Llevo años en el mundo cripto y nunca había visto una forma más siniestra de robar criptomonedas. Los hackers ni siquiera tienen que escribir código: la cartera de hardware ya lleva una tarjeta eSIM soldada de fábrica.
La desgarradora historia de un usuario real: en junio compró 80 bitcoins a 65.000 dólares, aprovechando la caída; hace una semana los transfirió a un Ledger y hoy lo liquidó todo, quedándose a cero. Tenía 1,38 millones de dólares de ganancias sobre el papel, pero lo perdió todo, incluido el capital inicial.
En las últimas 24 horas, las pérdidas relacionadas rastreadas por MistTrack ya rozan los 90 millones de dólares. Tether ha empezado a congelar los USDT de las direcciones implicadas. Mark Karpelès, exdirector ejecutivo de Mt. Gox, desmontó personalmente un Ledger comprado en Malasia y descubrió un dispositivo espía soldado en la zona de la almohadilla protectora de la pantalla. Incluía comunicación LTE, antena, eSIM y microcontrolador. La pegatina era original y el plástico termorretráctil estaba intacto: era imposible notar nada raro sin abrirlo.
/
❚ El método del robo de criptomonedas es más sencillo de lo que imaginas
La seguridad de las carteras de hardware se basa en dos palabras: aislamiento
La clave privada está en el chip y nunca sale del dispositivo
La firma se realiza dentro del dispositivo. Solo el ordenador está conectado a internet, no la cartera en sí.
Este ataque desmontó directamente esa premisa. El microcontrolador implantado está conectado al bus SPI de Ledger y puede leer los caracteres que se muestran en la pantalla. Justo en las páginas de inicialización de la frase semilla aparecen las 24 palabras, una por una. El módulo envía esos caracteres por LTE. Una vez que los atacantes obtienen la frase semilla, la fortaleza de tu contraseña y tus hábitos de uso ya no importan: solo tienen que esperar el momento oportuno para vaciar la cartera de un solo golpe.
Dicho en cristiano: crees que estás tratando con una caja fuerte aislada, pero debajo de la caja hay un teléfono. Por fuera parece inerte, pero puede ver todo lo que aparece en la pantalla.
❚ Historial de seguridad de Ledger
Quienes llevan tiempo en el mundo cripto no se sorprenden tanto de que Ledger haya tenido problemas. Repasemos los hechos en orden cronológico ⬇️
1/ 2018: vulnerabilidad descubierta en una investigación temprana sobre hardware
Un investigador demostró que el Nano S podía alterarse antes de salir de fábrica y que era posible eludir el bootloader del MCU
En su mayoría, eran problemas detectados en investigaciones; la empresa los solucionó y hubo pocas pérdidas reales
2/ 2020: filtración masiva de una base de datos de comercio electrónico
Se hicieron públicos más de un millón de correos electrónicos y los nombres, teléfonos y direcciones de más de 270.000 clientes
El hardware y las claves privadas estaban bien, pero el incidente dio pie a años de interminables correos de phishing y cartas falsas que se hacían pasar por comunicaciones oficiales
3/ Diciembre de 2023: ataque a la cadena de suministro de Connect Kit
Un exempleado cayó en una estafa de phishing, tomaron el control de su cuenta de npm e inyectaron una versión maliciosa en todas las DApp que dependían de esa biblioteca
En dos horas robaron entre 480.000 y 600.000 dólares
El hardware estaba bien, pero por primera vez todos se dieron cuenta de que las dependencias del frontend también son una puerta de entrada para los riesgos
4/ Enero de 2026: nueva filtración de datos de pedidos gestionados por el tercero Global-e
El problema de siempre: sigue alimentando el ecosistema del phishing
5/ Abril de 2026: estafa con una falsa Ledger Live en la App Store
Engañaron a los usuarios para que introdujeran sus frases semilla de 24 palabras; en una semana, más de 50 personas perdieron 9,5 millones de dólares
Antes de este caso, este había sido el mayor robo en un solo incidente
6/ Agosto de 2026: vulnerabilidad en la firma de Ethereum LSB-023
Se podía eludir la firma clara, pero hacía falta la colaboración de un ordenador host malicioso y no hay pruebas de que se explotara en la práctica
7/ Octubre de 2026: ataque a la cadena de suministro de CryptoBillis
Las pérdidas rastreadas rozan los 90 millones de dólares, casi 10 veces el récord anterior
Hay un patrón muy claro: en todos los incidentes anteriores, o bien solo se filtraban metadatos, o bien hacía falta que el usuario hiciera alguna estupidez por iniciativa propia (instalar una app falsa, introducir la frase semilla). Pero esta vez nunca sacaste de tu lado la frase semilla, el dispositivo nunca se conectó a internet y todo el proceso transcurrió con normalidad. Aun así, el dinero desapareció.
