Tether ha congelado 10 millones de dólares en su stablecoin USDT en relación con un robo que drenó hasta 93 millones de dólares en activos de billeteras de hardware Ledger vendidas por el revendedor CryptoBilis. La congelación se produce mientras los investigadores continúan rastreando el flujo de fondos robados y mientras Ledger sostiene que el incidente se limita a dispositivos vendidos por un único proveedor externo.

Lo que Ledger ha confirmado hasta ahora

Ledger, el fabricante francés de billeteras de criptomonedas, aún no ha comentado sobre el monto de las pérdidas. La empresa ha dicho que todos los casos identificados involucran dispositivos vendidos por CryptoBilis, un proveedor externo que operaba en Malasia, Indonesia y Filipinas. También ha subrayado que no hay indicios de compromiso de los sistemas, servicios o ventas directas de Ledger. Esta distinción es importante porque el modelo de seguridad de una billetera de hardware se basa en que el dispositivo llegue a su dueño sin manipulación, con claves privadas que nunca lo abandonan.

El caso también ha adquirido una dimensión de manipulación física más allá de las vulnerabilidades relacionadas con software. El 10 de octubre, la empresa informó que uno de los usuarios afectados poseía un dispositivo con un implante físico no autorizado, la primera evidencia de compromiso físico de billeteras Ledger en este caso.

El mensaje de la empresa a los compradores es claro: quien haya comprado un dispositivo de CryptoBilis en los últimos 90 días y aún no lo haya configurado debe dejarlo intacto. Quienes estén usando dicho dispositivo deben transferir sus monedas a otro dispositivo con una nueva frase de recuperación. El énfasis en una frase nueva es el núcleo de la recomendación: las palabras de recuperación son la copia de seguridad maestra de una billetera de hardware, y una billetera puede restaurarse en cualquier dispositivo compatible solo con la frase. Comprar únicamente por canales oficiales y verificar la autenticidad del dispositivo durante la configuración son las defensas estándar contra este tipo de manipulación previa a la venta.

Cómo los investigadores calcularon las pérdidas

Las cifras de pérdidas se atribuyen a analistas on-chain y no a Ledger. Bitquery estimó que el ataque sustrajo 93,2 millones de dólares de 315 billeteras en seis blockchains distintas, principalmente en USDT y monedas TRON. La plataforma de seguridad YFarmX dio una cifra mayor, afirmando que el ataque se llevó 94,5 millones de dólares de 521 billeteras en siete blockchains diferentes. Ambas estimaciones se basaron en datos públicos de las cadenas.

Según el análisis de Bitquery, la mayor parte del dinero robado estaba en TRON, alrededor de 70,5 millones de dólares, con otros 16,8 millones en Bitcoin y 3,7 millones en Ethereum, además de montos mucho menores en BNB Chain, Polygon y Solana.

Se afirma que la operación fue planificada durante meses: las direcciones involucradas en el robo se crearon el 25 de septiembre y realizaron docenas de transferencias de prueba hasta principios de octubre. El movimiento principal ocurrió el 9 de octubre, cuando, según Bitquery, los atacantes reescribieron los permisos de 30 billeteras TRON antes de transferir unos 203,8 BTC desde 111 billeteras de Bitcoin dentro de un solo bloque una hora después. Una operación así solo puede llevarse a cabo si el atacante posee las claves necesarias.

Esto importa porque los emisores de stablecoins pueden poner en listas negras los tokens usados en actividades ilegales. Bitquery, que verificó la congelación de Tether, reportó que al 11 de octubre permanecían en cadena unos 81 de dólares en tokens rastreables, aunque algunos fondos ya habían pasado por los servicios de mezcla Tornado Cash y Zcash. Tornado Cash agrupa transacciones para oscurecer su rastro, mientras que Zcash ofrece transferencias protegidas diseñadas para ocultar emisor, receptor y monto, por lo que cuánto del remainder rastreable termina congelado, y si los fondos mezclados aún pueden seguirse, es la siguiente pregunta natural del caso.

Rechazo a la versión del revendedor autorizado

La caracterización de Ledger de la situación como un asunto de CryptoBilis no ha quedado sin desafíos. El revendedor mostraba una insignia oficial de Ledger en su sitio web, lo que, según los críticos, hace a Ledger responsable de la situación. "No es un incidente de CryptoBilis, es un incidente de Ledger", dijo el usuario de X MyCryptoParadise, quien pidió a la empresa que "asuma la responsabilidad de este desastre". La disputa toca un rasgo estructural del negocio de billeteras de hardware: los fabricantes dependen de revendedores para ampliar la distribución, pero cada intermediario adicional es un eslabón que el fabricante no controla directamente.

También hay un trasfondo en la propiedad del revendedor. Según el cofundador Arravind Prabu, CryptoBilis fue adquirida en marzo de 2026 y todo el equipo transfirió todos los accesos al sistema durante la adquisición, según cita Learning Crypto. Los registros reportados de la empresa muestran que el único nuevo inversor estaba registrado en China. Hasta ahora no se ha establecido ningún vínculo entre los robos y el cambio de propiedad, y la investigación no halló manipulación vinculada a los nuevos inversores.

CryptoBilis ha suspendido las ventas y entregas de todas las marcas que distribuye y ha cerrado sus tiendas físicas en los tres países.

El implante que Mark Karpelès desarmó

Quizás la mirada más definitiva del hardware manipulado proviene del fundador de Mt. Gox, Mark Karpelès. Karpelès desarmó una Ledger Nano X comprada en Malasia y, según reportó Learning Crypto, descubrió componentes adicionales ocultos bajo la pantalla: un módem celular, un eSIM y un diminuto chip que podía interceptar lo que se mostraba en la pantalla.

Cuando se configura una billetera, las palabras de recuperación se muestran en esa pantalla. Un componente capaz de interceptar los datos de la pantalla podría transmitir esas palabras por la red móvil, permitiendo recrear la billetera en otro lugar y robar sus fondos. Un implante de este tipo es un ejemplo de un ataque a la cadena de suministro, en el que un dispositivo se altera en algún punto entre la fabricación y la entrega en lugar de comprometerse de forma remota, y como las piezas estaban bajo la pantalla de una unidad que funcionaba con normalidad, habrían sido difíciles de detectar para un comprador común. Aún no se ha comprobado si todos los dispositivos contenían dichos componentes, y si surgirán más unidades con implantes sigue siendo una pregunta abierta en la investigación.

Cabe señalar que este caso es distinto de un robo separado reportado en marzo, que ocurrió en abril, cuando phishers usaron la aplicación Ledger Live en la App Store de Apple para robar al menos 9,5 millones de dólares.