayan configurado. Los clientes que ya configuraron dispositivos comprados a CryptoBilis deben transferir sus fondos a wallets emitidas directamente por Ledger y no adquiridas a revendedores.

Hasta ahora, los analistas de seguridad estiman que unas 300 wallets Ledger han sido drenadas de aproximadamente entre 86 y 93 millones de dólares.

Por qué los compradores de OneKey y SafePal están nerviosos

Si bien las wallets Ledger son las únicas con robos reportados hasta ahora, el susto de seguridad se ha extendido a los clientes de otros fabricantes de wallets. CryptoBilis se presenta como revendedor autorizado de wallets Ledger, Trezor, OneKey, Tangem, SafePal, imKey y otras en Malasia, y también opera en Indonesia y Filipinas.

En una publicación en X, Yishi Wang buscó calmar el pánico y escribió: “Hemos terminado la autorización de CryptoBilis; ya no es un distribuidor autorizado de OneKey”.

Wang también detalló la respuesta de tres pasos de OneKey para mitigar la exposición actual y evitar una mayor escalada.

Paso uno: OneKey ha dejado de incorporar nuevos distribuidores, con efecto a partir de la declaración del 12 de octubre.

Paso dos: todos los distribuidores existentes, incluidos los certificados previamente, pasarán por un proceso de revisión renovado. Los distribuidores con “entidades operadoras no verificables o beneficiarios finales poco claros” perderán su autorización, y OneKey publicará la lista completa de distribuidores autorizados en su sitio web oficial.

Paso tres: los usuarios que compraron dispositivos OneKey a CryptoBilis entre el 1 de marzo de 2026 y el 12 de octubre sonibles para un reemplazo gratuito. Incluso los usuarios que ya activaron o usaron sus dispositivos aún pueden recibirlo.

Según Wang, OneKey eligió la fecha de corte del 1 de marzo porque el cofundador original de CryptoBilis declaró públicamente que la empresa completó en marzo la transición de su gestión operativa, tras ser adquirida a principios de este año. Una vez que la lista completa de distribuidores esté disponible en el sitio web oficial, servirá como referencia para que los compradores verifiquen si un vendedor está autorizado actualmente.

La única falla de hardware reportada públicamente de OneKey se remonta a 2023, cuando la firma de seguridad Unciphered extrajo la seed de un dispositivo en un ataque de laboratorio. OneKey corrigió la vulnerabilidad, pagó una recompensa y afirmó que ningún usuario fue afectado.

¿Quién es el dueño de CryptoBilis ahora?

Registros corporativos recientes apuntan a un cambio de control en el revendedor malasio antes del presunto ataque a la cadena de suministro. Los ex cofundadores de CryptoBilis dijeron en LinkedIn que entregaron la empresa a nuevos propietarios en marzo, con informes que afirman que la propiedad pasó a un individuo identificado como Jiaming, de nacionalidad china.

No hay informes confirmados que vinculen a la nueva propiedad con el incidente de seguridad.

Lo que va de 2026, seis marcas de wallets de hardware han revelado problemas de seguridad. Galaxy Research situó las pérdidas por encima de 115 millones de dólares en el caso Coldcard, y la revelación de Ledger de principios de octubre marca el segundo incidente con fondos perdidos. Cryptopolitan también reportó la brecha de BasedApp que expuso registros KYC de clientes la semana pasada.