❚ ¿Por qué precisamente el Sudeste Asiático?
CryptoBillis es un distribuidor autorizado de Ledger en el Sudeste Asiático. Comprar a través de un distribuidor es algo más barato y rápido que hacerlo en la web oficial, y te ahorras el envío internacional. En el mundo cripto del Sudeste Asiático, es una forma muy habitual de comprar. Yo mismo, aquí en Bangkok, conozco a bastantes amigos que compraron por ese canal.
Lo más siniestro de los ataques a la cadena de suministro es que
No hace falta vulnerar el propio Ledger
No hace falta que el usuario cometa ningún error
Basta con controlar a cualquier distribuidor para poder actuar de forma maliciosa a gran escala
Ledger ya pidió a CryptoBillis que suspendiera las ventas y los envíos, y recomendó a los usuarios que compraron por ese canal en los últimos 90 días que transfirieran cuanto antes sus activos. Pero ni siquiera la propia empresa puede confirmar cuántos dispositivos llegaron a distribuirse ni si solo afectó a este distribuidor.
❚ Consejos prácticos
Ya explicado el mecanismo, hablemos de medidas prácticas
1/ Compra la cartera de hardware únicamente en la web oficial. No recurras a ningún tercero.
Incluye enlaces de recomendación de grandes influencers, distribuidores, Taobao, Xianyu y compras que te hacen amigos
Por ahorrarte ese poco dinero, más vale quemar el dispositivo directamente
2/ Cuando recibas el dispositivo, no uses ninguna de las tarjetas de frases semilla que vienen con él. Inicialízalo de nuevo.
Verifica estrictamente el dispositivo con Genuine Check, la herramienta de la web oficial de Ledger
Si es necesario, envíalo al servicio oficial para que realicen una inspección física
3/ Divide tus grandes cantidades de activos entre varias carteras
No guardes todo tu patrimonio en una sola cartera
Distribuye tus activos entre varias firmas múltiples o direcciones para encarecer el fallo de un único punto
4/ Cambia de cartera periódicamente
Que hoy no haya pasado nada no significa que no vaya a pasar dentro de tres años
Es como cambiar la cerradura de la cuenta
5/ Sigue de cerca la vigilancia en tiempo real de entidades como MistTrack y SlowMist
Hay un desfase entre el momento del incidente y el momento en que se detecta. Cambiar de cartera antes puede salvarte.
/
En una frase: lo más aterrador de este caso no son las pérdidas, sino que cambia la premisa que dábamos por sentada sobre la seguridad de las carteras de hardware
Antes creíamos que, mientras no hiciéramos ninguna tontería, nuestro dinero estaría seguro. Ahora hay que añadir algo más: puede que el producto que compraste no sea lo que creías que era.
A decir verdad, después de escribir este artículo hasta me dan ganas de guardar mi Ledger y cambiar de marca. El mercado ya está hecho una mierda y encima te llevas un susto así.
(La información de este artículo se recopiló a partir de MistTrack, las declaraciones públicas de Mark Karpelès y los comunicados históricos de Ledger. No contiene recomendaciones; verifica la información por tu cuenta.)