Implante LTE en Ledger: qué está confirmado, qué no y qué significa la pregunta de los 100 millones de dólares para tu wallet

Ledger ha confirmado que hardware wallets vendidas a través de un distribuidor del sudeste asiático llevaban un componente oculto que copiaba las frases de recuperación y las enviaba al exterior por una red celular. La empresa asegura que el chip, el sistema operativo y los servidores nunca fueron vulnerados. Las estimaciones independientes de las pérdidas van de 86 a 102 millones de dólares, y ninguna de las dos cifras ha sido auditada por un tercero. Este artículo separa los hechos del ruido, con los datos disponibles en la noche del 15 de octubre de 2026.

La versión corta

• Confirmado por Ledger: dispositivos vendidos a través del distribuidor CryptoBilis en el sudeste asiático contenían un implante de hardware no autorizado. El implante leía la frase de recuperación de 24 palabras mostrada en pantalla durante la configuración y la transmitía por LTE con una SIM integrada.
• Confirmado por Ledger: el elemento seguro y el sistema operativo no fueron modificados, y los servidores de Ledger no fueron comprometidos. La empresa habla de «un ataque de distribución localizado».
• No confirmado por Ledger: el importe total robado. Hay tres estimaciones externas: más de 86 millones de dólares (el investigador Specter), 102,0 millones desde 324 wallets (la firma de datos blockchain Bitquery) y 103 millones (el medio Yfarmx).
• Discutido o abierto: los informes desde Europa. Un cliente en Alemania comunicó un implante, MediaMarktSaturn retiró los productos Ledger de todos sus países, y dos personas afirman públicamente haber encontrado implantes en dispositivos comprados en MediaMarkt y en el aeropuerto de Singapur. Ledger dice que no ha verificado ningún vaciado vinculado a un dispositivo comprado fuera del sudeste asiático y que los dispositivos que compró en tiendas alemanas estaban limpios.

Cronología: seis días que sacudieron al sector

La historia es corta, pero el orden de los hechos importa, porque la comprensión pública cambió casi cada día.

Viernes 9 de octubre. El investigador on-chain seudónimo Specter publica rastros de fondos robados en Bitcoin, Ethereum y Tron, y usuarios denuncian wallets vacías en X y Reddit. CoinDesk informa de que Ledger reconoció los informes y dijo que estaba «investigando informes de fondos robados vinculados a dispositivos vendidos a través de un distribuidor en el sudeste asiático». Ledger pidió al distribuidor, CryptoBilis, que pausara todas las ventas y envíos, dijo a los compradores recientes que no configuraran sus dispositivos y a quienes ya habían activado uno que trasladaran sus activos a un nuevo Ledger con una frase de recuperación recién generada. La ventana indicada entonces eran los dispositivos vendidos en los 90 días anteriores. Ese día CoinDesk precisó que no había confirmación independiente del importe ni prueba confirmada de que los sistemas propios de Ledger hubieran sido comprometidos.

Sábado 10 de octubre. Según Cointelegraph, Ledger confirma que uno de los dispositivos afectados contenía un implante no autorizado. CryptoBilis anuncia en X que ha suspendido ventas y envíos de todas las marcas de hardware wallets en Malasia, Filipinas e Indonesia, ampliando una pausa inicial limitada a Ledger. También cierra temporalmente sus tiendas físicas y dice que revisa sus procesos con especialistas independientes.

Lunes 12 de octubre. Un usuario de X conocido como Johannes dice haber comprado dos Ledger en dos tiendas MediaMarkt distintas y haber encontrado en ambos cables no autorizados y módulos celulares. Trezor dice que no ha recibido informes de dispositivos Trezor manipulados vendidos a través de CryptoBilis y, aun así, retira a CryptoBilis de su red de distribuidores autorizados. OneKey, en una publicación recogida por Cointelegraph, también revoca la autorización y ofrece reemplazos gratuitos (detalles más abajo).

