Ledger: chip espía en wallets de CryptoBilis, robo de 93 millones

Ledger, el fabricante francés de wallets hardware para criptomonedas, ha confirmado que al menos un dispositivo vendido por el distribuidor CryptoBilis contenía un implante hardware no autorizado. El implante, oculto bajo la pantalla, lee la frase de recuperación (seed) mientras el wallet la muestra durante la configuración y la transmite al atacante mediante una conexión LTE con eSIM. Con la frase en su poder, el atacante reconstruye el wallet en otro dispositivo y lo vacía cuando quiere.

La noticia la recogen Help Net Security, BleepingComputer, The Hacker News y heise Security. Los detalles técnicos proceden de los análisis publicados por Mark Karpelès (ex CEO de Mt. Gox) y por Tibane Labs, no de Ledger, que por ahora no ha explicado cómo funciona el implante.

Qué ha pasado

• 9 de octubre de 2026: usuarios del Sudeste Asiático denuncian wallets vaciados. Ledger abre una investigación y pide a CryptoBilis, gran distribuidor con sede en Malasia, que suspenda ventas y envíos.
• 10 de octubre: Ledger confirma que el dispositivo de uno de los usuarios afectados contenía un implante hardware no autorizado; colabora con las autoridades para identificar a los responsables.
• 11 de octubre: en su actualización a las 72 horas, Ledger afirma que todos los casos confirmados afectan a dispositivos vendidos por CryptoBilis, que el número es «limitado» y que sus sistemas y canales de venta directa no se han visto comprometidos. CryptoBilis ha dejado de vender wallets hardware.

Según investigadores que analizan las transacciones en la blockchain, citados por Help Net Security, las pérdidas sospechosas superan los 93 millones de dólares. BleepingComputer informa de que algunos investigadores mostraban el implante desde el 16 de septiembre y de que los dispositivos manipulados se vendían a cerca de la mitad del precio del original.

Ledger no ha indicado el modelo afectado; Karpelès habla del Ledger Nano X. No está claro cuándo ni en qué punto de la cadena de distribución se manipularon los dispositivos.

Detalles técnicos

Cómo funciona, según Karpelès. El dispositivo que compró y abrió contiene una pequeña placa oculta bajo la pantalla, en lugar del acolchado del display, con un microcontrolador, una antena, un módulo LTE y una eSIM. El implante observa lo que aparece en pantalla y las pulsaciones de los botones, extrae las palabras de la frase de recuperación y las envía por la red móvil. El wallet llegó con el precinto de plástico intacto y superó el Genuine Check de Ledger, porque el chip de seguridad es auténtico. Karpelès lo describe como una evolución respecto a versiones anteriores con cables soldados a mano.

Dos variantes, según Tibane Labs. Los investigadores analizaron dos ejemplares comprados en Japón, uno en Amazon Japan a un vendedor chino con envío desde Malasia y otro en Yahoo! Auctions:

• primera variante: la batería original se sustituye por una más pequeña, que alimenta tanto el wallet como el implante. Bajo la batería y la antena hay un microcontrolador ST STM32G431KBU6 (Arm Cortex-M4, 128 KB de flash, encapsulado UFQFPN-32); a su lado, una eSIM en encapsulado de 8 contactos de 2×2 mm y un módulo LTE blindado;
• segunda variante, más avanzada y parecida a la de Karpelès: usa la batería original, ocupa el espacio del acolchado bajo la pantalla OLED y tiene las marcas borradas del microcontrolador y de la eSIM. Es un circuito flexible diseñado y fabricado en serie por un proveedor de PCB, no una pieza única hecha a mano.

En ambas variantes la pista visible es el cable de la antena: a lo largo del borde superior en la segunda, fijado con cinta sobre la batería y el módulo LTE en la primera. Para verlo hay que abrir el dispositivo.

Por qué los controles no bastan. Genuine Check verifica la autenticidad del Secure Element. La propia Ledger advierte que no puede detectar componentes añadidos si el Secure Element original está intacto. El implante no toca las claves del chip: las lee de la pantalla, en el momento en que el wallet las muestra al usuario. Y como usa la red móvil, su tráfico no pasa por la red del usuario.

Las fuentes difieren sobre el origen. Help Net Security escribe que Karpelès compró el dispositivo en Malasia; según BleepingComputer, lo compró a un vendedor chino en una conocida plataforma, con envío desde Malasia, sin nombrar a CryptoBilis.

MITRE ATT&CK (nuestra correspondencia a partir de los hechos publicados): T1195.003 (Supply Chain Compromise: Compromise Hardware Supply Chain), T1011 (Exfiltration Over Other Network Medium). No se han publicado indicadores de compromiso como direcciones o servidores de destino.

Impacto para las empresas europeas e italianas

Los casos confirmados están en el Sudeste Asiático, pero el canal de venta no era un mercadillo: CryptoBilis era un distribuidor autorizado. Según Help Net Security, un usuario de X afirma que también wallets vendidos en Europa por un distribuidor oficial podrían haber sido manipulados: la afirmación no está verificada, Ledger no la ha comentado y BleepingComputer no informa de indicios sobre otros distribuidores.

Para las empresas que guardan criptomonedas en tesorería, aceptan pagos en cripto o gestionan fondos de clientes, el riesgo es concreto. La lección, sin embargo, vale para cualquier dispositivo de seguridad físico, como llaves FIDO y tokens de autenticación: la atestación del chip no garantiza que el resto del dispositivo esté íntegro. Para las entidades sujetas a NIS2, el artículo 21 exige medidas para la seguridad de la cadena de suministro, y los canales de compra del hardware de seguridad forman parte de ella.

Bitquery, empresa de análisis de blockchain, señala que más del 80% de los wallets vaciados que ha rastreado recibió sus primeros fondos a partir de junio. Esto sugiere que también podrían estar comprometidos dispositivos comprados antes de los 90 días que cubren las recomendaciones de Ledger.

Qué hacer ahora

1. Haz el inventario de los wallets hardware de la empresa: modelo, número de serie, canal y fecha de compra, quién los inicializó.
2. Dispositivos comprados a CryptoBilis: si aún no están configurados, no los inicialices. Si están en uso, traslada los fondos a un nuevo wallet comprado directamente al fabricante, con una nueva frase de recuperación generada por el nuevo dispositivo. Ten en cuenta también las compras anteriores a 90 días.
3. Compras en marketplaces, subastas o a precios muy bajos: trátalas del mismo modo. Genuine Check no basta para descartar el implante.
4. Reglas de compra: compra el hardware de seguridad directamente al fabricante o a distribuidores verificados. Excluye productos usados, devueltos o puestos de nuevo a la venta y conserva el justificante de compra.
5. Vigila las direcciones de los wallets de la empresa, con alertas ante cualquier salida no autorizada.
6. Cuidado con el phishing: Ledger advierte de que los estafadores usarán la noticia para contactar a los usuarios. Ledger no llama, no escribe por mensaje privado y nunca pide la frase de recuperación de 24 palabras; informa a quien gestiona la tesorería.
7. En caso de robo, contacta con el soporte de Ledger solo por los canales oficiales y presenta denuncia ante las fuerzas de seguridad.

Última actualización: 13 de octubre de 2026