Hace casi 48 horas se pudo conocer que el ataque a la cadena de suministro de hardware wallets de la marca Ledger, ha dado un giro alarmante porque lo que inicialmente se presentó como un incidente acotado a un distribuidor específico en el Sudeste Asiático parece convertirse en una crisis que se extiende a otras regiones.
Y es que, la denuncia de un comprador en Europa, quien asegura haber hallado hardware modificado (implantes) en dispositivos adquiridos en tiendas físicas de la cadena MediaMarkt, generó más preocupación en los usuarios cripto.
UPDATE: I can confirm that the Ledger supply chain is compromised in Europe as well. @Ledger should initiate an immediate product recall to protect users.
I just purchased a second device from a different Mediamarkt location today, recorded the unboxing process, and discovered… pic.twitter.com/TjVCx8Hk61
— Johannes (4, 4) (@0xJohannes_) October 12, 2026
El usuario @0xJohannes_ de la red social X, publicó: “ACTUALIZACIÓN: Puedo confirmar que la cadena de suministro de Ledger también está comprometida en Europa. @Ledger debería iniciar un retiro inmediato de productos para proteger a los usuarios”.
Y aseveró: “Acabo de comprar un segundo dispositivo en una ubicación diferente de Mediamarkt hoy, grabé el proceso de desempaquetado y descubrí spyware una vez más (video enlazado en el segundo tuit)”.
“El dispositivo estaba comprometido de exactamente la misma manera, presentando modificaciones idénticas (como cables adicionales y un módulo LTE). Esto indica que se trata de un problema generalizado en lugar de un incidente aislado, que potencialmente afecta el inventario de Ledger en tiendas MediaMarkt y Saturn en toda Europa (que comprende más de 1.000 tiendas en 11 países)”.
De acuerdo a lo que piensa el usuario @0xJohannes_, él planteaba al principio “que estos dispositivos eran devoluciones que parecían sin abrir a los empleados y simplemente se volvieron a vender como nuevos; sin embargo, un empleado de MediaMarkt confirmó que el dispositivo que compré no era una devolución, y que los Ledger devueltos se envían directamente de vuelta al fabricante en lugar de revenderse”.
Y continuó explicando que “los registros de la tienda muestran que el inventario se originó en Aqipa GmbH. Aunque el CTO de Ledger no estaba seguro de si Aqipa actúa como el distribuidor directo entre Ledger y MediaMarkt, parece que es el caso. Dado que Aqipa distribuye en toda Europa, cualquier tienda minorista física que reciba existencias a través de ellos podría estar en riesgo”.
obv wasnt allowed to take a picture but this is where i got the info about returns and who the supplier was etc pic.twitter.com/IFXNyP9ioj
— Johannes (4, 4) (@0xJohannes_) October 12, 2026
Tras desarmar los dispositivos —grabando el proceso del segundo en video—, halló modificaciones idénticas en el circuito impreso: cables de bypass adicionales y un micro-módulo de comunicación celular (LTE).
A diferencia de los ataques tradicionales de software o campañas de phishing, este tipo de implante físico (hardware implant) opera de forma pasiva dentro de la carcasa. Su objetivo no es alterar el código del dispositivo, sino interceptar los datos transmitidos a la pantalla durante el proceso crítico de generación o visualización de las 24 palabras de la frase semilla.
También el usuario @0xJohannes_ expuso los registros de inventario de la tienda que le fueron mostrados, señalando que el lote afectado fue provisto por Aqipa GmbH, uno de los mayores distribuidores de electrónica de consumo en Europa, encargado de abastecer a cadenas masivas como MediaMarkt y Saturn en al menos 11 países.
Asimismo, la hipótesis inicial de un Evil Maid attack local —en el que un usuario malintencionado compra el equipo, lo modifica y lo devuelve al comercio— fue descartada preliminarmente por el personal de la tienda, quienes aseguraron que los productos devueltos no se reincorporan al stock de venta, sino que son remitidos directamente al fabricante.
Ledger, respondió al usuario @0xJohannes_ indicándole como contactar al equipo correspondiente: “Por favor, consulte la última actualización de Ledger Donjon sobre la investigación de CryptoBilis, que incluye detalles para contactar a nuestro Servicio al Cliente con cualquier pregunta”.
