• Ledger ordenó a los revendedores de seis mercados del Sudeste Asiático y Hong Kong suspender las ventas y retirar los dispositivos.

• Bitquery rastreó pérdidas de aproximadamente 102 millones de dólares en 324 carteras hasta el 13 de octubre.

• Placas de circuito ocultas leían las frases de recuperación de 24 palabras y las enviaban a través de módulos LTE con eSIM.

Se suspenden las ventas en todo el Sudeste Asiático

Ledger ha ordenado a distribuidores y revendedores de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong que dejen de vender inmediatamente sus carteras de hardware y retiren los dispositivos de las tiendas físicas y virtuales hasta que concluya la investigación. La orden amplía una suspensión de ventas que antes solo se aplicaba al distribuidor CryptoBilis, y la empresa aún no ha determinado en qué punto de la cadena de suministro se produjo la manipulación. Ledger describe la suspensión regional como una medida preventiva: hasta ahora no ha encontrado indicios de intrusión en sus sistemas internos, software, firmware ni canales oficiales de venta directa.

Lo que la empresa ha confirmado es cómo funcionan las unidades manipuladas. Se ocultaron placas de circuitos no autorizadas dentro de la carcasa y debajo de la pantalla. Cuando un comprador inicializa un dispositivo por primera vez y la pantalla muestra la clave de recuperación de Ledger de 24 palabras, un microcontrolador del implante lee el texto en pantalla y lo transmite a través de un módulo LTE equipado con una eSIM preconfigurada. Con esa clave, los atacantes pueden reconstruir la cartera en un dispositivo que controlan, sin volver a tocar el dispositivo de la víctima ni convencer a nadie de que firme una transacción. El implante no elude el Secure Element, el sistema operativo de Ledger ni la firma de transacciones, por lo que las unidades manipuladas aún pueden superar la Genuine Check: esa función demuestra que el chip de seguridad es auténtico, pero no puede detectar los circuitos añadidos a su alrededor. Las pérdidas van en aumento. La firma de análisis de cadena de bloques Bitquery informó que, al 13 de octubre, se habían sustraído aproximadamente 102 millones de dólares de 324 carteras en Tron, Bitcoin, Ethereum, Solana, BNB Chain y Polygon, frente a estimaciones anteriores de entre 86 y 93 millones de dólares. Tether ha congelado unos 10 millones de dólares en USDT repartidos en 20 direcciones, y alrededor de 84 millones de dólares siguen siendo rastreables en la cadena de bloques. Los atacantes han enviado aproximadamente 6.840 ETH a Tornado Cash, un mezclador de criptomonedas, y han canalizado otros fondos a través de Zcash y de un servicio de intercambios atómicos como THORChain, lo que complica el rastreo y la recuperación. Ledger no ha verificado el número de víctimas ni el total definitivo; los 102 millones de dólares son una estimación independiente basada en datos de la cadena de bloques.

El rastro comenzó el 9 de octubre, cuando unos informes vincularon fondos robados con carteras creadas con dispositivos comprados a través de CryptoBilis. En los días siguientes, usuarios de otros lugares, incluidos mercados europeos, denunciaron que unidades compradas en canales minoristas habituales también parecían manipuladas. El martes, Ledger dijo en una actualización publicada en X que la investigación sigue en curso y busca identificar quién manipuló los dispositivos y en qué etapa de la cadena de suministro se realizó la modificación. La orden de suspensión abarca a los revendedores de los siete mercados mencionados y va más allá de la exigencia anterior de que CryptoBilis detuviera las ventas y los envíos. Ledger afirma que no tiene pruebas de que se hayan vulnerado su infraestructura, sus sistemas internos, sus servicios ni sus canales oficiales de venta directa, y que los incidentes confirmados hasta ahora se limitan al Sudeste Asiático; la empresa no ha establecido ningún vínculo entre dispositivos comprados en otras regiones y los robos. Siguen abiertas varias incógnitas: la empresa no ha publicado los resultados completos de la investigación, no ha confirmado cuántos dispositivos están afectados y tampoco ha dicho si el origen está en la fabricación, la distribución o la venta minorista. Las quejas de los consumidores aumentan la presión. El investigador de la cadena de bloques 0xQuit ha señalado que CryptoBilis quizá no sea el único canal por el que han circulado unidades manipuladas y ha instado a los propietarios a inspeccionar sus dispositivos, aunque Ledger no ha confirmado esa hipótesis y desmontar una unidad sellada no es un procedimiento oficial de detección. Un usuario contó que compró un Ledger Flex en una tienda del aeropuerto Changi de Singapur a finales de junio, mantuvo la caja sellada y aun así encontró dentro una antena completa, una batería, una eSIM y un módulo LTE. Un abogado radicado en Singapur ha exigido públicamente a la empresa instrucciones más claras y rápidas para los consumidores que las que ofrece un ticket de soporte estándar, citando el caso de un dispositivo presuntamente comprado en una gran tienda local de electrónica. No se ha anunciado ningún plan unificado de compensación.

Por qué una región y no un lote

Nuestra interpretación es que el paso de un distribuidor a siete mercados significa que Ledger aún no puede localizar el punto en que se produjo la manipulación; una empresa que hubiera identificado un lote defectuoso retiraría ese lote, no toda una región. El punto ciego de la Genuine Check es el problema de fondo: la verificación criptográfica del chip seguro no puede detectar los circuitos añadidos, así que la inspección física sigue siendo la única prueba fiable que pueden realizar los consumidores. Quienes tengan unidades sin abrir no deberían inicializarlas, y quienes ya hayan configurado sus dispositivos deberían transferir sus activos a un dispositivo limpio con una clave recién generada, en lugar de restaurar las 24 palabras originales. Cualquiera que solicite esa clave por teléfono o mensaje privado está intentando estafarles, ya que Ledger afirma que nunca la pide de esa manera. Quienes estén configurando un dispositivo de reemplazo también pueden consultar nuestra guía para hacer staking de Cardano (ADA) con una cartera de hardware Ledger.