Backdoor en el distribuidor de Ledger: pérdidas de 93 millones de dólares
Desde el 9 de octubre de 2026, los fondos de un grupo de usuarios que compraron hardware Ledger al distribuidor CryptoBilis fueron vaciados. Ledger ha…
Distribuidor de Ledger con backdoor implantado: las pérdidas ascienden a unos 93 millones de dólares estadounidenses, el problema está en el hardware, no en el wallet
Desde el 9 de octubre de 2026, un grupo de usuarios de hardware wallets Ledger descubrió que sus activos habían sido vaciados. A medida que avanzaba la investigación, la naturaleza del incidente se fue aclarando: lo que fue comprometido no fue el firmware del wallet de Ledger, ni los algoritmos criptográficos, sino que los dispositivos ya habían sido manipulados antes de llegar a manos de los usuarios.
Ledger confirmó posteriormente que en uno de los dispositivos afectados existía un «implante de hardware no autorizado» (unauthorized hardware implant). Según Ledger, este tipo de implante transmite la frase semilla del usuario fuera del dispositivo a través de la red LTE. Es decir, el atacante no necesita descifrar nada criptográfico: basta con obtener la frase semilla que el propio usuario generó.
Hecho clave: el problema está en el distribuidor autorizado CryptoBilis
| Concepto | Detalle |
|---|---|
| Fecha de exposición | Estalló de forma escalonada a partir del 9 de octubre de 2026 |
| Alcance afectado | Usuarios que compraron dispositivos Ledger a través del distribuidor tercero CryptoBilis |
| Método de ataque | Implantar un módulo en el hardware del dispositivo que transmite la frase semilla por la red LTE |
| Monto de las pérdidas | Estimación inicial de unos 86 millones de dólares estadounidenses, posteriormente elevada a unos 93 millones (distintos medios manejan cifras entre 86 y 102 millones de dólares estadounidenses) |
| Destino de los fondos | Mezclados vía Tornado Cash y con conversión de USDT a USDD para evadir el congelamiento; unos 70,6 millones de dólares estadounidenses siguen siendo rastreables en wallets mixtos |
| Medidas oficiales | CryptoBilis dejó de vender firmadores Ledger; Ledger y Tether congelaron parte de los fondos robados |
CryptoBilis era anteriormente distribuidor autorizado de Ledger en Indonesia, Malasia y Filipinas. Esto es especialmente importante para los usuarios de Asia: si en los últimos años compraste el dispositivo a través de un agente local, distribuidor o canal de comercio electrónico, en lugar de comprarlo directamente en la web oficial de Ledger, necesitas verificar seriamente el origen de tu dispositivo.
Los pasos oficiales: cuatro pasos, ninguno se puede omitir
- Si el dispositivo aún no ha sido inicializado, no lo inicialices. Ledger exige explícitamente a los usuarios no activar dispositivos de ese distribuidor que aún no hayan sido inicializados.
- Si ya lo estás usando, transfiere los activos cuanto antes. Pásalos a un firmador completamente nuevo y genera con él una frase semilla totalmente nueva.
- Nunca introduzcas ni restaures la frase semilla en este dispositivo. Ya sea para crear o importar, si la frase semilla pasa por un dispositivo implantado, es como entregársela directamente al atacante.
- No desarmes el dispositivo por tu cuenta para verificarlo. Debes contactar al soporte oficial de Ledger y seguir el procedimiento adecuado.
Cómo saber por tu cuenta si te han afectado
- Revisa la tarjeta de la frase semilla. Al abrir un dispositivo nuevo, la tarjeta de la frase semilla dentro del paquete debe estar en blanco: la frase semilla debe generarla el propio dispositivo durante la inicialización. Si la tarjeta ya tiene palabras impresas, o si el manual te pide «usar la frase incluida», deja de usarlo de inmediato.
- Verifica la autenticidad del dispositivo. Comprueba a través de Ledger Live en los canales oficiales si el dispositivo es genuino, y actualiza el firmware solo desde fuentes oficiales.
- Repasa el canal de compra. ¿Era un distribuidor autorizado? ¿Conservas el registro de la compra y la factura?
- El criterio más contundente es «asumir que ya se filtró». Si el origen del dispositivo es dudoso, actúa como si ya se hubiera filtrado: transfiere los activos y cambia a una nueva frase semilla. Ese costo es mucho menor que la pérdida por robo.
Este caso visto en el contexto del sector
Este incidente merece la atención de todos los usuarios de hardware wallets porque rompe una suposición por defecto: antes se pensaba en general que «como el cold wallet guarda la clave privada fuera de línea, es lo más seguro», pero este ataque evitó el wallet en sí y atacó directamente la cadena de suministro. Cuando el atacante puede acceder al dispositivo durante la fase logística, el almacenamiento fuera de línea deja de ser una barrera absoluta.
Tampoco es un caso aislado. En el tercer trimestre de 2026, las pérdidas del sector cripto por hackeos superaron los 1.170 millones de dólares estadounidenses, y el acumulado anual se acerca a los 2.100 millones. En el mismo periodo, un investigador de la Fundación Ethereum advirtió además que los métodos de ataque asistidos por IA podrían amenazar aún más la seguridad de los wallets. Los hardware wallets siguen siendo más seguros que tener la clave privada en un dispositivo conectado, pero «qué le ocurrió al dispositivo antes de llegar a tus manos» ahora debe incluirse en la evaluación.
Tres recomendaciones prácticas para el usuario común
- Al cambiar de dispositivo, considera el «canal» tan importante como el «modelo». Prioriza la web oficial de la marca o canales autorizados verificables.
- Si el origen es dudoso, primero transfiere y luego investiga. El orden seguro es «primero proteger los activos, después discutir responsabilidades».
- La frase semilla solo se genera en un dispositivo que hayas confirmado como limpio. Esta regla no cambia por la marca ni por el precio.
Si quieres entender de forma sistemática la elección de wallets y la gestión de claves privadas, puedes leer junto con la guía para elegir una criptomonedera, la guía de seguridad de frase semilla y clave privada y la autorización de wallets y prevención de phishing del sitio; el impacto temprano de este incidente en las cotizaciones también lo registramos en el análisis profundo de las cotizaciones cripto del 14 de octubre. Si estás eligiendo una plataforma para guardar activos a largo plazo, también puedes revisar las pruebas de reservas y los mecanismos de seguridad de cuenta de plataformas principales como Binance y OKX.
Advertencia de riesgo
Este artículo recopila información pública hasta octubre de 2026. El alcance de los dispositivos afectados, los criterios sobre el monto de las pérdidas y el avance de las medidas oficiales siguen actualizándose; por favor, toma como referencia las últimas indicaciones de los anuncios oficiales de Ledger y sus canales de soporte oficiales. Este artículo no constituye asesoramiento de inversión.
Advertencia de riesgo y divulgación de promoción: una vez que los activos cripto se transfieren, la operación es irreversible; verifica siempre a través de canales oficiales cualquier operación relacionada con hardware wallets y frases semilla. Este artículo es una recopilación e interpretación de información pública y no constituye asesoramiento de inversión. Este artículo contiene enlaces promocionales; si te registras a través de ellos, podemos recibir una comisión, lo que no aumenta el costo que pagas ni afecta el juicio independiente de este artículo. El alcance del incidente, los montos y las medidas oficiales mencionadas se rigen por los anuncios oficiales de Ledger, con información actualizada a octubre de 2026.