No obstante, Ledger por ahora no ha confirmado esta información generando una discrepancia entre la narrativa oficial del fabricante y los reportes independientes, planteando una pregunta crucial para millones de usuarios de auto-custodia: ¿se trata de un ataque localizado o estamos ante una falla distributiva de mayor escala en el continente europeo?
El problema, es que pese a la difusión de los videos y las fotografías de los circuitos modificados, la posición de Ledger se mantiene firme porque señala que hasta la fecha, todos los casos confirmados de vaciado de fondos corresponden exclusivamente a lotes distribuidos por CryptoBilis en el Sudeste Asiático, incidente que derivó en pérdidas estimadas en unos 91 millones de dólares según análisis de firma Galaxy Research, no más.
En sus comunicados oficiales, Ledger insiste en que sus canales de venta directa (tienda web oficial) permanecen completamente seguros y que el volumen de equipos afectados en Asia es limitado.
Frente a las denuncias sobre el inventario de MediaMarkt, la empresa se ha limitado a reiterar que las investigaciones continúan y que se encuentran a la espera de recibir la segunda unidad enviada por el comprador para someterla a un análisis forense exhaustivo en su laboratorio de seguridad, el Ledger Donjon.
Update from Ledger Donjon on the CryptoBilis investigation 🔽@DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user’s signer.…
— Ledger (@Ledger) October 13, 2026
Ledger, en un comunicado en X, dijo: “Actualización de Ledger Donjon sobre la investigación de CryptoBilis” en la que señala que “@DonjonLedger está investigando los firmantes de Ledger vendidos por CryptoBilis, un revendedor en el sudeste asiático, que contenían un implante de hardware no autorizado”.
“Ledger confirmó esto el 10 de octubre para el firmante de un usuario afectado. Todas las pérdidas de fondos confirmadas relacionadas con el incidente divulgado el 9 de octubre involucran firmantes vendidos a través de CryptoBilis”.
Allí Ledger aclaró: “No hemos verificado un drenaje vinculado a un firmante comprado en otro lugar. CryptoBilis ha confirmado que detuvo la venta de firmantes de Ledger mientras continúa la investigación”, por lo que supuestamente el ataque solo está circunscrito a Asia.
Por su parte, ni MediaMarkt ni Aqipa GmbH han emitido declaraciones públicas o alertas de retiro preventivo de inventario en Europa, lo que mantiene el caso en un terreno de incertidumbre mediática entre reportes de usuarios e investigaciones corporativas en curso.
Si el laboratorio de Ledger confirma que el dispositivo proveniente de MediaMarkt contiene un implante funcional de fábrica o distribución, la industria cripto enfrentará un precedente complejo, como es la vulneración de una cadena logística mayorista en territorio europeo.
Este escenario transformaría un problema acotado a un revendedor regional en una falla de distribución internacional pero mientras se esclarece el alcance real de los inventarios de Aqipa GmbH, los especialistas en ciberseguridad recomiendan adoptar medidas preventivas inmediatas para evitar ser víctima de los atacantes.
Se debe pausar la configuración de nuevos dispositivos, por lo que si adquirió un dispositivo Ledger en una tienda física o a través de un revendedor tercero y aún no lo ha configurado, absténgase de iniciarlo o de generar una frase semilla.
Del mismo modo no se puede confiar ciegamente en el Genuine Check, ya que como ha quedado demostrado, la verificación de autenticidad por software no detecta intercepciones físicas pasivas en la pantalla.
También se recomienda la migración para usuarios con dudas, en aquellos casos que utilicen una billetera comprada en un distribuidor físico y desea descartar riesgos. De allí que, la medida más prudente es transferir sus activos a una frase semilla nueva generada en un dispositivo adquirido directamente en la tienda oficial del fabricante (sea Ledger, Trezor o Tangem).
Asimismo, se debe prestar atención a campañas de phishing, ya que usualmente en los periodos de incertidumbre suelen ser aprovechados por actores maliciosos para lanzar falsos avisos de seguridad que solicitan ingresar las 24 palabras en sitios web fraudulentos. Ningún fabricante legítimo solicitará jamás su frase de recuperación.
La resolución de este caso dependerá del informe técnico que emita el equipo de seguridad de Ledger tras inspeccionar la unidad retornada. Hasta entonces, la prudencia operativa y la verificación estricta de la procedencia del hardware continúan siendo la primera línea de defensa en la custodia de activos digitales.