Martes 13 de octubre. Ledger publica la descripción técnica del implante (detalles abajo). MediaMarktSaturn retira los productos Ledger de tiendas y tiendas online «en todos nuestros países», y lo describe ante Cointelegraph como medida preventiva. Ledger dice que la suspensión se coordinó tras el informe de un implante de hardware por parte de un cliente en Alemania, y que en ese caso no se habían comunicado pérdidas de fondos. El ex CEO de Mt. Gox Mark Karpelès afirma que un Ledger Flex comprado en el aeropuerto de Singapur contenía un implante espía. Ledger remite a los usuarios a su actualización sobre la investigación de CryptoBilis sin abordar directamente el caso de Singapur. En una actualización fechada el 13 de octubre, Ledger pide a distribuidores y mayoristas de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong que suspendan las ventas y retiren el producto de las estanterías.

Jueves 15 de octubre. Ledger publica en su blog «Ledger's Response to the Hardware Implant Attack». El mismo día presenta un producto nuevo, Ledger Atom, a 849 dólares, con entregas previstas en 2027. Cointelegraph informa de que un portavoz de Ledger dijo que el trabajo antimanipulación «no era una respuesta a incidentes aislados» y no dio un calendario de desarrollo.

Qué dice Ledger que encontró

Las descripciones de la propia empresa son el mejor material primario disponible, así que conviene leerlas con atención.

En su blog Ledger escribe que «un grupo criminal altamente organizado llevó a cabo uno de los ataques más sofisticados que ha visto nuestro sector». Según la empresa, el grupo compró dispositivos genuinos durante muchos meses, los abrió, montó componentes ocultos fabricados a medida para capturar la frase de recuperación durante la configuración y volvió a introducir los dispositivos en la distribución a través de distribuidores del sudeste asiático. El texto añade que los criminales construyeron su propia logística e infraestructura tecnológica, incluidos «servidores de recolección de seeds, infraestructuras de vaciado y de blanqueo», que «gastaron millones» y que actuaron «en una sola operación coordinada».

En X, el equipo de seguridad Donjon de Ledger describió el mecanismo. Un microcontrolador añadido al dispositivo decodifica las 24 palabras que aparecen en pantalla durante la configuración y las envía al exterior por una red celular LTE mediante una SIM integrada. Ledger afirma que el implante no comprometió el chip de seguridad y no alteró las transacciones.

Este último punto es la clave de todo el episodio. El ataque no rompió aquello por lo que la gente paga. Se colocó al lado. El elemento seguro siguió haciendo lo que fue diseñado para hacer: generar y proteger una clave. El problema es que la versión legible por humanos de esa clave pasaba frente a una pantalla, y una segunda pieza de hardware, de cuya existencia el comprador no sabía nada, la estaba leyendo.

Ledger también declara: «No hubo ningún fallo en el chip, el sistema operativo ni los servidores de Ledger. Los sistemas de Ledger no fueron comprometidos. Fue un ataque al canal de distribución después de que los dispositivos salieran de nuestro control». Y: «No fue un ataque sistémico a la cadena de suministro, fue un ataque de distribución localizado».

Dos partes de ese planteamiento merecen examen, y ninguna es una acusación.

Primero: «localizado» es una afirmación sobre las pruebas reunidas hasta ahora, no un límite demostrado. En su actualización del 13 de octubre, la empresa escribió: «los únicos incidentes confirmados siguen limitados al sudeste asiático. No hemos verificado ningún vaciado vinculado a un dispositivo comprado en otro lugar». La frase está construida con cuidado. Se refiere a vaciados verificados, no a implantes verificados, ni a dispositivos que aún no se han examinado. Quien tenga un Ledger comprado en Europa tiene derecho a notar la distancia entre «ningún vaciado verificado» y «ningún implante». Una de las respuestas bajo la publicación de Ledger decía exactamente eso, y es una lectura justa de la redacción.

Segundo: «después de que los dispositivos salieran de nuestro control» es una afirmación sobre dónde de la cadena ocurrió la manipulación. La propia Ledger dice que la investigación sigue «para determinar quién manipuló estos dispositivos y en qué punto de la cadena de distribución ocurrió». La empresa no puede decir a la vez que el punto de la compromisión está establecido y que todavía lo investiga. Ambas cosas son compatibles solo si «después de que salieran de nuestro control» significa «en cualquier punto posterior a la fábrica y el almacén de Ledger», que es un tramo muy largo: mayorista, distribuidor, mensajería, tienda, quiosco de aeropuerto.

