Crisis en la cadena de suministro de un distribuidor autorizado: Ledger investiga el robo de más de 86 millones de dólares a usuarios del sudeste asiático

Ledger, líder en billeteras de hardware, se enfrenta a un grave incidente de ciberseguridad que podría estar relacionado con la cadena de suministro.
Ledger afirma que está investigando denuncias de robos de activos a varios usuarios del sudeste asiático, quienes habían comprado dispositivos Ledger a través del distribuidor autorizado CryptoBilis. Como medida preventiva, Ledger ha pedido a CryptoBilis que suspenda todas las ventas y envíos de productos Ledger.
Investigadores de la cadena de bloques estiman por ahora que los activos presuntamente robados podrían superar los 86 millones de dólares y afectar a varias cadenas de bloques, entre ellas Bitcoin, Ethereum y Tron. Sin embargo, Ledger aún no ha confirmado el importe real de las pérdidas, el número de usuarios afectados ni si los dispositivos fueron realmente manipulados, por lo que la cifra sigue siendo una estimación mientras continúa la investigación.
Ledger exige a un distribuidor del sudeste asiático que suspenda inmediatamente el suministro
Ledger señaló que el distribuidor implicado en el incidente es CryptoBilis. La lista oficial de distribuidores de Ledger confirma que CryptoBilis es uno de los distribuidores autorizados de Ledger en Indonesia, Malasia y Filipinas, y no un vendedor no oficial de procedencia desconocida.
Esto también explica por qué el incidente ha despertado tanta atención. Las recomendaciones habituales de seguridad para las billeteras de hardware suelen aconsejar evitar las compras a terceros desconocidos para reducir el riesgo de adquirir falsificaciones o dispositivos abiertos. Sin embargo, CryptoBilis, el distribuidor investigado en este caso, figuraba en la lista oficial de distribuidores autorizados de Ledger. Por ello, Ledger afirmó que ha pedido a CryptoBilis que suspenda todas las ventas y envíos de dispositivos Ledger mientras dure la investigación.
CryptoBilis es una empresa minorista de criptomonedas fundada en 2020 y con sede en Petaling Jaya, en el estado malasio de Selangor. Se dedica principalmente a la venta de billeteras de hardware y productos relacionados con Web3, y también organiza comunidades y eventos presenciales sobre criptomonedas.
CryptoBilis cambió de manos en marzo; los antecedentes de los nuevos accionistas, en el centro de la investigación
CryptoBilis fue cofundada por Arravind Prabu y Vimalatheethan. Arravind ocupó el cargo de director ejecutivo durante mucho tiempo y, en 2025, aún representó a CryptoBilis en París, en los eventos Ledger Op3n y de lanzamiento mundial de Nano Gen5.
Sin embargo, Arravind afirmó recientemente que CryptoBilis fue adquirida por nuevos propietarios a principios de 2026. Tras completar el traspaso junto con Vimalatheethan en marzo de este año, dejó todos sus cargos operativos, directivos y administrativos en la empresa y ya no tiene acceso a los sistemas internos, los datos de clientes ni los registros de pedidos.
Los registros públicos de la empresa indican que la entidad operativa de CryptoBilis en Malasia es CB International Sdn. Bhd. Documentos corporativos publicados recientemente muestran que, al 3 de agosto, el 100 % de las acciones de la empresa estaba en manos de una persona identificada públicamente como «Jiaming», cuya dirección registrada se encuentra en la provincia china de Heilongjiang.
Investigadores de la cadena de bloques calculan que el monto implicado supera los 86 millones de dólares
Tras rastrear un conjunto de direcciones sospechosas de haber sido utilizadas para robos en Bitcoin, Ethereum y Tron, el investigador de la cadena de bloques Specter estimó que las pérdidas relacionadas superan los 86 millones de dólares.
Según datos de seguimiento citados por Decrypt, los activos en las direcciones sospechosas incluyen unos 42 millones de dólares en ETH, 17,6 millones en BTC y 16,5 millones en USDT, lo que suma cerca de 87 millones de dólares. Otro investigador, tanuki42, calculó una cifra menor y estimó que más de 72 millones de dólares en activos podrían haber sido enviados a direcciones controladas por los atacantes.
Ledger: no enciendas los dispositivos comprados en los últimos 90 días
Las recomendaciones de seguridad de Ledger para sus usuarios son claras, pero no se aplican a todos los usuarios de Ledger. La empresa indicó que quienes hayan comprado un dispositivo Ledger a través de CryptoBilis en los últimos 90 días y aún no hayan comenzado a configurarlo deben abstenerse de activarlo por ahora.
