La promesa fundamental de las billeteras de hardware (hardware wallets) siempre ha sido la soberanía absoluta sobre la custodia de activos digitales, pero también la seguridad de un dispositivo creado para garantizar que una frase de recuperación de 24 palabras, generada dentro de un entorno aislado de internet, nunca toque una red pública, aunque eso era hasta ahora.
Porque, se ha detectado el más sofisticado ataque a la cadena de suministro global que se haya observado en los últimos años, que ha puesto en evidencia que la seguridad criptográfica es inútil cuando la integridad física del dispositivo es comprometida antes de llegar a las manos del usuario.
De acuerdo a lo que se sabe, a comienzos de octubre de 2026, la comunidad cripto fue alertada sobre un drenaje masivo y coordinado de fondos que afectó a más de 300 direcciones a lo largo de cinco redes blockchain principales: Bitcoin, Ethereum, TRON, Polygon y BNB Chain.
Las pérdidas acumuladas estimadas en unos 92,9 millones de dólares, las primeras pesquisas apuntaron de inmediato hacia un patrón común entre las víctimas, pero al mismo tiempo bastante extraño: “Todas habían adquirido sus dispositivos de almacenamiento en frío a través de CryptoBilis”, lo que alertó al equipo responsable de los hardwallets Ledger involucrados.
72 hour update on reseller CryptoBilis incident
As the investigation continues, we are working with relevant authorities. The volume of impacted devices is limited. We know this is concerning, especially for those directly affected, and we are reaching out to impacted users.…
— Ledger (@Ledger) October 11, 2026
Tras la alerta el equipo de investigación de Ledger comenzó las evaluaciones y en un comunicado en su cuenta oficial de X, señaló: “Actualización de 72 horas sobre el incidente con el revendedor CryptoBilis Mientras continúa la investigación, estamos trabajando con las autoridades relevantes”.
“El volumen de dispositivos afectados es limitado. Sabemos que esto es preocupante, especialmente para aquellos directamente afectados, y estamos contactando a los usuarios impactados”.
“Hasta la fecha, todos los casos confirmados relacionados con el incidente de drenaje divulgado del 9 de octubre de 2026 involucran dispositivos vendidos a través del revendedor de Asia Sudeste CryptoBilis. Nuestros sistemas y canales de ventas directas permanecen sin afectación. Tomamos la situación de CryptoBilis en serio y estamos investigando activamente”.
“Instamos a los usuarios afectados a contactar a Soporte de Ledger a través de canales oficiales y presentar quejas con las autoridades policiales locales. Como recordatorio, CryptoBilis ha confirmado haber cesado todas las ventas de billeteras de hardware”.
Para contener la situación, Ledger también señaló: “Esta es una amenaza en curso que no solo impacta a Ledger, sino a todo el ecosistema, y estamos llamando a otros en el espacio a trabajar con nosotros en realizar mejoras para los usuarios”.
“Creemos en trabajar conjuntamente con investigadores, otros proveedores y socios en mejorar las prácticas de cadena de custodia de la industria y técnicas antitampering. Elevar el estándar en la integridad de la cadena de suministro física beneficia a todo el ecosistema. Si tienes información relevante, contacta a [email protected]”.
CryptoBilis, es un conocido distribuidor autorizado tanto de la marca Ledger como de otras marcas de hardwallets con fuerte presencia operativa en el sudeste asiático, abarcando mercados clave como Malasia, Filipinas e Indonesia.
De allí que inicialmente se especulara que esto habría sido una campaña avanzada de phishing o un fallo en el firmado de transacciones en plataformas DeFi. Sin embargo, la investigación pronto derivó en una revelación técnica mucho más inquietante y a la vez aterradora.
The way those spy implants read the screen is by simply listening on the SPI bus that the ledger uses to transmit data to its screen. Just a bunch of one and zeroes, and you see what’s on the screen, including the seed phrase shown during setup. https://t.co/KepYflDhwb
— Mark Karpelès (@MagicalTux) October 8, 2026
La inspección física e ingeniería inversa realizada a los dispositivos comprometidos por varias personas en la comunidad cripto, como Mark Karpelès, el ex CEO de la plataforma de intercambio de bitcoins Mt. Gox., confirmó la presencia de “un implante de hardware no autorizado”, soldado meticulosamente en la placa base de los equipos.
La revelación de la arquitectura interna del ataque quedó al descubierto cuando investigadores de seguridad y usuarios expusieron placas de circuito impreso (PCB) de los Ledger modificados. A diferencia de los ataques tradicionales basados en software o firmas engañosas, la manipulación ocurrió a nivel de silicio.