¿Cuánto se robó? Tres cifras, tres métodos

Ledger no ha publicado un total. Esto es lo que existe, con los límites de cada cifra.

Destacan dos cosas. Las estimaciones no están lejos entre sí si se compara el rastreo inicial, más estrecho (diez direcciones públicas), con el posterior y más amplio de Bitquery (324 wallets). Y la estimación más detallada llega con un registro visible de sus propios errores. En su diario de actualizaciones, Bitquery corrigió el 12 de octubre un grupo de wallets de Tron que había descrito como un grupo de tipo OTC: eran en realidad las bóvedas del servicio de intercambio THORChain, y los pagos que había vinculado a Binance pertenecían a otros usuarios de THORChain. Bitquery retiró esa pista. Lo mencionamos no para desacreditar a la firma, que hizo bien en publicar la corrección, sino porque muestra con qué rapidez puede cambiar la atribución on-chain en un incidente en curso. Toda cifra debe tratarse como provisional.

Qué sugiere el patrón en la blockchain

El análisis de Bitquery es el material público más granular sobre el robo en sí. Sus conclusiones son la interpretación que hace la firma de datos públicos y no están confirmadas por Ledger ni por las fuerzas del orden. Con esa salvedad, estos son los puntos que reporta:

• Veinticinco wallets de Tron firmaron la misma aprobación en tres segundos; ocho minutos antes, otras treinta wallets habían cedido el control a la clave del ladrón. Bitquery lo interpreta como un único operador que tiene todas las claves a la vez.
• Antes del vaciado hubo dos semanas de práctica, con 21 pequeños ciclos de prueba en Tron y 20 en Ethereum.
• Alrededor de seis de cada diez wallets de víctimas se financiaron por primera vez dentro de la ventana de 90 días de Ledger, y más de ocho de cada diez desde junio. Esto encaja con la descripción de Ledger de una operación que duró meses y golpeó de una vez.
• Tether congeló 10,0 millones de dólares en 20 wallets. El ladrón aparcó otros 23,9 millones en USDD, un token que según Bitquery Tether no puede congelar, y luego lo cambió todo por ETH a través de THORChain.
• Entre el 9 y el 13 de octubre unos 7.260 ETH entraron en Tornado Cash, y la mayor parte de lo que salió siguió a través de Zcash.
• Bitquery señaló 2,38 millones de USDC en wallets que vincula con el ladrón. En su actualización del 15 de octubre, Circle no había congelado el dinero y el ladrón lo había movido, sobre todo a USDT en Tron. Unos 0,7 millones seguían en wallets donde, según Bitquery, Circle y Tether aún podían actuar, y unos 84 millones seguían siendo rastreables en la cadena.

En conjunto, estos puntos describen una operación paciente, bien financiada y técnicamente capaz, lo que coincide con las propias palabras de Ledger. También muestran algo que el sector debería decir claramente: cuando una frase de recuperación sale del dispositivo, las opciones de respuesta son estrechas y lentas. Los emisores congelaron solo una parte de lo alcanzable, y lo alcanzable era una fracción del total.

La cuestión de Europa

Aquí el expediente es más escaso y lo que está en juego para los lectores europeos es mayor, así que lo exponemos paso a paso.

Lo que consta. MediaMarktSaturn retiró los productos Ledger de su oferta «internacionalmente en todos nuestros países» como precaución, dijo un portavoz a Cointelegraph. Ledger dijo que la suspensión siguió al informe de un implante de hardware de un cliente en Alemania, y que a ese informe no se asociaban pérdidas de fondos. Johannes afirma que dos dispositivos de tiendas MediaMarkt distintas contenían cables y módulos celulares no autorizados y publicó fotografías. Karpelès afirma que un Ledger Flex del aeropuerto de Singapur contenía un implante. Ledger no ha confirmado que los informes europeos estén vinculados al incidente de CryptoBilis. No abordó directamente el caso de Singapur.