Si ya terminaste la configuración y transferiste activos al dispositivo, Ledger recomienda considerar trasladarlos a un nuevo dispositivo de firma Ledger y generar una frase de recuperación (seed phrase) completamente nueva. Lo más importante es no restaurar simplemente la frase de recuperación antigua en otro Ledger nuevo.
Si el problema realmente implica el robo de la frase de recuperación durante el proceso de suministro, importar esa misma frase de recuperación de 24 palabras en un dispositivo nuevo permitiría que el atacante siguiera controlando la misma clave privada. La opción verdaderamente segura es crear una frase de recuperación y direcciones de billetera completamente nuevas y transferir allí los activos.
La posibilidad que más preocupa actualmente al mercado es un «ataque a la cadena de suministro» (supply-chain attack).
El cofundador de Binance, Changpeng Zhao (CZ), afirmó que, según la información disponible públicamente, el incidente parece estar posiblemente limitado a un único proveedor y que algunos usuarios podrían haber comprado «Ledger falsificados o manipulados».
El exdirector ejecutivo de Mt. Gox, Mark Karpeles, también afirmó que está investigando casos posiblemente relacionados y recomendó a las víctimas abrir los dispositivos y fotografiar las placas de circuito para comprobar si el hardware había sido manipulado.
Sin embargo, por ahora todo esto son solo líneas de investigación. Hasta el momento, Ledger no ha confirmado que los dispositivos hayan sido manipulados ni que se hayan vulnerado el firmware de Ledger, el Secure Element, el chip de seguridad o los sistemas internos de la empresa.
¿Por qué también pueden robarse las billeteras de hardware?
El principio de seguridad fundamental de una billetera de hardware es mantener las claves privadas sin conexión en el dispositivo, en lugar de almacenarlas en un ordenador o teléfono. Pero si el ataque ocurre antes de que el usuario reciba la billetera, el modelo de seguridad cambia por completo.
Por ejemplo, si alguien obtiene o sustituye la frase de recuperación del usuario durante el proceso de suministro y luego vuelve a empaquetar y vende el dispositivo, el atacante podría tener ya la misma clave privada, aunque el usuario nunca introduzca la frase de recuperación en un ordenador. Otra posibilidad es que se sustituya el dispositivo o se le implante hardware malicioso para inducir al usuario a utilizar una frase de recuperación preconfigurada.
Aún no se ha confirmado qué método se utilizó en el caso de CryptoBilis, pero el incidente demuestra que la seguridad de una billetera de hardware no depende únicamente del chip. Toda la cadena de suministro —desde la fabricación y la logística hasta la distribución y la entrega al usuario— puede convertirse en un vector de ataque.
Por ahora no hay pruebas de que todos los usuarios de Ledger estén en riesgo; este es también el aspecto del incidente que más fácilmente puede provocar pánico.
La advertencia de Ledger solo se dirige a los usuarios que compraron productos a CryptoBilis en los últimos 90 días; no ha pedido a todos los propietarios de Ledger del mundo que cambien de dispositivo. Por lo tanto, si compraste tu Ledger directamente en la tienda oficial o a través de otro canal autorizado, no hay motivos para concluir que tu dispositivo se haya visto afectado de la misma manera por este incidente.
Aunque finalmente se confirme que el problema se limitó a un único distribuidor, el incidente seguirá teniendo importantes implicaciones para la industria de las billeteras de hardware. CryptoBilis no era un vendedor cualquiera de internet, sino un distribuidor autorizado que figuraba en el sitio web oficial de Ledger. Si finalmente se confirma que los usuarios recibieron dispositivos manipulados, esto significaría que la recomendación de seguridad tradicional de «comprar solo a distribuidores autorizados oficiales» no basta por sí sola para eliminar por completo los riesgos de la cadena de suministro.
En el futuro, es posible que los fabricantes de billeteras de hardware deban reforzar la verificación de autenticidad de los dispositivos, las comprobaciones de integridad del embalaje y los procedimientos de verificación del hardware durante la primera activación. Para el mercado de la autocustodia, este incidente recuerda a los usuarios que la autocustodia puede evitar los riesgos de la quiebra de un exchange y de la apropiación indebida de fondos por parte de terceros, pero no elimina los riesgos relacionados con la gestión de las frases de recuperación, la procedencia de los dispositivos ni la cadena de suministro.
Este artículo se reproduce con autorización de: (BlockTempo)
Título original: (Ledger investiga un presunto robo de 86 millones de dólares; suspende el suministro a un distribuidor autorizado del sudeste asiático e insta a los compradores de los últimos 90 días a cambiar de billetera)
Autor original: Anfei
El artículo «Crisis en la cadena de suministro de un distribuidor autorizado: Ledger investiga el robo de más de 86 millones de dólares a usuarios del sudeste asiático» se publicó originalmente en «Crypto City».