¿No se supone que las billeteras de hardware son las más seguras? Esta vez los hackers manipularon hasta la pantalla.
El equipo oficial de seguridad de Ledger publicó esta semana la cadena completa del ataque: algunos dispositivos vendidos por el distribuidor del sudeste asiático CryptoBilis tenían implantado detrás de la pantalla un chip espía con un microcontrolador y una eSIM. En cuanto el usuario encendía el dispositivo por primera vez y la pantalla mostraba la frase de recuperación de 24 palabras, el chip la leía y la enviaba en tiempo real a través de la red LTE. No hacía falta que tu ordenador estuviera conectado a internet: el propio dispositivo «llamaba a casa».
Lo más escalofriante es que el chip de seguridad no había sido manipulado. La verificación oficial de autenticidad de Ledger marcaba como «auténticos» todos los dispositivos intervenidos. La verificación del software no puede impedir la manipulación física.
Datos de las pérdidas (estimaciones de entidades que rastrean la cadena): Specter estima unos 86 millones de dólares; Bitquery, más de 93 millones de dólares, en 311 billeteras. Por cadena: $TRX , unos 70,5 millones de dólares; $BTC , unos 16,8 millones; $ETH , unos 3,7 millones; y BNB Chain, unos 1,45 millones. Tether ha colaborado en la congelación de unos 10 millones de dólares en USDT vinculados al caso. Las transferencias anómalas se concentraron entre el 9 y el 10 de octubre.
Mi opinión: la verdadera lección de este caso no es que «las billeteras de hardware ya no sirvan», sino que la cadena de suministro es el punto más vulnerable. Por fiable que sea el dispositivo, si pasa por manos poco confiables, es como ir desnudo. Más preocupante aún: según reveló el exdirector ejecutivo de Mt. Gox, ya en diciembre del año pasado alguien había informado a Ledger sobre dispositivos modificados. La alerta llegó con tiempo, pero la respuesta pública se hizo esperar. Así que, de ahora en adelante, recuerda estas tres cosas: compra billeteras de hardware únicamente en la tienda oficial; escribe la frase de recuperación siempre a mano y guárdala sin conexión, nunca le hagas una foto ni la guardes en el móvil; y si compraste un Ledger a través de un canal de terceros como CryptoBilis en los últimos 90 días, sigue la recomendación oficial: da por hecho que tu frase de recuperación se ha filtrado, transfiere tus activos de inmediato y genera una nueva frase.
Datos hasta: 2026-10-18 08:52 UTC
Fuentes: Sina Finance; WhaleAgent (citando a CoinDesk y el informe de Ledger Donjon); Crypto Briefing (citando al Financial Times)
Solo con fines informativos; no constituye asesoramiento de inversión.
¿Cómo guardas tu frase de recuperación? Cuéntanos en los comentarios.
El equipo oficial de seguridad de Ledger publicó esta semana la cadena completa del ataque: algunos dispositivos vendidos por el distribuidor del sudeste asiático CryptoBilis tenían implantado detrás de la pantalla un chip espía con un microcontrolador y una eSIM. En cuanto el usuario encendía el dispositivo por primera vez y la pantalla mostraba la frase de recuperación de 24 palabras, el chip la leía y la enviaba en tiempo real a través de la red LTE. No hacía falta que tu ordenador estuviera conectado a internet: el propio dispositivo «llamaba a casa».
Lo más escalofriante es que el chip de seguridad no había sido manipulado. La verificación oficial de autenticidad de Ledger marcaba como «auténticos» todos los dispositivos intervenidos. La verificación del software no puede impedir la manipulación física.
Datos de las pérdidas (estimaciones de entidades que rastrean la cadena): Specter estima unos 86 millones de dólares; Bitquery, más de 93 millones de dólares, en 311 billeteras. Por cadena: $TRX , unos 70,5 millones de dólares; $BTC , unos 16,8 millones; $ETH , unos 3,7 millones; y BNB Chain, unos 1,45 millones. Tether ha colaborado en la congelación de unos 10 millones de dólares en USDT vinculados al caso. Las transferencias anómalas se concentraron entre el 9 y el 10 de octubre.
Mi opinión: la verdadera lección de este caso no es que «las billeteras de hardware ya no sirvan», sino que la cadena de suministro es el punto más vulnerable. Por fiable que sea el dispositivo, si pasa por manos poco confiables, es como ir desnudo. Más preocupante aún: según reveló el exdirector ejecutivo de Mt. Gox, ya en diciembre del año pasado alguien había informado a Ledger sobre dispositivos modificados. La alerta llegó con tiempo, pero la respuesta pública se hizo esperar. Así que, de ahora en adelante, recuerda estas tres cosas: compra billeteras de hardware únicamente en la tienda oficial; escribe la frase de recuperación siempre a mano y guárdala sin conexión, nunca le hagas una foto ni la guardes en el móvil; y si compraste un Ledger a través de un canal de terceros como CryptoBilis en los últimos 90 días, sigue la recomendación oficial: da por hecho que tu frase de recuperación se ha filtrado, transfiere tus activos de inmediato y genera una nueva frase.
Datos hasta: 2026-10-18 08:52 UTC
Fuentes: Sina Finance; WhaleAgent (citando a CoinDesk y el informe de Ledger Donjon); Crypto Briefing (citando al Financial Times)
Solo con fines informativos; no constituye asesoramiento de inversión.
¿Cómo guardas tu frase de recuperación? Cuéntanos en los comentarios.