Lo que Ledger dice que hizo. En su publicación del 15 de octubre la empresa dice que envió equipos a mercados locales, «incluida Alemania», para comprar dispositivos en tiendas y abrirlos, y que examinó muestras de almacenes. Su declaración: «Cada unidad examinada estaba limpia». También dice que revisó sus propias existencias, «comprobando un gran número de muestras», y no encontró unidades comprometidas. No dice cuántas unidades se abrieron, en qué tiendas, ni quién verificó los resultados.

La tensión. Un cliente alemán comunicó un implante y Ledger actuó sobre ese informe junto con MediaMarktSaturn. Sin embargo, las comprobaciones por muestreo de la propia Ledger en Alemania no encontraron nada. Ambos hechos pueden coexistir. Una sola unidad manipulada, o unas pocas, podría existir sin ser detectada por una muestra de tamaño finito, o el informe alemán podría referirse a un problema de otro tipo. Con la información pública no se puede determinar cuál de las dos es cierta. El estado honesto es: sin resolver. Quien tiene las pruebas físicas del caso alemán es Ledger, que ha dicho que publicará más detalles más adelante.

Por qué importa. Si la manipulación ocurre solo dentro de la cadena de CryptoBilis, un comprador europeo que compró directamente al fabricante o a una gran cadena está en una situación muy distinta a la de un comprador en Yakarta. Si el informe alemán se confirmara como implante, ese consuelo se debilitaría. Es una cuestión en la que una divulgación breve y concreta de Ledger (número de unidades abiertas, cadenas de tiendas, resultados, cómo se gestionó la unidad alemana) haría más por la confianza que cualquier tranquilización.

Cómo reaccionaron otros fabricantes

Trezor dijo que no encontró señales de que sus propios dispositivos estuvieran afectados y aun así retiró a CryptoBilis de su red de distribuidores autorizados. El 13 de octubre anunció que reducirá el número de distribuidores como medida «preventiva». Un portavoz de Trezor dijo a Cointelegraph que aplica comprobaciones de autenticidad y acepta solo firmware firmado, y añadió la frase que más importa a los compradores: «También se puede comprobar que el embalaje y el sello holográfico estén intactos y buscar marcas inusuales en el dispositivo, pero estas comprobaciones por sí solas no pueden garantizar que no haya sido modificado». Trezor dijo además que no ha observado en sus propios dispositivos este tipo de ataque, en el que se captura información de la pantalla sin modificar el firmware.

OneKey revocó la autorización de distribuidor a CryptoBilis, suspendió la incorporación de nuevos distribuidores y comenzó una revisión de su red de distribución. Informó de que no hay pérdidas relacionadas y ofreció reemplazos gratuitos para los dispositivos comprados a CryptoBilis entre el 1 de marzo y el 12 de octubre de 2026, con solicitudes abiertas hasta el 31 de diciembre.

CryptoBilis suspendió todas las ventas de hardware wallets en tres países y dijo que revisaba sus procesos. No hemos encontrado una declaración pública en la que CryptoBilis explique cómo los dispositivos llegaron manipulados a sus clientes, y ninguna autoridad que hayamos podido consultar la ha acusado de una participación consciente. Ambas cosas deben decirse, y ninguna debe darse por supuesta.

El momento de Ledger Atom

El mismo jueves en que Ledger publicó su respuesta al ataque con implantes, anunció Ledger Atom, un dispositivo que la empresa describe como un «dispositivo de seguridad y privacidad que ejecuta tus aplicaciones cotidianas». El precio de reserva es de 849 dólares con un depósito reembolsable de 100, y la empresa indica entregas estimadas en 2027. Su propio aviso legal dice que una reserva no es una compra y que las especificaciones y el precio pueden cambiar.

Cointelegraph informa de que, según Ledger, Atom incluye protecciones que bloquearían el tipo de implante usado en el incidente de Asia y puede detectar manipulaciones incluso apagado. El anuncio se hizo en el evento Op3n 2026 de Ledger. Un portavoz dijo que el trabajo no era una respuesta a incidentes aislados y no dio un calendario de desarrollo.

