Ledger, el fabricante francés de billeteras de hardware, publicó este martes la primera explicación pública del mecanismo detrás de los robos vinculados al revendedor CryptoBilis. Según la compañía, un componente encubierto dentro de algunos dispositivos leía la frase de recuperación de 24 palabras directamente desde la pantalla y la transmitía a los atacantes por red móvil LTE mediante una eSIM.
Qué ocurrió exactamente
Ledger sostiene que se trató de un ataque físico a la cadena de suministro y no de una vulneración de su software ni de sus sistemas internos. El implante estaba alojado dentro de la carcasa. Cuando el usuario configuraba el dispositivo y la pantalla mostraba la frase de recuperación, el microcontrolador del implante reconocía las palabras y las enviaba al atacante.
La empresa aclara que el implante no modificó el elemento seguro, el chip diseñado para proteger las claves privadas, ni el sistema operativo, y que tampoco alteró transacciones ni firmas. Aun así, quien posee la frase de recuperación puede recrear la billetera en otro lugar y mover los fondos sin necesitar el dispositivo físico.
Las cifras conocidas
Investigadores onchain estiman pérdidas de hasta 93,2 millones de dólares en más de 300 billeteras, y Tether congeló 10 millones de dólares en USDT vinculados al robo.
Ledger indica que todas las pérdidas confirmadas del incidente del 9 de octubre involucran dispositivos vendidos por CryptoBilis y que no ha verificado robos con equipos comprados en otro lugar, aunque sigue examinando reportes de posibles implantes en otros dispositivos. La compañía todavía no ha confirmado el número total de víctimas ni el monto robado.
Qué significa para Latinoamérica
Muchos usuarios de la región compran billeteras de hardware a revendedores o en marketplaces por los costos de importación y los envíos. Este caso es un recordatorio de que el riesgo no siempre está en el software: la cadena de suministro también importa. Comprar únicamente en la tienda oficial del fabricante o en distribuidores autorizados reduce de forma importante la exposición.
- Si tu dispositivo vino de un revendedor, verifica que la caja y los sellos estén intactos y que sea un canal autorizado por el fabricante.
- Nunca uses una frase de recuperación que venga ya generada o impresa; debe generarla el dispositivo al configurarlo.
- Si compraste un Ledger a CryptoBilis, Ledger recomienda no inicializarlo. Si ya lo usaste, traslada tus fondos a un dispositivo nuevo con una frase de recuperación recién generada.
Nuestra perspectiva
La autocustodia sigue siendo una herramienta valiosa, pero exige disciplina en cada eslabón, desde dónde se compra hasta cómo se configura. En ZonaCryptO seguiremos informando con datos verificables a medida que Ledger y los investigadores actualicen la investigación. Te invitamos a compartir en la comunidad dónde compras tu billetera y qué medidas de seguridad aplicas.
Esta información no constituye asesoría financiera. Verifica siempre las fuentes oficiales antes de mover tus fondos.