El componente principal del implante identificado fue un microcontrolador Nordic Semiconductor nRF9151. Este chip es un System-in-Package (SiP) diseñado para aplicaciones de Internet de las Cosas (IoT, «por sus siglas en inglés») que integra de forma nativa un módem celular LTE-M/NB-IoT (redes 4G/5G de bajo consumo) y conectividad satelital GNSS.
@wentrre @Ledger Very much a problem! Move your assets as soon as possible from any seed that touched this device
— Mark Karpelès (@MagicalTux) October 11, 2026
El detalle en cuestión es que un dispositivo Ledger legítimo de fábrica carece por completo de cualquier tipo de módem o interfaz de comunicación celular, de manera que el método de operación del implante combinaba precisión electrónica e invisibilidad operativa para los atacantes.
Gracias a este implante, los delincuentes tenían la capacidad de efectuar capturas de la semilla, ya que el microcontrolador malicioso fue implantando para que interceptara las líneas de datos que envían la salida de video hacia la pantalla del dispositivo.
Cuando el usuario encendía el equipo por primera vez y este generaba sus 24 palabras de recuperación, el implante “leía” las palabras en texto plano directamente a medida que se mostraban en pantalla.
Tras capturar estos datos de la semilla, los exfiltraba por red móvil utilizando el chip nRF9151 junto a un conector de antena coaxial U.FL y una antena plana oculta bajo la carcasa, es decir, el dispositivo enviaba la frase de recuperación de forma remota a través de frecuencias celulares comerciales de redes 4G/5G de bajo consumo e incluso con conectividad satelital GNSS.
De este modo, usando el implante tecnológico los atacantes obtenían la semilla sin importar que el usuario jamás conectara el Ledger a una computadora infectada o utilizara entornos completamente segregados (air-gapped).
My spy-implanted ledger came from Malaysia, and had flawless shrink wrap. Even opening it, at first you don’t see the implant which is cleverly hidden where the screen’s padding is supposed to be. Follow Ledger’s guidance to check yours: https://t.co/FlOjWvqkZw https://t.co/D8mixF1o9L
— Mark Karpelès (@MagicalTux) October 9, 2026
Además, el implante era capaz de evadir la protección de elemento seguro. Para quienes no lo saben, la arquitectura de Ledger basa su confianza en un chip de Elemento Seguro (Secure Element) que valida la autenticidad del hardware mediante firmas criptográficas al conectarse a la aplicación oficial Ledger Live.
Dado que los atacantes no alteraron el Elemento Seguro original ni modificaron el microcontrolador primario, el dispositivo pasaba con éxito la prueba de “Genuino” dentro del software oficial, infundiendo un falso sentido de seguridad en el comprador.
No obstante, esto no termina aquí porque la investigación sobre la ruta logística reveló un dato clave en marzo de 2026, cuando CryptoBilis experimentó un cambio en su estructura accionaria y directiva.
Este antecedente sugiere que la empresa pudo haber sido objeto de una operación encubierta de adquisición o infiltración destinada a tomar el control de la distribución física de hardware wallets en la región para intercalar dispositivos alterados antes de su despacho final.
Ante la magnitud del incidente expuesto públicamente el pasado 9 de octubre, Ledger emitió comunicados oficiales confirmando que todos los casos confirmados provenían de compras realizadas en CryptoBilis, descartando cualquier tipo de intrusión en sus sistemas centrales o en su planta de fabricación primaria.
En coordinación con grupos de respuesta rápida como SEAL 911 y organismos policiales internacionales, el fabricante revocó la autorización a CryptoBilis e instó a los distribuidores globales a no reabastecer inventarios con productos devueltos.
Por su parte, CryptoBilis desplegó avisos de emergencia en su plataforma web informando la congelación total de ventas y envíos, solicitando a los clientes abstenerse de inicializar equipos nuevos y urging a los usuarios con dispositivos en uso a migrar inmediatamente sus fondos hacia direcciones seguras creadas en hardware no comprometido.
A pesar de la respuesta apropiada por parte de Ledger y de CryptoBilis, este incidente marca un punto de inflexión en la ciberseguridad aplicada a activos digitales, ya que demuestra que los controles de seguridad antimanipulación (antitampering) centrados exclusivamente en software o comprobaciones criptográficas en chip son insuficientes frente a intrusiones físicas avanzadas en la cadena de suministro.
La lección que deja el caso CryptoBilis es que la compra de dispositivos de almacenamiento a través de revendedores e intermediarios —incluso aquellos acreditados oficialmente— conlleva riesgos logísticos significativos si los protocolos de inspección física en destino son vulnerados.
Para la industria cripto en su conjunto, el desafío ya no reside solo en escribir contratos inteligentes auditados o algoritmos de cifrado robustos, sino en garantizar la integridad de la cadena de custodia del hardware desde la oblea de silicio en fábrica hasta las manos del usuario final.