No afirmamos nada sobre las intenciones. Los eventos de producto se planifican con meses de antelación y la declaración de Ledger es plausible a primera vista. El punto editorial es más estrecho: los lectores deben saber que la misma empresa, en las mismas 24 horas, explica un fallo de seguridad en su canal y abre reservas de un producto que se vende por su seguridad. El incidente debe evaluarse con las pruebas del incidente, y el producto con las pruebas del producto, que no existirá hasta 2027.

Por qué «¿es genuino mi dispositivo?» puede no responder a la pregunta

Muchos usuarios se tranquilizan con las comprobaciones que ofrece el software de las hardware wallets: verificación de dispositivo genuino, firma del firmware, sello intacto. Estas comprobaciones importan y conviene hacerlas. Pero la estructura de este ataque explica por qué pueden no bastar por sí solas.

Según Ledger, el implante dejó intactos el elemento seguro y el sistema operativo. Una comprobación que pide al elemento seguro demostrar que es genuino recibiría por tanto la respuesta de un elemento seguro genuino. Es una inferencia nuestra a partir de la descripción de Ledger, no una declaración de Ledger sobre su propia comprobación de autenticidad, y Ledger no la ha confirmado. Lo que sí consta es la frase de Trezor citada arriba, que dice con claridad que las comprobaciones de integridad y los sellos «por sí solos no pueden garantizar» que el dispositivo no ha sido modificado, y la opinión del investigador de seguridad de hardware Joe Grand, que dijo a Cointelegraph que no se puede esperar de forma realista que los propietarios comunes detecten manipulaciones sofisticadas: «incluso personas técnicas como yo no miramos cada dispositivo para ver si ha sido manipulado».

Las sugerencias de Grand son cambios de diseño más que hábitos del usuario: carcasas transparentes que dejen ver los componentes internos, o envolturas a prueba de manipulación que obligarían a un atacante a reconstruir toda la carcasa para ocultar un añadido. El CEO de Casa, Nick Neuman, señaló el punto estructural: evitar por completo la confianza en terceros es imposible, y los usuarios deberían repartir el riesgo entre varios proveedores en lugar de depender de uno. El analista Mati Greenspan argumentó que una hardware wallet introduce «una cadena de confianza completamente nueva, del fabricante al proveedor y a quien haya manejado el dispositivo antes de que llegara a ti». No hace falta compartir su conclusión, que es que nunca ha usado una, para aceptar la descripción.

Qué hacer ahora

Esta sección es información general, no asesoramiento financiero ni jurídico. Si custodias un valor significativo en una hardware wallet, conviene que un profesional de tu confianza revise tu situación.

Si compraste un Ledger en el sudeste asiático en los últimos 90 días aproximadamente

Sigue la orientación publicada por Ledger: no empieces a configurar un dispositivo aún cerrado y, si ya activaste uno, traslada tus activos a un nuevo Ledger con una frase de recuperación recién generada. El punto clave es que la nueva frase de recuperación debe generarse en un dispositivo obtenido de una fuente en la que confíes. Mover fondos de una seed comprometida a una nueva seed generada en otro dispositivo comprometido solo cambia la dirección. Ledger pide a los usuarios afectados que contacten con su soporte por el canal oficial y que presenten denuncia policial si han perdido fondos.

Si compraste un Ledger en otro lugar, incluida Europa

Según Ledger no hay ningún vaciado verificado vinculado a estos dispositivos, así que no hay motivo de pánico. Sí hay motivo de diligencia. Ledger ha publicado una guía de inspección para quienes quieran revisar un dispositivo, y advierte de que abrirlo puede dañarlo y aconseja hacer antes una copia de la frase de recuperación. Ten en cuenta que una revisión visual superficial no revelará necesariamente un implante profesional. Si compraste el dispositivo a un vendedor tercero, un puesto de mercado, un quiosco de aeropuerto o cualquier canal distinto del fabricante o de un gran distribuidor autorizado, considéralo de mayor riesgo.

