Implante celular oculto en wallets Ledger: cómo las hardware wallets vendidas por un revendedor drenaron unos 93 millones de dólares
Ledger confirmó el 10 de octubre de 2026 que hardware wallets manipuladas vendidas a través del revendedor del sudeste asiático CryptoBilis contenían un implante de hardware no autorizado diseñado para capturar las frases de recuperación de los usuarios durante la configuración del dispositivo. La empresa hizo público el hallazgo a través de su cuenta de soporte. No se trataba de un fallo de firmware ni de un truco de phishing, sino de circuitos adicionales añadidos a dispositivos genuinos en algún punto del camino entre el fabricante y el comprador.
Un implante tras la pantalla
Según la confirmación de Ledger y un análisis técnico publicado por PhishFort, el implante estaba situado detrás de la pantalla del dispositivo y se conectaba a las líneas de datos del display. Esa posición le permitía leer todo lo que aparecía en pantalla, incluida la frase de recuperación de 24 palabras generada durante la configuración inicial. El compromiso, por tanto, no requería un ordenador infectado ni una aplicación maliciosa: la propia wallet registraba las palabras semilla en el momento de generarse. CoinDesk informó el 13 de octubre de que Ledger describió el componente como un chip espía que transmitía las claves capturadas por una red móvil. Un canal fuera de banda de ese tipo no depende del ordenador ni de la conexión a internet de la víctima, lo que hacía la exfiltración difícil de detectar. La evidencia física coincide con esa descripción: según Help Net Security, se encontró un implante en la parte trasera de un dispositivo ya vaciado, examinado después de los hechos. Ninguno de los análisis publicados identifica quién fabricó el implante ni en qué punto de la cadena de distribución se modificaron los dispositivos. Lo que sí muestran los exámenes es una modificación lo bastante pequeña para escapar a la inspección visual y lo bastante discreta como para no interferir con el funcionamiento normal de la wallet. Esa combinación de huella mínima, plena funcionalidad y transmisión encubierta es lo que hace tan difíciles de detectar los implantes de hardware a posteriori. Una wallet de aspecto genuino, un flujo de configuración normal y un componente tras la pantalla copiando la frase semilla en cuanto aparece: esa es la forma de este incidente.
La magnitud de las pérdidas
La firma de análisis de blockchain Bitquery estimó el 11 de octubre que las pérdidas presuntas alcanzaban los 93,2 millones de dólares en 315 wallets de seis cadenas, con unos 70,5 millones en TRON. Estas cifras proceden del análisis on-chain de Bitquery y siguen sin ser confirmadas por Ledger, así que deben leerse como estimaciones de analistas y no como totales verificados por la empresa. Los analistas rastrearon fondos robados moviéndose por Tornado Cash en los días posteriores a que saliera a la luz el robo; según el resumen publicado por Tarnkappe, unos 81 millones de dólares seguían siendo rastreables on-chain al 11 de octubre. Dos medidas de contención siguieron a la salida de fondos: Tether congeló aproximadamente 10 millones de USDT vinculados al robo, y se identificaron unos 5,35 millones de USDC para su congelación. CryptoBilis detiene todo su inventario de hardware
CryptoBilis, el revendedor a través del cual los dispositivos manipulados llegaron a clientes de Indonesia, Malasia y Filipinas, detuvo la venta de todo su inventario de hardware wallets en cuanto se conoció el problema. La confirmación de Ledger vinculó los dispositivos manipulados al stock vendido por este revendedor. El caso muestra por qué el punto de venta importa tanto como el fabricante. Un dispositivo genuino que pasa por un intermediario no autorizado puede abrirse, modificarse y volverse a sellar con hardware invisible desde el exterior, y el embalaje sellado aporta poca garantía, porque una caja re sellada es difícil de distinguir de una sellada de fábrica. Quien compra en tiendas de terceros, marketplaces o revendedores hereda la integridad que esos intermediarios mantengan, o su ausencia. Qué significa esto para la confianza en la cadena de suministro de hardware
Las hardware wallets se sostienen sobre una suposición sencilla: el dispositivo que tienes en las manos hace exactamente lo que dice el firmware y nada más. La manipulación física rompe esa suposición en una capa que ningún escaneo de software puede alcanzar. El implante de este incidente no cambió el aspecto ni el comportamiento de la wallet; los usuarios veían una pantalla normal y un flujo de configuración normal mientras un componente tras el display copiaba la frase semilla y la transmitía en silencio. Las lecciones prácticas son poco glamorosas. Comprar hardware wallets directamente al fabricante o a un distribuidor autorizado. Tratar como comprometido y descartar cualquier dispositivo que llegue preconfigurado, con una frase de recuperación impresa o un PIN preestablecido. Inicializar el dispositivo uno mismo, generar una frase de recuperación nueva y verificar la autenticidad del software que se use con él: la misma disciplina que describe nuestro artículo sobre cómo verificar descargas correctamente se aplica a las herramientas de wallets igual que a cualquier otra cosa descargada por Tor. Para quien haya comprado una Ledger a CryptoBilis, la suposición de trabajo debe ser que la frase de recuperación fue capturada. Los fondos deberían moverse a una wallet inicializada en un dispositivo verificado y la semilla antigua debe darse por quemada. Ese principio va más allá del incidente: una frase de recuperación debe existir en un único lugar, generada por su propietario, nunca preimpresa y nunca reutilizada.
