La compañía francesa Ledger ha confirmado que un grupo criminal modificó físicamente dispositivos originales para obtener las frases de recuperación de sus propietarios. El ataque, localizado principalmente en el sudeste asiático, ha provocado pérdidas millonarias y obliga a revisar los mecanismos de seguridad en la distribución de monederos físicos.
La seguridad de las criptomonedas vuelve a situarse en el centro del debate después de que Ledger reconociera oficialmente un sofisticado ataque contra su cadena de distribución.
En un comunicado publicado el 15 de octubre de 2026, el fabricante francés explicó que una organización criminal adquirió dispositivos auténticos, los abrió e instaló componentes electrónicos ocultos capaces de capturar información confidencial durante su configuración.
Posteriormente, los monederos fueron introducidos de nuevo en los canales comerciales del sudeste asiático.
El resultado fue una operación coordinada que permitió a los atacantes acceder a los fondos de numerosos usuarios sin necesidad de vulnerar directamente los sistemas informáticos del fabricante.
El incidente representa uno de los ejemplos más preocupantes de cómo un ataque físico puede comprometer una infraestructura diseñada precisamente para proteger activos digitales.
Los delincuentes manipularon dispositivos originales
La investigación de Ledger apunta a una operación preparada durante varios meses.
Según la compañía, los responsables adquirieron monederos legítimos y los modificaron mediante componentes electrónicos desarrollados específicamente para obtener las frases de recuperación de sus usuarios.
Estas frases, habitualmente compuestas por 24 palabras, permiten restaurar el acceso a los activos digitales asociados a un monedero.
Su importancia es fundamental: cualquier persona que consiga una copia puede recuperar las claves necesarias para controlar los fondos, incluso sin disponer físicamente del dispositivo original.
Los componentes instalados por los atacantes estaban diseñados para interceptar esa información durante la configuración inicial.
De esta manera, los usuarios podían creer que estaban utilizando un dispositivo seguro mientras sus credenciales quedaban expuestas.
Ledger asegura que el ataque no aprovechó una vulnerabilidad de sus chips de seguridad, su sistema operativo o sus servidores.
De acuerdo con su investigación, los dispositivos fueron modificados después de abandonar los canales controlados directamente por el fabricante.
Esta distinción resulta importante para comprender la naturaleza del incidente.
No se trataría de una vulnerabilidad generalizada de los monederos Ledger, sino de una manipulación física de determinados productos durante su distribución.
Las pérdidas podrían superar los 100 millones de dólares
Las primeras alertas surgieron el 9 de octubre, cuando usuarios del sudeste asiático denunciaron movimientos no autorizados de sus criptomonedas.
Las investigaciones iniciales relacionaron los casos con dispositivos adquiridos a través del distribuidor CryptoBilis, presente en mercados como Indonesia, Malasia y Filipinas.
Las primeras estimaciones situaron las pérdidas por encima de los 86 millones de dólares.
Sin embargo, un análisis posterior de la empresa de inteligencia blockchain Bitquery elevó la cifra a aproximadamente 102 millones de dólares.
Según esta investigación, los fondos fueron retirados de 324 monederos a través de seis redes blockchain, entre ellas Bitcoin, Ethereum, TRON, Solana, BNB Chain y Polygon.
La mayor parte del valor identificado correspondía a operaciones con USDT en la red TRON.
Es importante señalar que estas cantidades proceden de investigaciones independientes y no constituyen un balance definitivo confirmado por Ledger.
Tampoco debe confundirse el número de monederos afectados con el de personas perjudicadas, ya que un mismo propietario puede controlar varias direcciones.
El seguimiento de las transacciones también revela la dificultad de recuperar los activos una vez que los delincuentes comienzan a transferirlos entre diferentes redes y servicios.
Ledger suspende ventas y endurece los controles de distribución
La respuesta de Ledger incluye medidas dirigidas tanto a investigar el ataque como a reducir la posibilidad de incidentes similares.
La compañía ha solicitado a distribuidores y revendedores autorizados la suspensión de las ventas en el sudeste asiático y Hong Kong mientras continúa la investigación.