Si vas a comprar una hardware wallet ahora

• Compra en la tienda del propio fabricante. Ledger afirma que su canal de venta directa no muestra señales de compromiso. Es la mayor reducción de riesgo individual disponible, y la decisión de Trezor de reducir su red de distribuidores apunta en la misma dirección.
• No uses nunca un dispositivo ya inicializado ni una frase de recuperación ya escrita. Un dispositivo que llega con una seed, con una tarjeta con palabras o ya configurado debe descartarse. Es un ataque distinto y más antiguo, pero descartarlo cuesta poco.
• No compres unidades usadas o «devueltas». Ledger recordó a su red que los dispositivos devueltos no pueden revenderse nunca, aunque parezcan nuevos y precintados.
• Genera la frase de recuperación tú mismo, en un lugar privado, sin teléfono, cámara ni electrónica desconocida sobre la mesa. Este implante funciona leyendo la pantalla en el momento en que aparecen las palabras.
• Empieza con una prueba pequeña. Envía una cantidad pequeña, comprueba que puedes restaurar la wallet desde la frase de recuperación en otro dispositivo o software de confianza, y solo entonces mueve el resto.

Si custodias una cantidad importante

Considera reducir la dependencia de un único dispositivo. Una configuración multifirma, en la que varios dispositivos de distinta procedencia deben aprobar una transacción, hace que una sola unidad manipulada no controle por sí sola los fondos. No es una cura: cada dispositivo debe obtenerse igualmente de forma segura, porque un implante en cada unidad echaría por tierra la idea. Pero sí eleva mucho el coste para el atacante. Nuestra guía paso a paso para una configuración 2 de 3 está aquí: Guía de multisig Bitcoin 2 de 3. Y una hardware wallet es solo la mitad de un plan; la otra mitad es qué ocurre si tú no estás. Consulta nuestro plan de herencia de Bitcoin para herederos.

Una pregunta que no pudimos responder con fuentes públicas: si una passphrase BIP-39 (la «palabra 25» opcional) que el usuario escribe después de la configuración sería capturada también por este implante concreto. La descripción de Ledger habla de palabras mostradas en pantalla durante la configuración. Hasta que Ledger o el equipo Donjon digan más, no des por hecho que una passphrase protege, y pregunta directamente al fabricante.

Lo que todavía no sabemos

• El número de usuarios y dispositivos afectados. Ledger no lo ha publicado.
• El total confirmado de fondos robados. Las estimaciones difieren y son provisionales.
• Quién manipuló los dispositivos, y en qué punto entre la fábrica y el cliente.
• Si el informe alemán y el del aeropuerto de Singapur implican el mismo implante que los casos de CryptoBilis.
• Cuántas unidades de tiendas y almacenes abrió Ledger, dónde, y cómo se verificaron los resultados de forma independiente.
• Si se recuperará algún fondo. Tether congeló 10,0 millones según Bitquery, y Ledger dice que colabora con las fuerzas del orden y con SEAL 911 para seguir los fondos.
• Si Ledger compensará a los usuarios afectados. En las fuentes que revisamos no hallamos un compromiso público de compensación.
• Si dispositivos de otros fabricantes fueron manipulados a través del mismo distribuidor. Trezor y OneKey informan ambos de que no hay pérdidas relacionadas.

Nuestra valoración

Los hechos documentados sostienen una conclusión estrecha y seria. Según Ledger, y con las pruebas divulgadas hasta ahora, una operación criminal modificó hardware wallets genuinas, las volvió a poner a la venta a través de un canal de distribuidores y recopiló frases de recuperación por una red móvil. Los autores no han sido identificados. La tecnología central de Ledger, tal como la describe la empresa, no fue lo que falló. El fallo estuvo en un lugar al que ninguna actualización de firmware puede llegar: un producto físico que pasa de una parte a otra.

Eso es también lo que hace importante este suceso más allá de una marca. Todo fabricante de hardware wallets vende a través de una cadena de intermediarios, y todo comprador confía en personas a las que nunca conocerá. La lección práctica no es abandonar la autocustodia, que sigue eliminando los riesgos de quiebra de exchanges documentados en otras partes de este sitio. Es tratar la adquisición de una wallet como parte del modelo de seguridad y comprar lo más cerca posible del fabricante.

Las preguntas abiertas son legítimas y Ledger puede responder a la mayoría. Actualizaremos este artículo si Ledger publica la divulgación técnica prometida, si los informes de Alemania se confirman o se descartan, o si aparece una cifra de pérdida verificada.

Preguntas frecuentes