La firma francesa Ledger ha confirmado la existencia de un implante de hardware no autorizado dentro de algunas de sus carteras de criptomonedas vendidas a través del distribuidor del sudeste asiático CryptoBilis.
El componente, oculto en el interior de la carcasa, era capaz de leer la frase de recuperación de 24 palabras mostrada en la pantalla durante la configuración inicial y transmitirla al exterior mediante una conexión LTE con una eSIM integrada preaprovisionada. Los atacantes utilizaron esas frases para vaciar los fondos de los usuarios el pasado 9 de octubre.
El mecanismo: un chip espía que lee la pantalla
El implante no modifica ni el Secure Element —el chip que protege las claves privadas— ni el sistema operativo de la cartera. No altera transacciones ni firmas. Su función es mucho más simple y, a la vez, más difícil de detectar: capturar lo que se muestra en pantalla cuando el dispositivo presenta las 24 palabras de la frase semilla.
Según el análisis del equipo de seguridad de Ledger (Donjon), el implante incluye un microcontrolador que reconoce y decodifica las palabras a medida que aparecen en la pantalla, y las envía por LTE utilizando una eSIM provisionada. La frase de recuperación es la llave maestra de una cartera de criptomonedas: cualquiera que la posea puede reconstruir la cartera en otro dispositivo y mover los fondos sin necesidad de acceder físicamente al Ledger original.
El implante se alimenta de una batería de menor tamaño que reemplaza a la original, dejando espacio para la circuitería maliciosa. En modelos como el Ledger Nano X, el módulo se oculta detrás de la pantalla; su cable de antena es la única pista visible de que algo no está en orden.
La trampa de la verificación de autenticidad
Uno de los aspectos más preocupantes del ataque es que los dispositivos manipulados pueden superar la comprobación de autenticidad de Ledger. La función Genuine Check verifica una prueba criptográfica generada por el Secure Element. Como el implante no toca ese chip, la verificación sigue siendo válida. Ledger ha advertido explícitamente que, debido a esta circunstancia, las carteras manipuladas pueden seguir pasando los controles de autenticidad de la compañía.
Esto crea una distinción crítica entre autenticar el chip seguro y detectar una manipulación física. La verificación de integridad de Ledger confirma que el Secure Element es legítimo, pero no puede detectar hardware añadido si el chip original permanece intacto.
Alcance y víctimas: pérdidas millonarias y dispositivos en tres continentes
Ledger ha confirmado que todas las pérdidas de fondos verificadas hasta la fecha están vinculadas a dispositivos vendidos a través de CryptoBilis. Sin embargo, la compañía también está revisando informes de implantes en dispositivos comprados en otros lugares.
Las estimaciones de pérdidas varían según la fuente. La firma de análisis Bitquery calcula que los atacantes retiraron 93,2 millones de dólares de 315 carteras en seis blockchains. Los investigadores de YFarmX elevan la cifra a 103,4 millones de dólares y 530 direcciones afectadas. Ledger no ha confirmado ni el número de víctimas ni el monto total, y ha advertido que las cifras que circulan en internet provienen de terceros y no han sido verificadas por completo.
Los casos confirmados se concentran en el sudeste asiático, pero los informes se extienden más allá. Mark Karpelès, exCEO de Mt. Gox, confirmó la presencia de un implante espía en un Ledger Flex comprado en el aeropuerto de Singapur. En Europa, un usuario denunció haber encontrado cables y módulos celulares adicionales en dos dispositivos adquiridos en tiendas de MediaMarkt, lo que llevó a la cadena a retirar los productos Ledger de sus estanterías y plataformas online.
La respuesta de Ledger y CryptoBilis
Ledger ha emitido una serie de recomendaciones claras para los compradores de CryptoBilis. La primera es no configurar ningún dispositivo no utilizado adquirido a ese distribuidor. La segunda es que, si ya se ha configurado, se transfieran los activos de inmediato a una nueva cartera con una nueva frase de recuperación. La compañía también ha advertido de que no se introduzca ni restaure ninguna frase de recuperación en un dispositivo comprado a CryptoBilis.
El CTO de Ledger, Charles Guillemet, ha declarado que la compañía está revisando sus controles sobre distribuidores y sus protecciones anti-manipulación, e invitó a investigadores y otros fabricantes a colaborar en prácticas de detección de manipulaciones y cadena de custodia. El CEO, Pascal Gauthier, ha confirmado que la investigación sigue abierta para determinar quién manipuló los dispositivos y en qué punto de la cadena de distribución ocurrió.
CryptoBilis ha pausado todas las ventas y envíos de carteras Ledger mientras dura la investigación, y ha cerrado temporalmente sus tiendas físicas en Indonesia, Malasia y Filipinas. Otros fabricantes de carteras, como Trezor y OneKey, han eliminado a la compañía de sus redes de distribución asociadas.
Implicaciones: cuando la confianza física también se rompe
Este incidente subraya una realidad incómoda en el mundo de las criptomonedas: la seguridad de una cartera de hardware no depende solo del software o del chip que protege las claves, sino también de la integridad física del dispositivo que llega a manos del usuario. Un ataque a la cadena de suministro física —no un hackeo remoto— ha bastado para comprometer el eslabón más sensible de todo el sistema: la frase semilla.
La recomendación de Ledger de no enviar el dispositivo a nadie antes de hablar con soporte o con las autoridades refleja la gravedad del asunto: los dispositivos afectados son prueba forense de una manipulación que, por ahora, no tiene autor conocido ni punto de origen confirmado dentro de la cadena de distribución.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