También ha examinado dispositivos procedentes de establecimientos comerciales y almacenes.
Según el comunicado oficial, las unidades inspeccionadas en esas comprobaciones adicionales no presentaban manipulaciones.
Ledger ha anunciado igualmente cambios en las condiciones aplicables a su red de distribución.
Entre las medidas destaca la prohibición de volver a comercializar dispositivos devueltos, incluso cuando aparentemente se encuentren nuevos y con su embalaje intacto.
Además, los productos deberán mantenerse fuera de los expositores comerciales y entregarse al comprador directamente desde las zonas de almacenamiento.
Los distribuidores también tendrán que comunicar cualquier incidencia o anomalía detectada en los dispositivos.
La compañía está colaborando con las autoridades y especialistas en seguridad para identificar a los responsables y rastrear los fondos sustraídos.
Ledger sostiene que el incidente corresponde a un ataque localizado contra la distribución y no a un compromiso general de toda su cadena de suministro.
Qué deben tener en cuenta los usuarios de monederos físicos
El caso pone de manifiesto una cuestión esencial para quienes utilizan sistemas de autocustodia.
Un monedero físico está diseñado para mantener las claves privadas protegidas frente a numerosos ataques informáticos, pero esa protección puede quedar comprometida si el dispositivo ha sido manipulado antes de llegar al usuario.
La seguridad no depende únicamente del software o de los componentes criptográficos.
También intervienen la fabricación, el transporte, el almacenamiento, la comercialización y la configuración inicial.
Por este motivo, adquirir dispositivos mediante canales fiables constituye una medida preventiva importante, aunque no elimina por completo los riesgos.
En relación con este incidente, Ledger recomendó a los compradores recientes del distribuidor investigado que no configuraran sus dispositivos hasta recibir nuevas indicaciones.
A quienes ya los habían utilizado les aconsejó considerar el traslado de sus activos a un nuevo dispositivo seguro, utilizando una frase de recuperación completamente nueva.
Esta última condición es especialmente importante.
Si una frase de recuperación ha quedado comprometida, cambiar únicamente el dispositivo físico no protege los fondos asociados a esa misma frase.
La recomendación general sigue siendo no compartir nunca las palabras de recuperación ni introducirlas en páginas web, formularios o aplicaciones que las soliciten.
Ante cualquier sospecha de manipulación, conviene acudir directamente a los canales oficiales del fabricante y evitar procedimientos de recuperación propuestos por terceros desconocidos.
Un desafío para la seguridad de la autocustodia
El incidente también abre un debate sobre la evolución de los ataques contra el ecosistema de las criptomonedas.
Durante años, buena parte de las recomendaciones de seguridad se han centrado en evitar programas maliciosos, páginas fraudulentas y robos de contraseñas.
Sin embargo, los delincuentes también pueden actuar sobre elementos físicos de la infraestructura.
En este caso, la sofisticación del ataque no residió en romper los algoritmos criptográficos utilizados para proteger las claves privadas.
La operación consistió en obtener la información necesaria para controlar los fondos antes de que los usuarios detectaran cualquier anomalía.
El episodio demuestra que la seguridad de los activos digitales requiere una visión más amplia que la protección tecnológica del dispositivo.
También exige procedimientos fiables de distribución, controles de integridad y mecanismos capaces de detectar modificaciones físicas.
Para los fabricantes de hardware wallets, el desafío será reforzar estas garantías sin introducir una complejidad excesiva para el usuario.
Para los propietarios de criptomonedas, la principal enseñanza es que la autocustodia proporciona control directo sobre los activos, pero también exige comprender cómo se generan, protegen y recuperan las claves.
El ataque reconocido por Ledger recuerda que la seguridad de Bitcoin y las criptomonedas no termina en la blockchain. También depende de la integridad de los dispositivos y de las personas que intervienen antes de que estos lleguen a manos de sus propietarios.
Fuentes y referencias
- Ledger — Comunicado oficial sobre el ataque a dispositivos físicos
- Bitquery — Investigación blockchain del ataque a CryptoBilis
- The Block — Investigación sobre la manipulación de dispositivos Ledger